SIEM の相関ルールの不発
A 社は SIEM に VPN 装置とファイルサーバのログを取り込み，「VPN にログインした利用者 ID が，その後 10 分以内にファイルサーバで 1,000 件以上のファイルを読み出したら警告する」相関ルールを設定した。次のログに対応する事象では警告が出なかった。両機器の時計は NTP で同期しており，ファイルサーバは日本標準時（UTC+9）の時刻をタイムゾーンの表記なしで記録している。原因として，最も適切なものはどれか。
VPN: 2026-10-05T01:12:30Z login success user=tanaka src=203.0.113.24
FS : 2026-10-05 10:15:02 user=tanaka read files=1520- アSIEM が二つのログの時刻を同一の表現に正規化しないまま取り込んだので，二つの事象が約 9 時間離れたものとして扱われた。
- イ両機器の時計が同期しておらず，記録された時刻に約 9 時間のずれが生じていた。
- ウ相関分析は同じ機器が出力したログの間でしか行えないので，異なる機器のログを関連付けるルールは評価されなかった。
- エファイルサーバのログには送信元 IP アドレスが記録されていないので，VPN のログと同じ利用者による事象であると判定できなかった。
正解と解説を見る
正解 ア
この問題の基礎知識
- SIEM は，複数の機器やシステムのログを収集して正規化し，相関分析によって関連する事象を結び付けて脅威を検知する仕組みである。
- ISO 8601 形式の時刻の末尾の Z は UTC を表す。日本標準時（JST）は UTC より 9 時間進んでいる（UTC+9）。
- NTP は機器の時計を同期させる仕組みであり，ログの時刻をどのタイムゾーンで表記するかは機器ごとの設定による。相関分析の前に時刻の表現を統一する必要がある。
VPN 装置のログは UTC（末尾の Z）で記録され，01:12:30Z は日本標準時の 10:12:30 に当たる。ファイルサーバはタイムゾーンを付けずに現地時刻で記録しているので，正規化しないと 9 時間ずれる。複数の機器のログを相関させるには時刻の正規化が欠かせない。
時計は NTP で同期しており，01:12:30Z と現地時刻の 10:15:02 は，時刻の表し方の違いを除けば約 2 分半しか離れていない。時計の誤差ではなく，タイムゾーンの表し方の違いが原因である。
複数の機器のログを収集・正規化し，相関分析によって関連付けることは SIEM の主な機能である。異なる機器のログの間でも相関分析は行える。
このルールは利用者 ID で二つの事象を関連付けており，両方のログに user=tanaka が記録されている。送信元 IP アドレスがなくても関連付けられる。
照合の根拠（5 件）
- ア（正解）: 異なるタイムゾーンで記録されたログの時刻は，単一のタイムゾーンに変換（正規化）する必要がある
Normalizing times is often particularly challenging. Organizations with systems in multiple time zones often need to convert all logged times to a single time zone.
NIST SP 800-92 · 3.2 Functions (footnote 24)（新しいタブで開きます） - ア（正解）: 正規化の代表的な用途は日時を単一の形式で保存することである
In log normalization, each log data field is converted to a particular data representation and categorized consistently. One of the most common uses of normalization is storing dates and times in a single format.
NIST SP 800-92 · 3.2 Functions（新しいタブで開きます） - イ（誤り）: NTP で同期していれば時計は一致しており，ずれは時計の誤差ではない
Organizations should use time synchronization technologies such as Network Time Protocol (NTP) servers whenever possible to keep log sources’ clocks consistent with each other.
NIST SP 800-92 · 3.2 Functions（新しいタブで開きます） - ウ（誤り）: SIEM は異なるログ源のデータを分析し，ログの間で事象を相関させる
an SIEM server analyzes the data from all the different log sources, correlates events among the log entries, identifies and prioritizes significant events,
NIST SP 800-92 · 3.4 Security Information and Event Management Software（新しいタブで開きます） - ウ（誤り）・エ（誤り）: 相関は複数のログ源のエントリを記録された値に基づいて関連付けるもので，このルールでは両方に記録された利用者 ID で関連付けられる
entries from a single source or multiple sources based on logged values, such as timestamps, IP addresses, and event types.
NIST SP 800-92 · 3.2 Functions（新しいタブで開きます）
ファイルサーバは日本標準時で記録している（問題文に明記）。01:12:30Z は日本標準時の 10:12:30 なので，ファイル読出しの 10:15:02 との差は 2 分 32 秒で 10 分以内だが，正規化しないと 01:12:30 と 10:15:02 の約 9 時間差として扱われる。