【情報セキュリティマネジメント】ログ管理と監視、記録するだけでは異常に気づけない｜SIEM・誤検知・見逃しの調整

ログを保存していても、必要な記録が欠けていたり、機器ごとの時刻がずれていたり、誰も確認していなかったりすれば、異常の発見や原因調査に十分活用できません。

ログ管理では、取得・点検・保管・保護を一続きで考えます。さらに、複数のログを関連付けるSIEMと、誤検知・見逃しを意識した監視ルールの調整も重要です。

読み終えるころには、事例のログが異常の発見と判断に使える状態かを確認でき、誤検知を減らす調整が見逃しを増やしていないかを判断できるようになります。

先に結論：ログは「残す」だけでは足りない

取得しただけで誰も確認しないログは、異常の早期発見にはつながりません。

SGシラバスでの位置付け

SGシラバス Ver.4.1では、技術的セキュリティ対策としてログ管理が明示されています。また、科目Bの要求される技能には「ログ取得及び監視」があり、用語例としてログの監視、記録、分析、保持方法が示されています。

さらに、セキュリティ製品・サービスの用語例にはSIEM、フォールスポジティブ、フォールスネガティブが明示されています。

本記事の「取得・点検・保管・保護」は、これらを学習しやすく整理した四つの観点です。「保護」という語を含む四分類自体がシラバスの固定表現という意味ではありません。

1．フォールスポジティブとフォールスネガティブ

ポジティブとネガティブは、システムが出した判定を基準に考えます。

• ポジティブ：攻撃や異常があると判定
• ネガティブ：攻撃や異常がないと判定
• フォールス：その判定が誤っている

したがって、「攻撃を正常と判断して見逃す」のはフォールスネガティブです。

2．ログは目的から逆算して取得する

何を記録すべきかは、システムの目的、情報の重要度、想定する事故によって異なります。

代表例には次があります。

• 認証の成功・失敗
• アカウントやアクセス権の作成・変更・削除
• 特権アカウントによる操作
• 重要情報の閲覧・変更・削除・出力
• ファイルの大量ダウンロードや送信
• システム設定やセキュリティルールの変更
• ファイアウォール、WAF、IDS、IPS、EDRなどの検知
• アプリケーションの異常終了

ログには、目的に応じて利用者又はアカウント、日時、対象、操作、結果、接続元などを含めます。

一方、パスワードや秘密鍵などの秘密情報を不用意に記録すると、ログ自体が漏えい原因になります。調査に必要な情報と、記録すべきでない情報を区別します。

3．時刻をそろえて事象を関連付ける

複数システムのログを突き合わせるには、時刻がそろっていることが重要です。

例えば、

1. 海外から認証に成功した
2. 直後に特権操作が行われた
3. 続いて大量データが外部へ送信された

という記録が別々のシステムに残っていても、機器の時計がずれていると一連の事象か判断しにくくなります。

組織が定めた時刻源を用いて時刻を同期し、タイムゾーンや記録形式も確認します。時刻同期はログ内容の正しさそのものを保証するものではなく、時系列を再構成しやすくするための前提です。

4．ログを保管し、改ざんや消失から守る

ログの保管期間に、全ての組織へ共通する一つの正解はありません。

法令、契約、組織規程、システムや情報の重要度、事故調査や監査に必要な期間、保存コスト、ログに含まれる個人情報などを踏まえて定めます。

事故調査などで保持が必要になったログは、組織の手続に従って通常の削除対象から外す場合があります。

元の機器だけに保存しない

元の機器が侵害され、ログまで削除されると調査が難しくなります。

• 別のログサーバなどへ転送する
• 閲覧・設定変更・削除の権限を適切に管理する
• ログへのアクセスや設定変更も記録する
• 通信経路と保存先を保護する
• 保存容量を監視して記録停止を防ぐ

といった対策を組み合わせます。

本記事ではログの管理・保護までを扱います。証拠としての収集・保全手順は「証拠保全とデジタルフォレンジックス」の記事で扱います。

5．取得・監視・分析を区別する

• 取得：システムで起きた事象を記録する
• 監視：ログやアラートを確認し、異常の兆候を見つける
• 分析：複数の記録や過去の傾向を比較し、意味を判断する

ログを保存する設定があっても、誰が、どの頻度で、どの条件を確認するか決まっていなければ、異常の発見が遅れます。

確認担当者、確認頻度、アラート条件、報告先を定め、自動アラートも必要な対応へつなげます。

6．SIEM：複数のログをまとめて見る

SIEMは、複数の機器やサービスからログを集約し、検索・監視・分析などに利用する仕組みです。

認証ログ、業務システムの操作ログ、ネットワーク機器の通信ログなどを、利用者や時刻などで関連付ければ、個別には弱い兆候でも一連の異常として確認しやすくなります。

ただし、SIEMを導入しても、

• 必要なログが送られていない
• 記録項目が不足している
• 時刻がそろっていない
• アラート条件が不適切
• 確認担当者や対応手順がない

といった状態では十分に活用できません。

SIEMはログ管理を支援する仕組みであり、元になるログの設計や運用を不要にするものではありません。

7．アラートだけで事故と断定しない

セキュリティ製品のアラートは調査のきっかけです。正常な処理を異常と判定するフォールスポジティブもあり得ます。

アラートが出たら、検知ルール、対象の利用者・端末、承認済み作業の有無、同時刻の他ログ、情報への影響などを確認します。

アラートだけで利用者の不正や重大事故と断定しません。一方、誤検知が多いという理由だけでルールを無効化するのも不適切です。

8．誤検知の調整では見逃しも確認する

誤検知を減らすことだけを目標にすると、攻撃の見逃しが増える可能性があります。

調整は三段階で考える

1. 原因を分析する

どの正常な通信・操作が、なぜ検知されたか確認する

1. 必要な範囲だけ条件を調整する

原因へ対応し、広すぎる例外を作らない

1. 調整後に試験する

誤検知が減ったかだけでなく、検知すべき攻撃を見逃さないか確認する

フォールスポジティブを減らす調整が、フォールスネガティブを増やす方向へ働く場合があります。

9．科目Bでの使われ方

次の順で確認します。

1. 必要なログを取得しているか
2. 時刻をそろえて関連付けられるか
3. 保管期間と保護方法を定めているか
4. 誰が、いつ確認するか決まっているか
5. 必要に応じて複数システムのログを関連付けているか
6. 誤検知の調整後に見逃しが増えていないか

「ログがある」ことではなく、異常の発見と判断へ使える状態かが論点です。

担当者としては、ログの有無ではなく、必要な記録がそろい、確認する人と頻度が決まっているかを見ます。アラートを受け取ったら、それだけで断定せず、他の記録と突き合わせてから報告します。検知条件を変える必要があると判断した場合は、その場で緩めず、見逃しが増えないかの確認とあわせて上位者や運用担当部署へ相談します。

よくある取り違え

まとめ

• SGでは「ログ管理」と、科目Bの「ログ取得及び監視」が明示されている
• ログは取得するだけでなく、監視・分析・保持・保護まで考える
• 目的に必要な利用者、日時、対象、操作、結果などを記録する
• 複数ログを関連付けるため、時刻同期が重要
• フォールスポジティブは正常を異常とする誤判定、フォールスネガティブは異常の見逃し
• SIEMは複数のログを集約し、横断的な確認・分析を支援する
• 誤検知の調整では、見逃しが増えていないかも確認する
• 科目Bでは、ログが異常の発見と判断へ活用されているかを見る

関連記事

• C1-T09：ネットワーク・通信への攻撃
• C1-T11：内部不正のメカニズム
• C2-T04：デジタル署名とタイムスタンプ
• C5-T06：アクセス制御と権限管理
• C5-T08：セキュリティ製品の使い分け
• C5-T10：データ保護とバックアップ
• C6-T02：初動対応とエスカレーション
• C6-T04：証拠保全とデジタルフォレンジックス
• C10-T05：システム監査の流れ

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• NIST SP 800-92「Guide to Computer Security Log Management」（2006年）
• NIST「Computer Security Resource Center Glossary」（Security Information and Event Management、False Positive、False Negative の各項目）

関連する問題

• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 択一式（応用） 第16問〜第20問
• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 択一式（応用） 第21問〜第25問
• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 一問一答 第26問〜第30問