解説

セキュリティ運用ツールに関する問題です。SIEM（Security Information and Event Management）は、ファイアウォール、IDS/IPS、プロキシサーバ、各種サーバなど、組織内の様々な機器やソフトウェアから出力されるログを一元的に収集・蓄積し、それらを総合的に分析して、攻撃の兆候やインシデントの発生をリアルタイムに検知し、管理者による分析と対応を支援するシステムです。イが正解です。単一の機器のログだけでは見つけにくい攻撃も、複数のログを時系列で突き合わせる（相関分析する）ことで検知できるのが SIEM の価値です。例えば「ファイアウォールの通過ログ」と「サーバの認証失敗ログ」を組み合わせて不正アクセスの試行を浮かび上がらせる、といった使い方をします。セキュリティ運用の文脈では、SIEM（ログの統合分析）、SOC（監視組織）、CSIRT（インシデント対応組織）、EDR（端末の検知・対応）などの用語が頻出なので、それぞれの役割をセットで整理しておきましょう。

なぜ他の選択肢は違うのか

選択肢 ア

隔離された仮想環境でファイルを実行して、C&C サーバへの通信などの振る舞いを監視するのはサンドボックス（マルウェアの動的解析環境）の説明です。疑わしい検体を本番環境から切り離して安全に実行し、その挙動を観測する仕組みであり、組織内の様々な機器から集めたログを相関分析して管理者の対応を支援する SIEM とは、分析の対象も目的も異なります。

選択肢 ウ

ネットワーク上の様々な通信機器を集中的に制御し、ネットワーク構成やセキュリティ設定などを変更するのは SDN（Software-Defined Networking）の説明です。ネットワークの制御をソフトウェアで集中管理する技術であり、ログを収集・分析するための仕組みではありません。「集中」という語の印象だけで選ばないよう注意が必要です。

選択肢 エ

パケットのヘッダ情報（IP アドレスやポート番号）の検査だけではなく、通信先のアプリケーションプログラムを識別して通信を制御するのは次世代ファイアウォール（NGFW）の説明です。アプリケーションレベルでのきめ細かな通信制御を行う「防御機器」であり、各種ログの統合分析によって管理者の分析・対応を支援する「分析基盤」である SIEM とは機能の分類が異なります。

解くときのポイント

SIEM＝「様々な機器のログを総合的に分析」がキーワード。サンドボックス＝隔離実行、SDN＝ネットワーク集中制御、NGFW＝アプリ識別制御、と対応付けて区別する。