問題 No.6484
A社では、全社的なセキュリティ監視体制を強化するため、ネットワーク機器やサーバー、エンドポイントから出力される多様なログを一元管理するシステムとしてSIEMを導入した。このSIEMの運用に関する記述として、最も適切なものはどれか。
【正解の解説】
収集した大量のログから異なる機器間のイベントを相関分析し、単体の機器では検知できない高度なサイバー攻撃の兆候をリアルタイムに発見する。
SIEMは、例えるなら「病院の総合診断システム」です。血圧計、心電図、体温計といった別々の機器（サーバーやファイアウォールなど）のデータを一つに集め、別々の場所でおきた小さな異常を組み合わせて「これは大病の前兆だ！」と見抜くように、サイバー攻撃の隠れたサインをリアルタイムに見つけ出します。
スポンサーリンク
【その他の選択肢の解説】
収集した大量のログを暗号化して長期保管し、情報漏洩が発生した際の法的証拠として法的な要件を満たす完全性を維持する。
ログを改ざんから守り法的な証拠として残すことは重要ですが、それはSIEMの主目的ではなく、ログ管理システムやアーカイブ機能の役割です。SIEMは貯めることよりも、集めたデータを「分析して攻撃にすぐ気づくこと」に特化している点が決定的な違いです。
収集した大量のログから不要なパケット情報を自動的に破棄し、ファイアウォールと連携して不正な通信経路を物理的に遮断する。
通信の遮断やパケットの制御は、門番であるファイアウォールやIDS/IPSの仕事です。SIEMはあくまで「監視カメラの映像をまとめて見る警備員室」のような存在であり、それ自体が直接ネットワークを遮断する機能を持っているわけではありません。
収集した大量のログを定期的に圧縮ファイルへ手動で変換し、管理者の端末へ電子メールで一斉送信して内容を毎日確認する。
現代の企業システムでは毎日数百万〜数億件のログが出力されるため、人間がメールで手動確認するのは不可能です。SIEMはこうした膨大なデータを自動かつ高速に処理するためのものであり、管理者の手作業を前提としたシステムではありません。