サイバー攻撃と防御の実務
セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。
- ASIEMは端末の振る舞いを記録するソフトウェア、SOARは通信を暗号化する装置、SOCは脆弱性に付けられる識別番号である
- BSIEMは対応の手順を自動で実行する仕組み、SOARは各機器のログを集めて分析する仕組み、SOCは製品の脆弱性に対応する開発のチームである
- CSIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である
答えと解説を見る
正解：C. SIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である
SIEM(Security Information and Event Management)は、ファイアウォール、サーバ、EDR、クラウドなどのログを1か所に集めて時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で、攻撃の疑いを警告として示します。SOAR(Security Orchestration, Automation and Response)は、警告に対して、情報の収集、端末の隔離、アカウントの停止といった決まった手順をプレイブックとして自動で実行し、分析者の手間を減らします。SOC(セキュリティオペレーションセンター)は、これらの仕組みを使って監視、警告の分析、インシデントかどうかの判定と報告を行う組織で、24時間の体制をとることも多くあります。SOCが判定したインシデントへの対応は、CSIRTが中心になって進めることが多くあります。
- A. 端末の振る舞いを記録するのはEDRで、脆弱性の識別番号はCVEです。
- B. SIEMとSOARの説明が逆です。また、製品の脆弱性に対応するチームはPSIRTです。
- C. 正しい。集めて分析するのがSIEM、手順を自動化するのがSOAR、それらを運用する組織がSOCです。