--- title: "ログ管理とSIEMの違い【SG試験】" description: "ログ管理はログを記録・保管・確認できるようにする活動であり、SIEMは複数のログを集約・分析して異常を検知する仕組みです。SG試験・情報セキュリティマネジメント試験で混同しやすいログ管理、監査ログ、SIEM、SOCの違いを判断基準で整理します。" last_modified_at: "2026-05-06" canonical_url: "https://stemtazoo.github.io/sg/log-management-vs-siem/" section: "sg" --- ## まず結論 ログ管理とSIEMの違いは、**ログを「残して管理する」のか、「集めて分析し異常を見つける」のか**です。 - **ログ管理**：ログを記録・保管し、あとから確認できるようにすること - **SIEM**：複数のログを集約・分析し、異常や攻撃の兆候を検知する仕組み SG試験では、次のように切り分けると判断しやすいです。 | 用語 | 判断ポイント | |---|---| | ログ管理 | 証跡を残す、保管する、あとから確認する | | SIEM | ログを集約する、相関分析する、異常を検知する | つまり、ログ管理は**記録を残すための基本活動**、SIEMは**そのログを活用して監視する仕組み**です。 --- ## 直感的な説明 ログ管理は、会社の中で起きたことを「日誌」として残しておくイメージです。 たとえば、 - 誰がログインしたか - いつファイルにアクセスしたか - どの端末から接続したか - どの通信が許可・拒否されたか といった記録を残します。 一方、SIEMは、その日誌を大量に集めて、怪しい動きがないかを見つける仕組みです。 たとえば、 1. 深夜に管理者アカウントでログインした 2. 直後に大量のファイルへアクセスした 3. その後、外部へ大きな通信が発生した という流れを、複数のログから見つけます。 ログ管理は**記録をきちんと残すこと**、SIEMは**記録を使って異常を見つけること**と考えると分かりやすいです。 --- ## 定義・仕組み ### ログ管理とは ログ管理は、システムやネットワーク機器、アプリケーションなどが出力するログを、適切に記録・保管・確認できるようにする活動です。 主な目的は、次のとおりです。 - 障害や不具合の原因調査 - 不正アクセスや内部不正の調査 - 操作履歴の確認 - 監査の証跡確保 - インシデント発生時の状況確認 ログ管理では、ログを「残す」だけでなく、改ざんされないように保護したり、必要な期間保管したりすることも重要です。 --- ### SIEMとは SIEM（Security Information and Event Management）は、サーバ、OS、ネットワーク機器、アプリケーションなどのログを集約し、セキュリティ上の異常を検知する仕組みです。 主な流れは、次のとおりです。 | 流れ | 内容 | |---|---| | 収集 | 複数の機器やシステムからログを集める | | 正規化 | ログ形式を分析しやすい形に整える | | 相関分析 | 複数のログを組み合わせて不審な流れを見つける | | 検知 | 攻撃や異常の兆候を見つける | | 通知 | 管理者やSOCへアラートを出す | SIEMは、ログ管理で集められたログを活用し、セキュリティ監視につなげる仕組みです。 --- ## どんな場面で使う？ ## ログ管理が重要になる場面 ログ管理は、何かが起きたあとに「何が起きたのか」を確認するために重要です。 たとえば、次のような場面です。 - 利用者から「システムに入れない」と問い合わせがあった - ファイルが削除された原因を調べたい - 管理者権限で誰が操作したか確認したい - 監査で操作履歴の提出を求められた - インシデント発生後に影響範囲を確認したい このような場面では、ログが残っていなければ調査できません。 そのためログ管理では、**必要なログを、必要な期間、改ざんされにくい形で保管すること**が大切です。 --- ## SIEMが重要になる場面 SIEMは、ログを使って異常を早く見つけたい場面で重要です。 たとえば、次のような場面です。 - 短時間に大量のログイン失敗が発生した - いつもと違う国や地域からログインがあった - 管理者アカウントで不自然な操作が行われた - マルウェア感染が疑われる外部通信が発生した - 複数のシステムで関連する不審な動きがあった SIEMは、単独のログでは見えにくい異常を、複数のログの組み合わせから見つけます。 そのため、**早期発見・早期対応**につなげやすくなります。 --- ## よくある誤解・混同 ### 誤解1：ログ管理をしていればSIEMと同じである これは違います。 ログ管理は、ログを記録・保管・確認できるようにする活動です。 SIEMは、そのログを集約・分析して、異常や攻撃の兆候を見つける仕組みです。 | 観点 | ログ管理 | SIEM | |---|---|---| | 主な目的 | 記録・保管・確認 | 分析・検知・通知 | | 重視すること | 証跡を残す | 異常を見つける | | 試験でのキーワード | 保管、証跡、監査 | 集約、相関分析、アラート | ログ管理はSIEMの前提になりますが、同じ意味ではありません。 --- ### 誤解2：SIEMがあればログ管理は不要である これも違います。 SIEMで分析するためには、そもそも正しくログが取得・保管されている必要があります。 ログが不足していたり、時刻がずれていたり、保管期間が短すぎたりすると、SIEMでも正しく分析できません。 SIEMはログ管理の代わりではなく、**ログ管理を土台にして動く仕組み**です。 --- ### 誤解3：ログ管理はセキュリティ対策ではない ログ管理は、重要なセキュリティ対策です。 ログがなければ、不正アクセスや内部不正が起きたときに、原因や影響範囲を調べられません。 また、ログを残していること自体が、不正の抑止にもつながります。 SG試験では、ログ管理を**証跡確保・監査・インシデント調査の基本**として押さえるとよいです。 --- ### 誤解4：SIEMは攻撃を自動で防ぐ仕組みである SIEMは、基本的には検知・通知・調査支援の仕組みです。 攻撃を直接遮断する役割は、ファイアウォール、IPS、EDRなどと切り分けます。 | 用語 | 主な役割 | |---|---| | SIEM | ログを分析して異常を検知する | | IPS | 不正通信を検知して遮断する | | ファイアウォール | 通信を許可・拒否する | | EDR | 端末上の不審な動きを検知・対応する | SIEMは「防ぐ装置」というより、**異常を見つけて対応につなげる仕組み**です。 --- ## SG試験での判断ポイント SG試験では、選択肢のキーワードから判断すると迷いにくくなります。 ### ログ管理を選ぶキーワード 次のような表現があれば、ログ管理に近いです。 - ログを保存する - 操作履歴を残す - 証跡を確保する - 監査で確認する - 一定期間保管する - 改ざんされないように保護する ログ管理は、**あとから確認できる状態にすること**が中心です。 --- ### SIEMを選ぶキーワード 次のような表現があれば、SIEMに近いです。 - 複数のログを集約する - 大量のログを分析する - 相関分析を行う - 異常を検知する - アラートを出す - SOCで監視に使う SIEMは、**ログを分析して異常を見つけること**が中心です。 --- ## 関連用語との切り分け ログ管理とSIEMは、ほかの用語とも一緒に問われやすいです。 | 用語 | 見分け方 | |---|---| | ログ管理 | ログを記録・保管・確認する活動 | | 監査ログ | 操作やアクセスの証跡として使うログ | | SIEM | 複数ログを集約・分析し、異常を検知する仕組み | | SOC | SIEMなどを使って監視する組織 | | CSIRT | インシデント対応を調整する組織 | 流れで見ると、次のようになります。 1. **ログ管理**で記録を残す 2. **SIEM**でログを集約・分析する 3. **SOC**が監視する 4. 異常があれば**CSIRT**などが対応する この流れで覚えると、用語同士の役割が整理しやすくなります。 --- ## まとめ（試験直前用） 試験直前は、次の3点だけ押さえておきましょう。 - ログ管理は、**ログを記録・保管し、あとから確認できるようにすること** - SIEMは、**複数のログを集約・分析し、異常を検知する仕組み** - 判断に迷ったら、**保管・証跡ならログ管理、集約・相関分析・アラートならSIEM** ログ管理は「残す」、SIEMは「見つける」。 この違いを押さえると、SG試験の選択肢をかなり切り分けやすくなります。