セキュリティオペレーションセンターとは

せきゅりてぃおぺれーしょんせんたー

組織のネットワーク、端末、クラウドを継続して監視し、SIEMやEDRの警告を分析して、インシデントかどうかを判定し、対応する担当者に報告する組織や拠点。略してSOCと呼ばれる(チップのSoCとは別の言葉である)。24時間の体制をとることが多く、自前で持たずに外部の事業者に委託する組織も多い。判定したインシデントへの対応は、CSIRTと連携して進める。

「セキュリティオペレーションセンター」は、1分野の1問の練習問題に出てきます(サイバー攻撃と防御の実務など)。

この用語の分野: サイバー攻撃と防御の実務

セキュリティオペレーションセンターの練習問題に挑戦

セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。

ASIEMは端末の振る舞いを記録するソフトウェア、SOARは通信を暗号化する装置、SOCは脆弱性に付けられる識別番号である
BSIEMは対応の手順を自動で実行する仕組み、SOARは各機器のログを集めて分析する仕組み、SOCは製品の脆弱性に対応する開発のチームである
CSIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である

答えと解説を見る

正解：C. SIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である

SIEM(Security Information and Event Management)は、ファイアウォール、サーバ、EDR、クラウドなどのログを1か所に集めて時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で、攻撃の疑いを警告として示します。SOAR(Security Orchestration, Automation and Response)は、警告に対して、情報の収集、端末の隔離、アカウントの停止といった決まった手順をプレイブックとして自動で実行し、分析者の手間を減らします。SOC(セキュリティオペレーションセンター)は、これらの仕組みを使って監視、警告の分析、インシデントかどうかの判定と報告を行う組織で、24時間の体制をとることも多くあります。SOCが判定したインシデントへの対応は、CSIRTが中心になって進めることが多くあります。