SIEM（Security Information and Event Management）

サーバ、ネットワーク機器、セキュリティ製品、クラウドなどからログやイベントを集約し、正規化・相関分析してセキュリティ上の異常を検知する仕組みです。

■ 試験で押さえるポイント

• 異なる形式のログを共通の項目へ正規化し、時刻、利用者、端末、送信元、操作などを横断して検索・分析できるようにします。

• 単独では重要度が低い事象でも、短時間のログイン失敗、成功、特権操作というように複数の事象を相関させて攻撃を検知します。

• 検知規則だけでなく、しきい値、統計的な異常、脅威情報との照合などを利用します。時刻同期、ログ欠落の監視、保存期間の設計が分析精度を左右します。

• SIEMは主に情報の収集・分析・可視化を担います。対応手順の自動実行を中心とするSOARとは役割が異なります。

■ 過去問での着眼点

SIEMは複数のログやイベントを一か所へ集約し、正規化と相関分析によって異常を検知します。一つの機器のログ保存だけではなく、複数情報源を横断して関連付ける点に注目します。ログの集約・正規化・相関分析がSIEMの主要機能です。

例: VPNのログイン成功、直後の管理者権限取得、大量のファイル参照を同一利用者の一連の事象として相関し、警告を生成します。