SOC

読み：そっく　／　英語表記：Security Operations Center

• セキュリティ
• 性能・監視・運用

組織のネットワークやシステムを24時間体制で監視し、ログや通信を分析してサイバー攻撃の兆候を検知・通報する専門の組織である。重大と判断した事象は、組織全体の対応や調整を担うCSIRTなどへ引き継ぐ。

イマシルちゃんの解説

攻撃者は、夜中や休日でもおかまいなしにネットワークへ忍び込もうとするんだ。
だから、ログや通信の様子を交代で見張り続ける専門のチームが必要になるよ。
そうしたセキュリティ監視を担う組織をSOCというんだ。
SOCでは、監視の道具が出した警告を分析担当者が調べて、本物の攻撃かどうかを見極めるよ。
本物なら影響の大きさを判断して、対応する担当へすぐに知らせるの。
異常に早く気付けるほど、被害を小さく食い止めやすくなるんだ。

より深い解説

定義と位置付け

SOC（Security Operations Center）は、セキュリティ監視と分析を専門に行う組織や拠点である。ファイアウォール、IDS・IPS、EDR、各種サーバなどの情報を集め、攻撃の兆候を見つけて関係者に知らせる。特定の規格で定められた組織形態ではなく、担当範囲は組織ごとに定義する。

攻撃は時間を選ばないため、SOCは夜間・休日も含めた24時間365日の監視体制をとることが多い。この体制を自社だけで維持するのは人員面で負担が大きく、監視を外部へ委託する組織も多い。

監視を請け負う事業者をMSSP（Managed Security Service Provider）と呼び、提供されるサービスをマネージドセキュリティサービスと呼ぶ。EDRの監視から端末の通信遮断までを代行するMDRも、委託の一形態である。

なお、半導体分野のSoC（System on a Chip：一つのチップにシステムを集積した部品）とは別の語である。大文字・小文字の違いに注意する。

主な業務

SOCの業務は、アラートを眺めることだけではない。検知の仕組みを作り、改善し、報告するまでを含む。

アラートを待たずに探しに行く脅威ハンティングは、「既に侵入されているかもしれない」という仮定から出発する。例えば「ある攻撃グループは正規の遠隔管理ツールを悪用する」という情報を得たら、そのツールが普段使われない端末で動いた形跡を探す。脅威インテリジェンスは、こうした仮説の材料になる。

分析担当者の階層

多くのSOCは、分析担当者を難しさに応じた階層（Tier）に分ける。名称や区切り方は組織によって異なるが、典型的には次のようになる。

階層を分けるのは、大量のアラートを限られた専門家に直接回さないためである。手順化できる判断を一次で処理し、判断が難しいものだけを上位へ上げる（エスカレーション）。

誤検知と見逃し

アラートの判断には、二種類の誤りがある。

誤検知が多いと分析担当者の時間が奪われ、本物のアラートが埋もれる。一方で誤検知を減らそうと検知条件を緩めすぎると、見逃しが増える。SOCは両者のバランスを見ながら検知ルールを調整する。見逃しは表に出にくいため、能動的な探索や外部からの通報で見つかった事例を検知ルールへ反映する。

監視から通報までの流れ

次は、SOCが外部への不審な通信を検知した場合の独自例である。

1. SIEMが、社内PCから悪性リストに載った宛先への通信を、プロキシサーバのログから検知してアラートを出す。
2. 一次分析の担当者が、宛先の評価と通信の時刻・回数を確認する。業務サイトの誤登録ではないと判断する。
3. 同じ端末のEDRの記録を確認し、通信の直前に不審なプログラムが起動したことを見つける。
4. 定めた基準に従い、重大度を「高」としてCSIRTと端末の管理部署へ通報する。
5. 事前の合意に基づき、EDRで端末の通信を遮断する。
6. 同じ宛先と通信した端末がほかにないか、全社のログを検索する。
7. 事案の終了後、検知までにかかった時間や手順の問題を振り返り、検知ルールを改善する。

手順5のように、SOCがどこまで自分で措置してよいかは事前に決めておく必要がある。業務を止める判断を誰が下すかが曖昧だと、検知できても対応が遅れる。

役割の近い組織との違い

SOCと名前や役割が近い組織に、CSIRTとNOCがある。

SOCは「見つける」役割、CSIRTは「対応を進め、関係者をまとめる」役割と整理できる。インシデントが起きたとき、経営層への報告や外部への公表を判断し、法務・広報と調整するのはCSIRT側の仕事である。ただし小規模な組織では、同じ担当者が両方を兼ねることも多い。

NOC（Network Operations Center）は、ネットワークが正常に動き続けることを見張る組織である。回線の断や輻輳といった可用性と性能の問題を扱う。DDoS攻撃のように通信量の異常として現れる攻撃では、NOCとSOCの両方が関わる。窓口と連絡手順を事前に決めておく。

SOCを支える仕組み

SOCの分析担当者は、いくつかの製品を組み合わせて使う。

これらの道具は、ログが届いて初めて役に立つ。監視対象の機器からSIEMまでのログ転送経路は、SOCにとって業務の生命線である。転送が止まっても気付ける仕組みを用意する。

設計・運用の観点

SOCを作るときは、まず何を守るかと、どこまで見るかを決める。ログが届かない機器やネットワークは監視の死角になる。拠点やクラウドのログを集める経路、帯域、暗号化も設計に含める。

外部へ委託する場合は、責任の分担を明確にする。次の点を契約や手順書で取り決める。

SOCの成果を測る指標として、攻撃の発生から検知までの時間や、検知から通報までの時間が使われる。時刻の記録が正確でないと、これらの指標もログの分析も信頼できない。監視対象の機器はNTPで時刻をそろえる。

人の面では、交代勤務による疲労と、大量のアラートによる「アラート疲れ」が課題になる。誤検知の削減と定型作業の自動化は、担当者が重要な判断に集中するための対策である。

SOCの体制づくりについては、MITREの11 Strategies of a World-Class Cybersecurity Operations Centerが体系的にまとめている。国内では日本セキュリティオペレーション事業者協議会（ISOG-J）がSOCとCSIRTの役割を整理した資料を公開している。

トラブル時の切り分け

午後での問われ方

• 監視の構成図から、ログが届かずSOCから見えない区間を指摘させる。
• SOCとCSIRTの役割の違いや、通報の流れを問う。
• 外部委託したSOCに、端末の通信遮断を任せる場合の取り決めを考えさせる。
• アラートの記録を示し、誤検知か本物の攻撃かを判断する根拠を説明させる。
• 時刻同期やログ転送の不備が、監視と分析にどう影響するかを説明させる。

この用語が出てくる記事

• EDR
• インシデントハンドリング
• CSIRT
• SIEM