令和元年度 秋期 基本情報技術者試験 午前 問43
テクノロジ／セキュリティSIEM（Security Information and Event Management）の機能はどれか。
出典：令和元年度 秋期 基本情報技術者試験 午前 問43
- ア隔離された仮想環境でファイルを実行して，C&Cサーバへの通信などの振る舞いを監視する。
- イ様々な機器から集められたログを総合的に分析し，管理者による分析と対応を支援する。
- ウネットワーク上の様々な通信機器を集中的に制御し，ネットワーク構成やセキュリティ設定などを変更する。
- エパケットのヘッダ情報の検査だけではなく，通信先のアプリケーションプログラムを識別して通信を制御する。
正解：イ
解説
SIEM は，ファイアウォール，IDS/IPS，サーバ，ネットワーク機器など様々な機器が出力するログやイベント情報を一元的に収集し，相関分析によって単独のログでは見えない攻撃の兆候を検出して管理者に知らせる仕組みです。分析結果をダッシュボードで示すなどして，管理者による調査と対応（インシデントレスポンス）を支援します。
選択肢ごとの解説
- ア誤り。隔離された仮想環境でファイルを実行して振る舞いを監視するのはサンドボックスによる動的解析の説明です。
- イ正しい。様々な機器のログを総合的に分析して管理者の分析・対応を支援するのがSIEMの機能です。
- ウ誤り。通信機器を集中的に制御して構成や設定を変更するのはSDN（Software-Defined Networking）の説明です。
- エ誤り。アプリケーションプログラムを識別して通信を制御するのは次世代ファイアウォールの説明です。