最終更新日：2026年6月25日

fe fe-technology security

まず結論

SIEMとは、サーバ、ネットワーク機器、アプリケーションなどからログを集め、相関分析して異常の発見や対応を支援する仕組みです。

SIEMは、Security Information and Event Management の略です。
日本語では、セキュリティ情報イベント管理 と説明されます。

基本情報技術者試験では、SIEMは ログを総合的に分析する、管理者の対応を支援する というキーワードで判断しやすいです。

直感的な説明

SIEMは、いろいろな場所の防犯カメラ映像や入退室記録を、1か所に集めて見張る管制室 のようなものです。

1台のサーバのログだけを見ると、ただの失敗ログに見えることがあります。

しかし、複数のログを合わせて見ると、攻撃の流れが見えることがあります。

例えば、次のようなログが別々の機器から出ていたとします。

  • Webサーバでログイン失敗が急増した
  • ファイアウォールで不審な通信が増えた
  • 端末でマルウェアらしい動きが検知された
  • 管理者権限の操作ログが残っている

SIEMは、こうしたログを集めて関連付け、単独では見えにくい異常を見つける ために使います。

定義・仕組み

SIEMは、さまざまな機器やシステムからログやイベント情報を収集し、分析・通知・調査支援を行う仕組みです。

FE試験では、次の役割を押さえると十分です。

役割 内容
ログ収集 サーバ、ネットワーク機器、セキュリティ機器などからログを集める
集約管理 集めたログを一元的に管理する
相関分析 複数のログを関連付けて異常を見つける
アラート通知 不審な動きがあると管理者に知らせる
調査支援 インシデント発生時に原因調査や対応を助ける

SIEMは、通信を直接止める装置ではありません。

SIEMの中心は、集める、分析する、知らせる、対応を支援する ことです。

このテーマは、基本情報技術者試験の「情報セキュリティ」や「セキュリティ運用」と関係する内容です。公式の出題範囲やシラバスは、IPA：基本情報技術者試験 から確認できます。

科目Aでどう出る？

科目Aでは、SIEMは似たセキュリティ技術との切り分けで出題されやすいです。

判断するときは、ログを集めて分析しているか を見ます。

キーワード 判断
様々な機器からログを集める SIEM
ログを総合的に分析する SIEM
相関分析する SIEM
管理者の対応を支援する SIEM
隔離環境でファイルを実行する サンドボックス
ネットワーク機器を集中制御する SDN
通信を検査して遮断する IPS
Webアプリケーションへの攻撃を防ぐ WAF

例えば、次のような説明はSIEMです。

様々な機器から集められたログを総合的に分析し，
管理者による分析と対応を支援する。

この説明では、ログを集める、総合的に分析する、対応を支援する という点が決め手です。

一方で、次のような説明はSIEMではありません。

隔離された仮想環境でファイルを実行し，
外部サーバへの通信などの振る舞いを監視する。

これは、マルウェア解析などで使われるサンドボックスの説明です。

FE試験では、ログ分析ならSIEM、隔離実行ならサンドボックス、通信制御ならIPSやWAF と考えると選択肢を切りやすいです。

科目Bでどう使う？

SIEMは、科目Bの擬似言語トレース問題で中心になることは多くありません。

ただし、セキュリティ運用やインシデント対応の説明を読むときに、SIEMの役割を知っていると整理しやすくなります。

例えば、企業のネットワークで次のような状況があったとします。

Webサーバ：短時間に大量のログイン失敗
ファイアウォール：海外IPからの通信増加
端末：不審なプロセスの起動
認証サーバ：深夜の管理者ログイン

これらを個別に見ると、すぐには攻撃と判断できないことがあります。

しかし、SIEMでまとめて見ると、複数の出来事を関連付けて、攻撃の可能性を見つけやすくなります。

科目Bで読むときは、次の順で整理すると分かりやすいです。

  1. どの機器やシステムから情報を集めているかを見る
  2. 集めているものがログやイベント情報かを見る
  3. 複数のログを関連付けて分析しているかを見る
  4. 管理者への通知や対応支援につながっているかを見る

SIEMは、ログをためるだけの箱ではありません。
ログを集めたうえで、相関分析してセキュリティ運用に役立てる仕組み と考えると理解しやすいです。

SG試験との違い

SIEMは、情報セキュリティマネジメント試験でもよく出る用語です。

ただし、FEとSGでは少し見え方が違います。

試験 見られやすいポイント
FE SIEMの機能を、サンドボックス・SDN・IPS・WAFなどと切り分ける
SG ログ監視、異常検知、インシデント対応、運用管理の中でどう使うかを見る

FEでは、技術の名前と機能の対応を問われやすいです。

SGでは、SIEMを使って監視し、異常を見つけ、管理者やCSIRTが対応する流れが重視されやすいです。

どちらの試験でも共通して大切なのは、SIEMはログを集約して分析する仕組み という点です。

よくある誤解・混同

SIEMで混同しやすいのは、サンドボックス、SDN、IPS、WAF、EDRです。

用語 主な役割 判断の合図
SIEM ログを集約し、相関分析して対応を支援する ログ、イベント、相関分析、通知
サンドボックス 隔離環境でファイルを実行し、振る舞いを見る 仮想環境、隔離、マルウェア解析
SDN ネットワーク機器をソフトウェアで集中制御する ネットワーク制御、構成変更、集中管理
IPS 不正な通信を検知し、遮断する 侵入防止、通信遮断
WAF Webアプリケーションへの攻撃を防ぐ SQLインジェクション、XSS、Webアプリ
EDR 端末の挙動を監視し、検知・調査・対応する エンドポイント、端末、プロセス、隔離

SIEMとIPSは混同しやすいです。

  • SIEM：ログを集めて分析する
  • IPS：不正な通信を検知して遮断する

SIEMとEDRも近く見えることがあります。

  • SIEM：複数の機器やシステムのログを集約する
  • EDR：端末上の挙動を詳しく監視・調査する

SIEMは、いろいろな情報を集めて全体を見る仕組みです。
単独の通信制御や端末防御だけを指すわけではありません。

さらに注意したいひっかけ

SIEMでは、次のようなひっかけにも注意します。

ひっかけ表現 なぜ注意する？
隔離された仮想環境で実行する サンドボックスの説明
ネットワーク機器を集中制御する SDNの説明
通信を遮断する IPSやファイアウォールの説明
Webアプリケーションへの攻撃を防ぐ WAFの説明
端末を隔離する EDRの対応機能として出やすい
ログを保存するだけ SIEMは保存だけでなく分析・通知・対応支援が重要
通信を直接制御する SIEM自体の中心機能ではない

特に、SIEMは通信を直接止める装置ではない という点は大切です。

SIEMは、ログやイベントを集めて、異常を見つけやすくする仕組みです。
検知結果をもとに管理者が対応したり、他の仕組みと連携したりすることはありますが、SIEMの中心機能はログ分析です。

FE試験では、ログ・イベント・相関分析 が出たらSIEMを疑う、という判断が有効です。

まとめ（試験直前用）

  • SIEMは、様々な機器やシステムのログを集約し、相関分析する仕組み
  • 「ログ」「イベント」「相関分析」「対応支援」が出たらSIEMを疑う
  • 隔離環境で実行するならサンドボックス
  • ネットワーク機器を集中制御するならSDN
  • 通信を遮断するならIPSやファイアウォール
  • Webアプリケーションを守るならWAF
  • FEでは機能の切り分け、SGでは運用・対応の流れを意識する

© 2024-2026 stemtazoo. All rights reserved.