SIEM（Security Information and Event Management）

SIEM（Security Information and Event Management）は、さまざまな機器のログを集めて、形式をそろえ、関連付けて分析し、セキュリティの異常を検知する仕組みです。

■ 試験で押さえるポイント

• 異なる形式のログを共通の項目にそろえて（正規化して）、まとめて検索できるようにします。

• 1つでは目立たない出来事も、複数を関連付けて（相関分析して）攻撃を見つけます。

• 正しく分析するため、機器の時刻を合わせます。

■ 過去問での着眼点

ログの集約、正規化、相関分析がSIEMの機能です。検知の後の対応の自動化はSOARの役割です。

例: VPNへのログイン、直後の管理者権限の取得、大量のファイルの参照を一連の出来事として関連付け、警告を出します。

■ ログ相関のキーと証拠の限界

• ログを同じ時刻基準へそろえ、利用者ID、端末ID、IP、セッションID、要求IDなどでつなぐ。IPはNAT・VPN・DHCPで共有や変更があるため、単独では利用者を特定できない。

• サインイン成功、端末での不審な実行、ファイル読取り、外部送信の順序を調べる。相関ルールの一致は調査対象を絞る手掛かりであり、侵害や流出の確定には各観測点の証拠が必要である。

• 取り込み遅延、時刻ずれ、ログ欠落、監査無効化を確認する。アクセス権、保持期間、改変防止も管理し、アラートがないことを攻撃がない証明にしない。