SIEM・ログ管理とは？しーむろぐかんり
SIEM・ログ管理とは、機器やアプリケーションが出力するログを一箇所へ集約し、相関分析して攻撃や不正の兆候を検知する仕組み。時刻の同期と識別子の統一によって、ファイアウォール・認証基盤・端末の記録を1つの出来事として横断的に追跡できるようにする。収集対象と保存期間は、法令や契約上の要求と保管費用の釣り合いで決める。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
ログは以前から機器ごとに出ていたが、それぞれの中に閉じていたため、単体では正常に見える動作の連なりが攻撃だと気づけなかった。侵入を完全に防げるという前提が崩れ、侵入されている前提で「気づくまでの時間」を短くする方向へ運用が移ると、点在する記録を突き合わせる基盤が欠かせなくなる。同時に、痕跡を消されないよう攻撃者の手が届かない場所へログを移すという証拠保全の要求も重なった。
具体例
Splunk EnterpriseやMicrosoft Sentinel、OSSのElastic Stackといった製品が使われ、VPNの接続元と認証失敗の回数、その直後の管理者権限の使用といった別々のログを組み合わせた相関ルールで通知を出す。MITRE ATT&CKの攻撃手法一覧にルールを対応づけ、検知できていない手法を洗い出す使い方も広がっている。
試験での引っ掛け
SIEMは集約・相関・検知の基盤であって、通信や実行を止める機能は持たない。遮断はファイアウォール・IPS・EDRの役割で、検知から対処までを自動でつなぐ層はSOARと呼ばれる。集めただけでは検知にならず、相関ルールと対応する運用体制が無ければ通知は放置される。時刻がずれた機器のログは相関の材料にならない点も定番。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。