正解：ア
各選択肢の解説
アSIEMで各機器のログを集約し、複数の記録を関連付けて異常を検知し通知させる。
正解。見逃した原因は、ばらばらの記録を一続きの出来事としてつなげる人がいなかったことです。 SIEMは複数の機器のログを集めて関連付け、組合せで異常を見つけて知らせます。
イ各端末にEDRを導入し、端末上のプロセスの挙動を記録して監視させる。
誤り。EDRは端末の中で何が動いたかを見る仕組みです。端末からの大量送信には気付けても、 その前の認証サーバでの失敗の連続とは結び付けられません。今回欠けていたのは機器をまたぐ関連付けです。
ウ認証サーバとプロキシのログの保存期間を延ばし、過去分も確認できるようにする。
誤り。保存期間は「どこまで昔のログが残るか」の設定です。今回のログは手元にあり、 確認もされていました。残す長さを延ばしても、別々に見ている限り組合せの異常には気付けません。
エ各担当者が自分の担当機器のログを確認する頻度を、週1回から毎日に増やす。
誤り。確認の回数を増やしても、担当者がそれぞれ自分の機器だけを見る体制は変わりません。 単独では異常に見えない記録は、何度見ても単独では異常に見えません。
理解を深めるために
一つ一つは小さな物音でも、続けて聞けば泥棒とわかる
夜中に「窓をこじ開けようとする音」を聞いた人と、「玄関から大きな荷物を運び出す音」を 聞いた人が別々にいれば、どちらも「気のせいかな」で終わります。二つを 同じ時間の流れに並べて初めて、侵入して持ち出したと気付けます。
なぜSIEMなのか
SIEM（Security Information and Event Management）は、ファイアウォール、プロキシ、 認証サーバ、端末などのログを1か所に集め、関連付けて分析する仕組みです。
- 機器ごとに形式の違うログをそろえて、同じ時間軸に並べる
- 「認証失敗の連続 → 成功 → 外部への大量送信」のような組合せを規則として登録し、当てはまれば通知する
- 単独では異常と言えない出来事でも、つながりで異常を見つけられる
組合せで判断する前提として、各機器の時刻がそろっている必要があります（時刻同期）。
混同しやすいものとの違い
| 仕組み・対策 | 見ているもの |
|---|---|
| SIEM | 複数の機器のログを関連付けた全体の流れ |
| EDR | 1台の端末の中のプロセスやファイルの挙動 |
| 保存期間の延長 | どこまで昔のログが残るか |
| 確認頻度の増加 | 同じ範囲を見る回数 |
試験では「単独では異常に見えなかった」「別々に確認していた」という言葉が、 機器をまたいだ関連付け、つまりSIEMを指す手掛かりになります。