SIEM・ログ管理とは？

SIEM・ログ管理の意味

機器やアプリが出力するログを一箇所に集め、相関分析して異常の兆候を検知する仕組み。時刻や識別子をそろえて横断的に追跡できるようにし、不正の早期発見と事後の追跡を可能にする。保存期間と対象範囲は、法令要求と費用の兼ね合いで決める。

SIEM・ログ管理の具体例

認証サーバの失敗ログとVPNの接続ログを突き合わせ、深夜に海外から同一利用者IDで多数の失敗後に成功した事象を検知し、担当者へ自動通知する。ログは監査対応のため1年分をオンラインで保持し、それ以前は安価な保管領域へ移す。

SIEM・ログ管理は試験でどう引っ掛けられる？

SIEMは検知と分析の基盤であり、端末上で攻撃を止める機能は持たない。遮断はEDRやファイアウォールの役目。またログを集めるだけでは意味がなく、相関ルールと運用担当を用意しなければ通知が放置される。

SIEM・ログ管理と関連する用語

• CSIRT・SOC
• EDR・XDR
• デジタルフォレンジックス

SIEM・ログ管理が出た過去問

• システム管理基準（平成30年）によれば、ITシステムの運用・利用におけるログ管理に関する記述のうち、適切なものはどれか。

  正解：取得したログは、不正なアクセスから保護し、内容が改ざんされないように保管する。

  要点：ログは改ざんを防いで保管し、定期的に分析する

  ログは不正やトラブルの事実を証明する根拠となるため、記録すること以上に、記録した内容が後から書き換えられていないことが重要になる。そのため、アクセス権を限定し改ざんを防ぐ形で保管する必要がある。特権的アクセスのログはむしろ重点的に分析すべきで、分析も事故発生時だけでなく定期的に行う。

  出典：令和4年度 春期 応用情報技術者試験 午前 問61（IPA）

• SIEM（Security Information and Event Management）の特徴はどれか。

  正解：複数のサーバやネットワーク機器のログを収集分析し、不審なアクセスを検知する。

  要点：SIEMは複数機器のログを統合分析して脅威を検知する

  SIEMは、サーバ・ネットワーク機器・セキュリティ製品など複数の機器のログを一元的に収集し、相関分析によって単独のログでは気付けない不審なアクセスや攻撃の兆候を検知する仕組みである。監視の統合と早期検知が目的である。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問38（IPA）