SIEMの効果は何か UTMなど似た製品との違いを整理
情報セキュリティマネジメント試験 令和7年度 問2 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
SIEM製品によるセキュリティ上の効果として，最も適切なものはどれか。
- ア
様々な機器のログを集中管理することによって，横断的な分析や相関分析が可能になり，単純な目視だけでは発見困難な兆候を検知，分析，可視化することが可能になる。
- イ
通信経路上を流れるパケットをキャプチャし，暗号化されたデータが改ざんされていないかどうかをチェックすることが可能になる。
- ウ
ファイアウォール，IDS，マルウェア対策といった複数のネットワークセキュリティ機能を一つの機器で実現することが可能になる。
- エ
ファイルの改ざんを検知すると，事前に取得済みのバックアップを用いて直ちに修復することが可能になる。
会話形式の解説
講師今回はSIEMという製品の効果を問う問題です。SIEMが何を集めて何をする製品なのかを押さえると、似た製品の説明が混ざった選択肢を見分けられます。
受験者SIEMは名前を聞いたことはありますが、UTMとの区別があいまいです。どちらも「統合」や「集中管理」という説明を見かけるので、迷ってしまいます。
講師そこが一番の引っかけです。SIEMの中心となる機能は、さまざまな機器のログ、つまり動作の記録を1か所に集めて、関連付けて分析することです。集めて統合する対象はログです。
受験者それなら、ログを集中管理して横断的な分析や相関分析をするという選択肢がSIEMの説明に当たりますね。
講師そのとおりです。1台の機器のログだけでは見落としやすい攻撃の兆候も、複数のログを突き合わせると見つけられます。分析結果を可視化して管理者に知らせ、インシデント対応を支援する点もSIEMの効果です。
受験者ファイアウォール、IDS、マルウェア対策を一つの機器で実現するという選択肢が、私が混同していたUTMの説明でしょうか。
講師はい、それはUTM（統合脅威管理）です。UTMは防御機能を1台に統合した機器です。一方のSIEMは防御機能そのものを持つのではなく、そうした防御機器が出力するログを集めて分析する側に立ちます。
受験者パケットをキャプチャして暗号化データの改ざんをチェックするという選択肢も、監視の話なのでSIEMっぽく見えました。
講師監視という点で似て見えますが、パケットの取得と解析にはプロトコルアナライザを使います。それに、パケットを取得するだけでは暗号文が改ざんされたかどうかは判定できません。改ざんの検証にはMACやディジタル署名を使います。
受験者残りの、ファイルの改ざんを検知してバックアップから直ちに修復するという選択肢も、SIEMの基本機能ではないということですね。
講師はい。改ざんの検知はファイル整合性監視の役割で、復旧は別のシステムや運用手順で行うのが一般的です。担当を当てはめていくと、残るのはログの相関分析の選択肢だけになります。
受験者SIEMはログを集めて相関分析し、兆候を見つけて可視化する。UTMは防御機能を1台にまとめる。この区別で整理できました。
講師よい整理です。補足すると、SIEMは事後の原因調査にも役立ちます。試験では「統合」という言葉だけで判断せず、何を統合しているのか、ログなのか防御機能なのかを確かめるようにしてください。
まとめ
SIEMは、さまざまな機器やアプリケーションのログを集約して相関分析し、単独のログでは見つけにくい攻撃の兆候を検知・可視化する製品です。検知結果を管理者に通知し、インシデント対応や事後の原因調査も支援します。複数の防御機能を1台にまとめるのはUTMで、SIEMはそうした機器のログを分析する側に立ちます。パケットの取得・解析はプロトコルアナライザ、改ざんの検証はMACやディジタル署名、ファイル改ざんの検知はファイル整合性監視の役割です。「統合」の対象がログか防御機能かで区別すると判断しやすくなります。
解答・解説
正解はアです
この問題のテーマ
SIEM（Security Information and Event Management）がどんなセキュリティ上の効果をもたらすかを問う問題です。UTMやファイル改ざん検知など、似た製品の役割と区別できるかが試されます。
解き方の考え方
SIEMの中心となる機能は、さまざまな機器のログを1か所に集めて、それらを関連付けて分析することです。各選択肢を読み、「ログの集約・相関分析」の話か、それとも別の製品や仕組みの話かを見分けます。パケットの取得はプロトコルアナライザ、複数の防御機能を1台にまとめるのはUTM、改ざんされたファイルを復元するのはバックアップや復旧の仕組み、というように担当を当てはめていけば、残るのはアだけです。
選択肢ごとの解説
- ○ア 様々な機器のログを集中管理することによって，横断的な分析や相関分析が可能になり，単純な目視だけでは発見困難な兆候を検知，分析，可視化することが可能になる。ログを集中管理して横断的な分析や相関分析を行うという説明は、SIEMの役割そのものです。1台の機器のログだけでは見落としやすい攻撃の兆候も、複数のログを突き合わせることで見つけられます。分析で得た結果を可視化して管理者に知らせ、インシデント対応を支援する点もSIEMの効果です。
- ×イ 通信経路上を流れるパケットをキャプチャし，暗号化されたデータが改ざんされていないかどうかをチェックすることが可能になる。通信経路上のパケットをキャプチャして暗号化データの改ざんを確認するという説明は、SIEMの機能ではありません。パケットの取得と解析にはプロトコルアナライザを使います。また、パケットを取得するだけでは暗号文が改ざんされたかどうかは判定できず、改ざんの検証にはMACやディジタル署名を使います。
- ×ウ ファイアウォール，IDS，マルウェア対策といった複数のネットワークセキュリティ機能を一つの機器で実現することが可能になる。ファイアウォール、IDS、マルウェア対策を1台の機器にまとめるという説明は、UTM（統合脅威管理）のことです。SIEMは防御機能そのものを持つ機器ではありません。これらの防御機器が出力するログを集めて分析する立場にあります。
- ×エ ファイルの改ざんを検知すると，事前に取得済みのバックアップを用いて直ちに修復することが可能になる。ファイルの改ざんを検知してバックアップから直ちに修復するという説明は、SIEMの基本機能ではありません。改ざんの検知はファイル整合性監視の役割です。復旧は、別のシステムや運用手順で行うのが一般的です。
補足
「統合」「集中管理」という言葉は、SIEMにもUTMにも使われるため、取り違えやすい点に注意が必要です。SIEMが集めて統合するのはログ、UTMが1台に統合するのは防御機能、と区別して覚えると判断しやすくなります。
POINT
- SIEMは、複数の機器やアプリケーションのログを集約して相関分析し、単独のログでは見つけにくい兆候を検知します。
- SIEMは、検知結果を可視化して管理者に通知し、インシデント対応や事後の原因調査を支援します。
- 複数のセキュリティ機能を1台にまとめた製品はUTMで、SIEMはそうした機器のログを分析する側に立ちます。
- パケットの取得と解析はプロトコルアナライザ、改ざんの検証はMACやディジタル署名の役割です。