SIEMとは？

SIEMの意味

サーバ・ネットワーク機器・端末など多数の機器が出すログを1か所に集め、時刻をそろえて相関分析し、単体のログでは見えない攻撃の兆候を検知して管理者に警告する仕組み。ログの長期保管と検索も担い、事故後の追跡調査の土台になる。

SIEMの具体例

ある端末で認証失敗が連続したあと、同じ利用者IDで別のサーバへのログイン成功と大量の外部通信が続いた——という単体では見逃す並びを、SIEMが1つの流れとしてまとめて「不審な内部侵害の疑い」として通知する。深夜帯だけを抜き出した検索も後から行える。

SIEMは試験でどう引っ掛けられる？

SIEMは「集めて気づく」仕組みであって、通信を止める装置ではない。遮断はファイアウォールやIPSの役割。また相関ルールを作り込まないと警告が出すぎ、運用側が無視するようになる点も問われる。

SIEMと関連する用語

• ログ管理とデジタルフォレンジック
• ファイアウォール・IDS・IPS
• CSIRT

SIEMが出た過去問

• SIEM（Security Information and Event Management）の機能はどれか。

  正解：様々な機器から集められたログを総合的に分析し、管理者による分析と対応を支援する。

  要点：SIEMは各種ログを集約・相関分析して検知を支援する

  SIEMは、サーバやネットワーク機器、セキュリティ製品などが個別に出力するログを一か所に集約し、相関分析によって単独では気付きにくい兆候を浮かび上がらせる仕組みである。異常を検知すると管理者へ通知し、調査と対応を支援する。個々の機器のログを人手で突き合わせる負担を減らせる点が価値である。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問43（IPA）

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの中身を検査し攻撃を遮断する仕組み

  WAFはWebアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃とみなせるパターンを検知して遮断する仕組みである。ネットワーク層で通信を絞るファイアウォールとは異なり、HTTPの中身まで見る点が特徴になる。WPA2やSIEM、UTMとは目的が異なる。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）