分野 S｜セキュリティ 重点分野
脆弱性管理とログ管理（パッチ・SIEM・EDR）
今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『5 技術的管理策に関する技術・手法（情報資産運用に関する管理）／脆弱性管理・データ保護』『5 技術的管理策に関する技術・手法（情報資産運用に関する管理）／ログ管理・監視・検知及び対応』
最終更新
問われ方
- SIEM 製品によるセキュリティ上の効果を選ぶ形
- データベースの監査ログを取得する目的を選ぶ形
- 問われるとしたら：事例で、パッチ適用の進め方を選ぶ形
- 問われるとしたら：事例で、状況に合う SIEM や EDR を選ぶ形
- 問われるとしたら：取得範囲・保存期間・時刻同期の a〜c の組合せの形
覚えること
- 脆弱性：サイバーセキュリティ上の問題となる可能性がある弱点
- 脆弱性管理：OS やソフトウェアの弱点を把握し、更新などで解消する
- セキュリティパッチ（修正プログラム）：脆弱性などを修正するために配布されるプログラム
- OS アップデート：OS の一部または全部のプログラムを更新すること
- 脆弱性情報の収集：使っている製品の弱点の情報を、提供元や公的機関の公表から集める
- パッチの適用：対象の機器と版を把握し、影響を確かめて適用。適用できない機器は対応を決めて記録する
- ログ：コンピュータが保有する、接続時刻や処理内容などを記録したファイル
- 取得範囲：どの機器の、どの操作や事象を記録するか。調査や監査の目的から決める
- 保存期間：調査や監査に必要な期間を見積もり、その期間は保存する
- 監査ログ：不正な操作などを、事後に調査するための記録
- 時刻同期（NTP）：機器の時計を同じ時刻源にそろえ、ログの時刻を突き合わせられるようにする
- タイムスタンプ：ログに付ける時刻情報。時計がずれると前後関係を追いにくい
- SIEM：様々な機器のログを集中管理し、横断的・相関的に分析して兆候を見つける
- EDR：端末の動作を監視して不審な挙動を検知し、隔離などの対処を支援する
- SIEM と EDR の見分け：SIEM は複数機器のログを集めて見る、EDR は端末の中を見る
ひっかけ
- 脆弱性情報の収集は、使っている製品の把握が先。把握していない製品の情報は拾えない
- 時計がずれたログは、件数がそろっていても事象の前後関係を突き合わせにくい
- 監査ログは不正を防ぐ仕組みではなく、事後に調べるための記録
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが、修正プログラムの適用に先立って行うこととして、最も適切なものはどれか。
A 社の情報システム部の B さんは、社内で使っている OS の修正プログラムが公表されたことを知った。社内の PC は、台帳に載っているもののほかに、各部門が検証用に購入して台帳に載せていないものがある。業務への影響は、できるだけ小さくしたい。
正解：ウ 対象となる OS と版を使う機器を、台帳と実際の接続状況の両方から洗い出す。
ポイント
パッチ適用の前に、対象を把握する場面を問う問題です。
考え方と解き方
修正プログラムは、適用する対象が分からないと適用漏れが出ます。管理者の立場では、適用の方法を決める前に、どの機器が対象かを先に考えます。
- 弱点は、台帳に載っていない検証用の PC にもあります。まず台帳と実際の接続状況の両方から、対象の OS と版を使う機器を洗い出すと、適用漏れを防げます。
- その上で、影響を確かめて適用します。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 台帳外の検証用 PC に弱点が残り、そこから被害が広がるおそれがあるので、適切ではありません。
- イ 影響を確かめずに一斉に適用すると、業務を止めるおそれがあります。事前に影響を確かめる手順が抜けているので、適切ではありません。
- エ 適用を見送っている間、公表された弱点が残り続けます。影響が小さくなるように進めるのが適切で、見送りは適切ではありません。
覚えておくこと
- 脆弱性管理：OS やソフトウェアの弱点を把握し、更新などで解消する
- パッチの適用：対象の機器と版を把握し、影響を確かめて適用。適用できない機器は対応を決めて記録する
（テーマ・覚えること）
脆弱性情報の収集とログの取得・保存の方針として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の C さんは、サーバーと FW の脆弱性情報の収集と、ログの取得・保存の方針を、次の a〜c にまとめた。
- a 取得範囲は、調査や監査の目的から、対象の機器と記録する操作を決める。
- b 保存期間は、調査や監査に必要な期間にかかわらず、保存の容量に合わせて全ての機器で一律に決める。
- c 脆弱性情報は、社内で使っている製品を把握した上で、その提供元や公的機関の公表を確かめて集める。
正解：ア a、c
ポイント
脆弱性情報の収集と、ログの取得範囲・保存期間の決め方を問う問題です。
考え方と解き方
ログは、何のために調べるかで、取る範囲と残す期間が決まります。容量の都合だけで決めると、必要な時に記録が無い事態になります。脆弱性情報は、使っている製品を把握してから集めます。
- a は適切です。目的から取得範囲を決めます。b は不適切です。保存期間は、調査や監査に必要な期間を見積もって決めます。c は適切です。使っている製品を把握した上で、提供元や公的機関の公表を確かめます。
- したがって、適切なのは a、c の全てで、ア です。
ほかの選択肢
- イ b は不適切なので、a、b、c の全てとはなりません。
- ウ b は不適切です。また、c も適切なので、a、b では組合せが合いません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 取得範囲：どの機器の、どの操作や事象を記録するか。調査や監査の目的から決める
- 保存期間：調査や監査に必要な期間を見積もり、その期間は保存する
- 脆弱性情報の収集：使っている製品の弱点の情報を、提供元や公的機関の公表から集める
（テーマ・覚えること）
C さんが導入を検討する仕組みとして、最も適切なものはどれか。
A 社の情報セキュリティ管理者の C さんは、従業員から「PC の動作が急に重くなった」との連絡を受けた。マルウェアの感染が疑われる PC は 1 台で、ほかの PC に広がったかどうかは分かっていない。C さんは、その PC の中の状況を早く調べ、被害が広がる前に対処したい。
正解：エ 端末内の操作や動作を監視して不審な挙動を検知し、端末の隔離などの対処を支援する EDR
ポイント
端末の中の挙動の検知と対処に合う仕組みを選ぶ問題です。
考え方と解き方
SIEM は複数機器のログを集めて見る側、EDR は端末の中を見る側です。この立場なら、調べたい場所は端末の中か、組織全体かを先に考えます。
- 調べたいのは、疑いのある PC の中の状況で、広がる前の対処も必要です。端末の動作を監視して、検知と対処を支援するのは EDR です。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア SIEM は、様々な機器のログを集めて分析し、兆候を見つける仕組みです。端末の中の実行内容を調べて隔離まで支援する仕組みではないので、適切ではありません。
- イ 不正な通信を検知して遮断するのは IPS の働きです。端末の中のプログラムの実行は調べられないので、適切ではありません。
- ウ ログを回収して消去するのは、ログの管理作業です。端末の挙動を検知して対処を支援する仕組みではないので、適切ではありません。
覚えておくこと
- EDR：端末の動作を監視して不審な挙動を検知し、隔離などの対処を支援する
- SIEM と EDR の見分け：SIEM は複数機器のログを集めて見る、EDR は端末の中を見る
（テーマ・覚えること）
ログ管理で、NTP による時刻同期を行う目的として、最も適切なものはどれか。
正解：イ 複数の機器のログの時刻をそろえ、事象の前後関係を突き合わせられるようにする。
ポイント
時刻同期の目的を問う問題です。
考え方と解き方
ログの記録には時刻が付きます。機器ごとに時計がずれていると、同じ事象の前後関係を追えません。時刻同期は、ログを突き合わせて読むための土台です。
- NTP は、機器の時計を同じ時刻源にそろえる仕組みです。
- 時計がそろうと、FW とサーバーなど複数の機器のログを、時刻で突き合わせて前後関係を追えます。したがって、最も適切なのは イ です。
ほかの選択肢
- ア ログの暗号化は、内容を読まれないための対策で、時刻同期の目的ではありません。
- ウ データ量を減らすのは、ログの取得範囲や圧縮の考え方です。時刻同期でデータ量は減りません。
- エ 書き換えられていないことの証明は、改ざんの検知や保護の仕組みの目的です。時刻をそろえるだけでは証明できません。
覚えておくこと
- 時刻同期（NTP）：機器の時計を同じ時刻源にそろえ、ログの時刻を突き合わせられるようにする
- タイムスタンプ：ログに付ける時刻情報。時計がずれると前後関係を追いにくい
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。