情報セキュリティマネジメント 2025年 科目A 問02
問題文
SIEM製品によるセキュリティ上の効果として、最も適切なものはどれか。
選択肢
ア：様々な機器のログを集中管理することによって、横断的な分析や相関分析が可能になり、単純な目視だけでは発見困難な兆候を検知、分析、可視化することが可能になる。（正解）
イ：通信経路上を流れるパケットをキャプチャし、暗号化されたデータが改ざんされていないかどうかをチェックすることが可能になる。
ウ：ファイアウォール、IDS、マルウェア対策といった複数のネットワークセキュリティ機能を一つの機器で実現することが可能になる。
エ：ファイルの改ざんを検知すると、事前に取得済みのバックアップを用いて直ちに修復することが可能になる。
🔒 解説は解答すると表示されます
ログ集中と相関分析【情報セキュリティマネジメント解説】
正解の理由
SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）は、サーバ（サービスを提供するコンピュータ）やファイアウォール、認証機器など多様な機器やアプリケーションのログを集めて整理（正規化）し、時間軸や事象の関連性を見て「横断的に」分析する仕組みです。これにより、単独ログでは気づきにくい侵害の兆候や複数の小さな異常の組合せを検知し、ダッシュボードで可視化したりアラートを出したりできます。したがって選択肢のうち、ログの集中管理と相関分析による検知・可視化を説明する ア が最も適切です。
（補足：SIEMは防御装置そのものではなく、観察・検知とインシデント対応の支援が主な役割です。）
解法ステップ
- SIEM の意味を確認する（Security Information and Event Management：ログ収集と相関分析を行う仕組み）。
- 各選択肢が SIEM の機能に合致するかをチェックする。
- 「ログの集中管理・相関分析」なら合致。
- 「パケットの改ざんチェック」や「単一機器で複数機能」などは別分野。
- 合致するものを正解とする。上記手順で ア が合致するため選ぶ。
選択肢別の誤答解説
- ア：正解。ログを集中収集し、正規化・相関ルールで分析して、単独では見えない痕跡（例：複数端末で連続する不正ログイン→横断的に検出）を可視化できます。
- イ：誤り。パケットキャプチャはネットワーク解析や侵入検知の一部です。さらに「暗号化されたデータが改ざんされていないかどうかをチェックする」には、デジタル署名やTLSの終端（復号）など別技術が必要です。SIEM自体が通信を復号して改ざん検査を行う機能を持つわけではありません。
- ウ：誤り。ファイアウォール、IDS（Intrusion Detection System：侵入検知システム）、マルウェア対策を一台で実現するのは UTM（Unified Threat Management：統合脅威管理）や次世代ファイアウォールの役割で、SIEMとは役割が異なります。SIEMはこれらの機器からログを受け取る側です。
- エ：誤り。ファイルの自動修復はバックアップソフトや一部のEDR（Endpoint Detection and Response：端末検出応答）およびバックアップシステムの機能です。SIEMは改ざんを検知して通知やインシデントの記録を行いますが、直接バックアップから復旧する機能は通常持ちません。
よくある誤解
- SIEMは攻撃を自動で防ぐ装置だと思い込む：実際は検知・記録・可視化が主で、防御は別装置や運用（ブロック、隔離）で行います。
- SIEMで暗号化通信の中身をそのまま見られると思う：暗号通信を解析するには復号の仕組みや証明書の管理が別途必要です。
- すべてのログをただ集めればよいと考える：量だけでは意味が薄く、正規化・相関ルールやアラートの調整が重要です。ログの質と運用が検知力を左右します。
補足コラム
実務での運用イメージ：
- まずは重要資産（認証サーバ、VPN、ファイアウォール、メールゲートウェイ、業務アプリ）のログ収集から始めます。
- SIEMで「ユースケース」（例：深夜の大量認証失敗→ブルートフォース攻撃の疑い）を作り、閾値やフィルタを調整します。
- アラートが出たらSOP（標準作業手順）に従い、担当者がログのタイムラインを追って影響範囲を特定します。大企業ではSOC（Security Operations Center：セキュリティ監視組織）がこれを担当し、SMBや非専門部門はMSSP（Managed Security Service Provider：運用委託）に委託することも多いです。
- 注意点は「アラート過多（false positive）」で担当者の疲弊を招くことです。まずは重要度の高い検知から運用を始め、段階的にカバー範囲を広げるのがおすすめです。
FAQ
Q. SIEMを入れれば必ずインシデントが見つかりますか？
A. 見つかりやすくなりますが「必ず」はありません。収集するログ種類、相関ルールの精度、ログ保管期間、そして運用体制（アラート対応）が重要です。
A. 見つかりやすくなりますが「必ず」はありません。収集するログ種類、相関ルールの精度、ログ保管期間、そして運用体制（アラート対応）が重要です。
Q. SIEMとIDS/IPSはどこが違いますか？
A. IDS/IPSはネットワーク上の攻撃の検知／阻止（IDSは検知、IPSは阻止を行う）が主目的です。SIEMは機器やアプリのログを横断的に集め、相関分析して全体像を把握するのが役割です。役割分担が違います。
A. IDS/IPSはネットワーク上の攻撃の検知／阻止（IDSは検知、IPSは阻止を行う）が主目的です。SIEMは機器やアプリのログを横断的に集め、相関分析して全体像を把握するのが役割です。役割分担が違います。
Q. 小さな会社でもSIEMは必要ですか？
A. 必須ではありませんが、ログを一元化して監査対応や異常検知を効率化できます。コストや運用人員が問題なら、まずは重要ログの集約と簡易ルールで始め、必要に応じてMSSP利用を検討するとよいでしょう。
A. 必須ではありませんが、ログを一元化して監査対応や異常検知を効率化できます。コストや運用人員が問題なら、まずは重要ログの集約と簡易ルールで始め、必要に応じてMSSP利用を検討するとよいでしょう。
関連キーワード: SIEM、ログ管理、相関分析、SOC、アラートチューニング、監査証跡、ログ正規化、MSSP、インシデント検知、UTM
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！