SIEM・XDR・SOARとは（全体像）
これらは、SOC（セキュリティ監視室）が使う道具だ。役割で3つに分けると整理しやすい。
- SIEM … 機器のログを集めて関連づけ、「これは異常だ」とアラートを出す基盤。
- XDR … 端末・ネットワーク・メールなど複数の領域を統合し、AIで横断的に脅威を見つける。
- SOAR … 「異常が出たらこの手順で」という台本（プレイブック）に沿って、対応を自動化する。
押さえるのは、3つの役割の違いだ。
詳しく：3つの役割を押さえる
ここが心臓部。3つを役割で整理する。
SIEM・XDR・SOARの役割
| 道具 | 役割 |
|---|---|
| SIEM | ログを集約・関連づけ（相関分析）し、異常をアラートで知らせる |
| XDR | 端末・NW・メール・ID・クラウドを統合し、AIで検知・対応する |
| SOAR | プレイブック（台本）に沿って対応を自動化する |
言葉を噛み砕いておく。
- SIEM … いろいろな場所のログを1か所に集めて組み合わせ、単独では気づけない異常を見つけて警報を出す。代表はSplunkやMicrosoft Sentinel。
- XDRとの違い … SIEMはログ集約・分析が中心。XDRは端末やネットワークなど複数の領域を束ねて検知・対応する。「SIEM＝XDR」ではない。
- SOARは対応の自動化 … 名前から誤解されやすいが、SOARは攻撃ではなく、対応（Response）を自動化するしくみ。台本どおりに動く。
わかりやすく言い換えると
つまり、3つはSOC（監視室）の道具で、こうたとえるとスッと入る。
SIEMは、建物中のセンサーやカメラのログを1か所に集める中央監視盤。バラバラでは気づけない異常も、組み合わせると見えてくる。XDRは、端末・ネットワーク・メールなど複数の見張りを束ね、AIで「点と点をつなげて」脅威を見つける統合システム。
SOARは、「異常が出たらこの手順で対応する」という台本（プレイブック）に沿って、対応を自動でこなすロボット係。SIEMは「集めて気づく」、XDRは「複数領域を束ねて気づく」、SOARは「対応を自動化する」、というわけだ。
試験のツボ
🔴 一番出る：3つの役割の違い
①SIEM＝ログ集約・関連づけ（相関分析）してアラート
②XDR＝複数領域を統合して検知・対応／SOAR＝対応を自動化
🔴 次に出る：混同しやすい点
①SIEM＝XDRではない（ログ集約か、統合検知対応か）
②SOARは攻撃ではなく「対応」の自動化
🟡 押さえると安定：どれもSOCの道具。代表はSplunk・Microsoft Sentinel（SIEM）など
よくある間違い
①「SIEMとXDRはまったく同じものだ」→ ✗ SIEMはログ集約・分析、XDRは複数領域を統合した検知・対応。役割が違う。
②「SOARはサイバー攻撃を自動で行うしくみだ」→ ✗ SOARは「対応（Response）」を自動化するしくみ。攻撃ではない。
③「SIEMは1台の機器のログしか見られない」→ ✗ いろいろな機器のログを集約し、関連づけて分析するのがSIEM。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（SIEMとXDR）
SIEMとXDRに関する次の記述のうち、正しいものはどれか。
- SIEMもXDRもまったく同じもので、ログの集約と複数領域の統合に違いはないとされているのが実情である
- SIEMはログを集約・関連づけして異常を知らせ、XDRは端末やNWなど複数領域を統合して検知・対応する
- SIEMは画面の文字を大きくする設定のことで、ログの集約や分析とは関係しないとされているものである
- XDRは通信を速くするためだけのしくみで、検知や対応とはまったく関係がないとされているのが実情である
解答は 2 である。
SIEMはログを集約・関連づけして異常を知らせ、XDRは端末やNWなど複数領域を統合して検知・対応する。役割が違う。
選択肢1は「まったく同じ」が誤り。選択肢3の画面設定、選択肢4の通信速度は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | ログ集約か統合検知対応かで役割が違う |
| 2 | ✓ | SIEM＝ログ集約・XDR＝統合検知対応で正しい |
| 3 | ✗ | 画面設定ではない |
| 4 | ✗ | 通信を速くするしくみではない |
オリジナル問題2（SOAR）
SOARに関する次の記述のうち、正しいものはどれか。
- SOARはサイバー攻撃を自動で実行するしくみで、防御とはまったく関係がないとされているのが実情である
- SOARは画面の明るさを自動で調整する設定のことで、セキュリティとは関係しないとされているものである
- SOARは通信を遅くするためだけのしくみで、インシデント対応とはいっさい関係がないとされているのだ
- SOARはプレイブック（台本）に沿って、インシデントへの対応を自動化するしくみで、攻撃ではないものだ
解答は 4 だ。
SOARは、プレイブック（台本）に沿ってインシデントへの対応を自動化するしくみ。名前から誤解されやすいが、攻撃ではなく「対応」の自動化だ。
選択肢1は「攻撃を自動実行」が誤り。選択肢2の明るさ調整、選択肢3の通信を遅くするは、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 攻撃ではなく対応の自動化 |
| 2 | ✗ | 明るさ調整ではない |
| 3 | ✗ | 通信を遅くするしくみではない |
| 4 | ✓ | プレイブックで対応を自動化で正しい |
オリジナル問題3（3つの位置づけ）
SIEM・XDR・SOARに関する次の記述のうち、正しいものはどれか。
- SIEMはログ集約・分析、XDRは複数領域の統合検知対応、SOARは対応の自動化で、どれもSOCの道具である
- SIEM・XDR・SOARはどれも紙の書類を保管する倉庫のことで、セキュリティとは関係しないとされている
- SIEM・XDR・SOARはすべて同じ役割で、ログ集約も検知も自動化も区別なく行うとされているのが実情である
- SIEM・XDR・SOARはどれも通信を暗号化するためだけのしくみで、監視や対応とは関係しないとされている
解答は 1 だ。
SIEMはログ集約・分析、XDRは複数領域の統合検知対応、SOARは対応の自動化。役割は違うが、どれもSOC（監視室）の道具だ。
選択肢2の紙の倉庫、選択肢4の暗号化専用は誤り。選択肢3は「すべて同じ役割」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 3つの役割とSOCの道具で正しい |
| 2 | ✗ | 紙の倉庫ではない |
| 3 | ✗ | 役割はそれぞれ違う |
| 4 | ✗ | 暗号化専用のしくみではない |
まとめ
押さえどころ
- 🔴 SIEM ＝ ログを集約・関連づけして異常をアラート。XDR ＝ 端末・NWなど複数領域を統合して検知・対応。
- 🔴 SOAR ＝ プレイブックに沿って対応を自動化（攻撃ではない）。SIEM＝XDRではない。
- 🟡 どれもSOCの道具。代表はSplunk・Microsoft Sentinel（SIEM）など。
次に学ぶ
- SOC・CSIRT（インシデント対応） ── これらの道具を使って監視・対応する、組織のしくみ。
- NWセキュリティ（FW・IDS/IPS・WAF） ── 検知・対応の対象になる、入口を守るしくみ。
- セキュリティガバナンス（ISO 27001・NIST CSF） ── 運用の道具を位置づける、組織の管理のしくみ。
執筆: SikakuQuest編集部