SIEM（Security Information and Event Management）
機器ごとに散らばったログを1か所に集め、突き合わせて異常に気づく仕組み。
もう少し詳しい説明
SIEM（Security Information and Event Management、シーム）は、機器ごとに散らばったログを1か所に集め、突き合わせて異常に気づく仕組みです。
ログは、機器やソフトが「いつ、何が起きたか」を書き残した記録のことです。
1台ずつ見ても、気づけない
ログは、どの機器も出しています。問題は、1台ずつ見ているかぎり、ほとんどが「よくあること」に見えるという点です。
- ファイアウォール（通してよい通信とそうでない通信をより分ける仕組み）のログ … 外から通信が来た。毎日何万件もある
- 認証（相手が本人かどうかを確かめる手続き）サーバ（要求を受け取って応えを返す側の機械）のログ … ログインに失敗した。打ち間違いは誰にでもある
- 業務サーバのログ … ファイルがまとめてダウンロードされた。業務でもやる
どれも単独では異常に見えません。 ところが、この3つが数分のあいだに、同じ利用者で並んで起きていたらどうでしょうか。
外から接続があった → 何度も失敗したあと成功した → 直後に大量のファイルが持ち出された
並べて初めて形が見えます。 これをやるのがSIEMです。
やっていること
1. 集める
機器ごとにログの書き方が違います。日付の書き方も、項目の並びもばらばらです。そのままでは比べられないので、同じ形にそろえてから貯めます。
2. 突き合わせる
集めたログを、時刻と利用者をたよりに並べ直します。これを相関分析と呼びます。別々の機器の出来事を、1つの出来事の流れとして見るということです。
3. 規則に当てる
「失敗が◯回続いたあとに成功したら知らせる」のような規則をあらかじめ決めておき、当てはまるものを探します。
4. 知らせる
当てはまったら、担当者に知らせます。判断するのは人です。SIEMは「ここがあやしい」と指すところまでで、止めるかどうかは人が決めます。
どの段で気づけるか
サイバーキルチェーン（攻撃を段階に分けた枠組み）で言えば、SIEMが効くのは中ほどから下の段です。
偵察の段は、外から見れば通常の閲覧と区別がつかないので、ログだけでは気づけません。いっぽう侵入したあとの動き——何度も認証を試す、ふだん触らないファイルを見る、夜中に大量の通信が出ていく——は、ログに残ります。
⑦まで進む前に気づくのが、SIEMのねらいです。
困りごとは「多すぎる」こと
実際に使うときの壁は、知らせが多すぎることです。
規則をゆるくすると、本当は問題のないものまで知らせてきます。これを誤検知と呼びます。1日に何百件も来れば、人は見なくなります。
逆に規則を厳しくすると、本物を見逃します。これを検知漏れと呼びます。
どちらかを減らすと、もう一方が増えます。 そのため、運用しながら規則を直し続けることになります。入れて終わりにならない道具です。
似た言葉と分けておく
| 言葉 | 何をするか |
|---|---|
| SIEM | ログを集めて突き合わせ、異常に気づく |
| ファイアウォール | 通信を条件で選んで通す。通す・通さないを決める |
| IDS | 侵入らしい通信を見つけて知らせる。止めはしない |
| IPS | 侵入らしい通信を見つけて止める |
SIEMだけが、通信ではなくログを見ています。 ほかの3つは通信そのものを相手にしています。見ている対象が違う、と分けてください。
（IDSは Intrusion Detection System、侵入検知システム。IPSは Intrusion Prevention System、侵入防止システムです。Dが検知、Pが防止です。）
試験ではこう出る
科目A（旧・午前）のセキュリティ分野で出ます。多いのは、SIEMの説明を選ばせる問題です。「複数の機器のログを一元的に管理し、相関分析によって異常を検知する」という表現が答えになります。
ファイアウォール・IDS・IPSと並べる形も定番です。SIEMはログ、ほかは通信で切り分けてください。
取り違えやすいのは、IDSとIPSの違いです。Dが Detection（検知）で知らせるだけ、Pが Prevention（防止）で止める、と頭文字で覚えられます。
応用情報では、誤検知と検知漏れのつり合いまで問われます。規則をゆるめれば誤検知が増え、厳しくすれば見逃しが増える、という向きで考えてください。
関連する用語
- サイバーキルチェーン
- 攻撃を段階に分けた枠組み。SIEMは、上の段で気づくための道具
- ブルートフォース攻撃
- 失敗が続いたあとに成功する、という並びはSIEMが見つける代表例
- インシデント管理
- 止まったサービスを早く戻す活動。SIEMの知らせは、その入口になる
- システム監査
- 記録が残っているかを確かめる活動。ログを集めておくこととつながる
ミニクイズ
SIEMの説明として、最も適切なものはどれか。
正解は 2番：複数の機器のログを1か所に集め、相関を分析して異常を検知する
SIEMは、ファイアウォールやサーバなど複数の機器が出すログを1か所に集め、突き合わせて分析することで異常に気づく仕組みです。1台ずつのログでは普通に見える出来事でも、並べると攻撃の形が見えることがあります。通信を条件で選んで通すのはファイアウォール、ファイルを暗号化して金銭を要求するのはランサムウェア、1度の認証で複数のサービスを使えるようにするのはシングルサインオンです。
この分野をまとめて解く → セキュリティのミニテスト（全47問）
最終更新：2026-11-05