SOAR（Security Orchestration, Automation and Response）

複数のセキュリティ製品や業務システムを連携させ、定めた手順に従って調査や対応を自動化・効率化する仕組みです。

■ 試験で押さえるポイント

• 警告を受けると、脅威情報の照会、関連ログの取得、端末や利用者の確認、チケット作成などを自動で実行します。

• 一連の対応手順はプレイブックとして定義します。条件分岐、承認、担当者への割当て、証跡の記録を組み込みます。

• 自動対応には、IPアドレスの遮断、アカウントの一時停止、端末隔離などがあります。誤検知時の影響が大きい処理は人の承認を挟みます。

• SIEMがログの集約・相関分析を中心とするのに対し、SOARは検知後の調査・対応手順の連携と自動化を中心とします。

■ 過去問での着眼点

SOARは、プレイブックに従って複数のシステムを連携し、検知後の調査と対応を自動化します。ログを分析して警告を出す機能と、警告を受けて対応手順を動かす機能を区別します。プレイブックによる対応の自動化がSOARを見分ける語句です。

例: フィッシングメールの通報を受け、添付ファイルのハッシュ照会、同報メールの検索・隔離、利用者への通知、チケット作成までをプレイブックで実行します。