SIEMの機能は何を集めて何をするか
基本情報技術者試験 令和元年度秋期 午前 問43 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
SIEM(Security Information and Event Management)の機能はどれか。
- ア
隔離された仮想環境でファイルを実行して，C&Cサーバへの通信などの振る舞いを監視する。
- イ
様々な機器から集められたログを総合的に分析し，管理者による分析と対応を支援する。
- ウ
ネットワーク上の様々な通信機器を集中的に制御し，ネットワーク構成やセキュリティ設定などを変更する。
- エ
パケットのヘッダ情報の検査だけではなく，通信先のアプリケーションプログラムを識別して通信を制御する。
会話形式の解説
講師この問題では、各機能が何を扱い、何をするかに注目します。SIEMが扱う中心的な情報は何でしょうか。
受験者セキュリティに関係するので、通信を制御する説明も当てはまりそうです。
講師SIEMが中心に扱うのは、複数の機器やソフトウェアから得たログです。それらを関連付けて分析します。
受験者では、様々な機器のログをまとめて分析する説明が合いますか。
講師はい。分析によって異常の調査に役立て、管理者の判断や対応を支援する説明が正解です。
受験者隔離した環境でファイルを動かして調べる説明も、分析ではありますよね。
講師それはファイルの振る舞いを調べるサンドボックスです。SIEMのように、集めたログを分析する機能とは対象が違います。
受験者通信機器の設定をまとめて変更する説明は、ログを分析するのではなく、機器を制御しています。
講師その通りです。機器の集中制御はSDNなどが担う役割です。
受験者通信先のアプリケーションを識別する説明はどうですか。
講師そこで行っているのは通信の制御です。管理者の調査を支援するログ分析とは区別します。
受験者分析という言葉だけで選ばず、対象が複数の機器のログか、役割が管理者の対応支援かを確かめればよいのですね。
講師はい。個別の記録だけでは見つけにくい異常も、ログを関連付けることで調査しやすくなります。
まとめ
SIEMは、複数の機器やソフトウェアから得たログを関連付けて分析し、管理者の調査や対応を支援します。隔離環境でファイルの振る舞いを調べるのはサンドボックスの機能です。機器の集中制御や通信の制御も、SIEMが行うログ分析とは役割が異なります。
解答・解説
正解はイです
この問題のテーマ
SIEMの機能を、検体の分析やネットワークの制御と区別できるかを問う問題です。
解き方の考え方
各選択肢で、何を集め、何を行う機能なのかを確認します。SIEMが扱う中心的な情報は、複数の機器やソフトウェアから得たログです。そのログを関連付けて分析し、管理者の調査や対応を支援する説明を選びます。
選択肢ごとの解説
- ×ア 隔離された仮想環境でファイルを実行して，C&Cサーバへの通信などの振る舞いを監視する。アの説明は、隔離した環境でファイルを動かし、その振る舞いを調べています。これは検体を調査するサンドボックスの機能であり、ログを集めて分析するSIEMの機能ではありません。
- ○イ 様々な機器から集められたログを総合的に分析し，管理者による分析と対応を支援する。イは、様々な機器のログをまとめて分析し、その結果を管理者の判断に役立てる説明です。ログを関連付けて異常の発見や対応を支援するSIEMに該当します。
- ×ウ ネットワーク上の様々な通信機器を集中的に制御し，ネットワーク構成やセキュリティ設定などを変更する。ウの説明では、通信機器を集中制御し、構成や設定を変更しています。これはSDNなどが担うネットワーク制御の役割です。
- ×エ パケットのヘッダ情報の検査だけではなく，通信先のアプリケーションプログラムを識別して通信を制御する。エの説明では、通信先のアプリケーションを識別して通信を制御しています。SIEMが行うログの分析と対応支援には該当しません。
POINT
- SIEMは、複数の機器やソフトウェアが出すログを扱います。
- ログを関連付けることで、個別の記録だけでは見つけにくい異常の調査に役立ちます。
- 隔離環境でファイルの挙動を調べる機能はサンドボックスです。
- 機器の集中制御や通信の制御は、ログ分析とは役割が異なります。