SOAR（Security Orchestration, Automation and Response）

SOAR（Security Orchestration, Automation and Response）は、複数のセキュリティ製品を連携させ、決めた手順に従って調査や対応を自動化する仕組みです。

■ 試験で押さえるポイント

• 対応の手順は、プレイブックとして定義します。

• 情報の照会、ログの収集、IPアドレスの遮断、アカウントの停止などを自動で行います。

• 影響の大きい処理には、人の承認を挟みます。

■ 過去問での着眼点

SIEMは分析と検知、SOARは検知の後の対応の自動化と区別します。

例: フィッシングメールの通報を受けると、同じメールの検索と隔離、利用者への通知までを自動で行います。

■ 自動化する処置と承認・復旧

• プレイブックでは、アラート受付、情報の追加取得、判定、チケット作成、隔離などの順序と条件を定める。SIEMのログ相関と、SOARの処置連携・自動化は別の役割である。

• 端末隔離やアカウント停止は業務を止めるため、重大度、対象の重要性、証拠の確度に応じて人の承認を入れる。正常な管理作業を誤って自動遮断しないよう検証する。

• 実行権限は最小限にし、処置の根拠と実行結果を記録する。API失敗、重複通知、同じ処置の再実行に備え、解除条件・担当者・手動復旧手順を用意する。