---
title: "SIEMとは？ログを集めて相関分析するセキュリティ監視の仕組み【基本情報技術者試験】"
description: "SIEMを「多様な機器やシステムのログを集約し、相関分析して異常検知や対応支援を行う仕組み」として整理し、サンドボックス、SDN、IPS、WAFとの違いをFE試験向けに解説します。"
last_modified_at: "2026-06-25"
canonical_url: "https://stemtazoo.github.io/fe/siem/"
section: "fe"
---

## まず結論

SIEMとは、**サーバ、ネットワーク機器、アプリケーションなどからログを集め、相関分析して異常の発見や対応を支援する仕組み**です。

SIEMは、Security Information and Event Management の略です。  
日本語では、**セキュリティ情報イベント管理** と説明されます。

基本情報技術者試験では、SIEMは **ログを総合的に分析する**、**管理者の対応を支援する** というキーワードで判断しやすいです。

## 直感的な説明

SIEMは、**いろいろな場所の防犯カメラ映像や入退室記録を、1か所に集めて見張る管制室** のようなものです。

1台のサーバのログだけを見ると、ただの失敗ログに見えることがあります。

しかし、複数のログを合わせて見ると、攻撃の流れが見えることがあります。

例えば、次のようなログが別々の機器から出ていたとします。

- Webサーバでログイン失敗が急増した
- ファイアウォールで不審な通信が増えた
- 端末でマルウェアらしい動きが検知された
- 管理者権限の操作ログが残っている

SIEMは、こうしたログを集めて関連付け、**単独では見えにくい異常を見つける** ために使います。

## 定義・仕組み

SIEMは、さまざまな機器やシステムからログやイベント情報を収集し、分析・通知・調査支援を行う仕組みです。

FE試験では、次の役割を押さえると十分です。

| 役割 | 内容 |
|---|---|
| ログ収集 | サーバ、ネットワーク機器、セキュリティ機器などからログを集める |
| 集約管理 | 集めたログを一元的に管理する |
| 相関分析 | 複数のログを関連付けて異常を見つける |
| アラート通知 | 不審な動きがあると管理者に知らせる |
| 調査支援 | インシデント発生時に原因調査や対応を助ける |

SIEMは、通信を直接止める装置ではありません。

SIEMの中心は、**集める、分析する、知らせる、対応を支援する** ことです。

このテーマは、基本情報技術者試験の「情報セキュリティ」や「セキュリティ運用」と関係する内容です。公式の出題範囲やシラバスは、[IPA：基本情報技術者試験](https://www.ipa.go.jp/shiken/kubun/fe.html) から確認できます。

## 科目Aでどう出る？

科目Aでは、SIEMは似たセキュリティ技術との切り分けで出題されやすいです。

判断するときは、**ログを集めて分析しているか** を見ます。

| キーワード | 判断 |
|---|---|
| 様々な機器からログを集める | SIEM |
| ログを総合的に分析する | SIEM |
| 相関分析する | SIEM |
| 管理者の対応を支援する | SIEM |
| 隔離環境でファイルを実行する | サンドボックス |
| ネットワーク機器を集中制御する | SDN |
| 通信を検査して遮断する | IPS |
| Webアプリケーションへの攻撃を防ぐ | WAF |

例えば、次のような説明はSIEMです。

```text
様々な機器から集められたログを総合的に分析し，
管理者による分析と対応を支援する。
```

この説明では、**ログを集める**、**総合的に分析する**、**対応を支援する** という点が決め手です。

一方で、次のような説明はSIEMではありません。

```text
隔離された仮想環境でファイルを実行し，
外部サーバへの通信などの振る舞いを監視する。
```

これは、マルウェア解析などで使われるサンドボックスの説明です。

FE試験では、**ログ分析ならSIEM、隔離実行ならサンドボックス、通信制御ならIPSやWAF** と考えると選択肢を切りやすいです。

## 科目Bでどう使う？

SIEMは、科目Bの擬似言語トレース問題で中心になることは多くありません。

ただし、セキュリティ運用やインシデント対応の説明を読むときに、SIEMの役割を知っていると整理しやすくなります。

例えば、企業のネットワークで次のような状況があったとします。

```text
Webサーバ：短時間に大量のログイン失敗
ファイアウォール：海外IPからの通信増加
端末：不審なプロセスの起動
認証サーバ：深夜の管理者ログイン
```

これらを個別に見ると、すぐには攻撃と判断できないことがあります。

しかし、SIEMでまとめて見ると、複数の出来事を関連付けて、攻撃の可能性を見つけやすくなります。

科目Bで読むときは、次の順で整理すると分かりやすいです。

1. どの機器やシステムから情報を集めているかを見る
2. 集めているものがログやイベント情報かを見る
3. 複数のログを関連付けて分析しているかを見る
4. 管理者への通知や対応支援につながっているかを見る

SIEMは、ログをためるだけの箱ではありません。  
ログを集めたうえで、**相関分析してセキュリティ運用に役立てる仕組み** と考えると理解しやすいです。

## SG試験との違い

SIEMは、情報セキュリティマネジメント試験でもよく出る用語です。

ただし、FEとSGでは少し見え方が違います。

| 試験 | 見られやすいポイント |
|---|---|
| FE | SIEMの機能を、サンドボックス・SDN・IPS・WAFなどと切り分ける |
| SG | ログ監視、異常検知、インシデント対応、運用管理の中でどう使うかを見る |

FEでは、技術の名前と機能の対応を問われやすいです。

SGでは、SIEMを使って監視し、異常を見つけ、管理者やCSIRTが対応する流れが重視されやすいです。

どちらの試験でも共通して大切なのは、**SIEMはログを集約して分析する仕組み** という点です。

## よくある誤解・混同

SIEMで混同しやすいのは、サンドボックス、SDN、IPS、WAF、EDRです。

| 用語 | 主な役割 | 判断の合図 |
|---|---|---|
| SIEM | ログを集約し、相関分析して対応を支援する | ログ、イベント、相関分析、通知 |
| サンドボックス | 隔離環境でファイルを実行し、振る舞いを見る | 仮想環境、隔離、マルウェア解析 |
| SDN | ネットワーク機器をソフトウェアで集中制御する | ネットワーク制御、構成変更、集中管理 |
| IPS | 不正な通信を検知し、遮断する | 侵入防止、通信遮断 |
| WAF | Webアプリケーションへの攻撃を防ぐ | SQLインジェクション、XSS、Webアプリ |
| EDR | 端末の挙動を監視し、検知・調査・対応する | エンドポイント、端末、プロセス、隔離 |

SIEMとIPSは混同しやすいです。

- SIEM：ログを集めて分析する
- IPS：不正な通信を検知して遮断する

SIEMとEDRも近く見えることがあります。

- SIEM：複数の機器やシステムのログを集約する
- EDR：端末上の挙動を詳しく監視・調査する

SIEMは、いろいろな情報を集めて全体を見る仕組みです。  
単独の通信制御や端末防御だけを指すわけではありません。

## さらに注意したいひっかけ

SIEMでは、次のようなひっかけにも注意します。

| ひっかけ表現 | なぜ注意する？ |
|---|---|
| 隔離された仮想環境で実行する | サンドボックスの説明 |
| ネットワーク機器を集中制御する | SDNの説明 |
| 通信を遮断する | IPSやファイアウォールの説明 |
| Webアプリケーションへの攻撃を防ぐ | WAFの説明 |
| 端末を隔離する | EDRの対応機能として出やすい |
| ログを保存するだけ | SIEMは保存だけでなく分析・通知・対応支援が重要 |
| 通信を直接制御する | SIEM自体の中心機能ではない |

特に、**SIEMは通信を直接止める装置ではない** という点は大切です。

SIEMは、ログやイベントを集めて、異常を見つけやすくする仕組みです。  
検知結果をもとに管理者が対応したり、他の仕組みと連携したりすることはありますが、SIEMの中心機能はログ分析です。

FE試験では、**ログ・イベント・相関分析** が出たらSIEMを疑う、という判断が有効です。

## まとめ（試験直前用）

- SIEMは、様々な機器やシステムのログを集約し、相関分析する仕組み
- 「ログ」「イベント」「相関分析」「対応支援」が出たらSIEMを疑う
- 隔離環境で実行するならサンドボックス
- ネットワーク機器を集中制御するならSDN
- 通信を遮断するならIPSやファイアウォール
- Webアプリケーションを守るならWAF
- FEでは機能の切り分け、SGでは運用・対応の流れを意識する