変更要約: 初版
1.2セキュリティ配備の比較
ネットワーク型・エンドポイント型・アプリケーション型のセキュリティ配備、エージェント有無（agent-based / agentless）、レガシーAV対NGAV、そしてSIEM・SOAR・ログ管理の役割分担、さらにコンテナ/仮想化とクラウド環境での可視性の違いを、「この可視性の穴をどの配備で埋めるか」という判断として学びます。
SOCの可視性は「どこにセンサーを置いたか」で決まります。ネットワークだけを見ていればホスト内部のふるまいは見えず、エージェントを入れなければ暗号化された通信の中身は追えません。この節では、ネットワーク型・エンドポイント型・アプリ型という配備の場所、エージェントの有無、レガシーAVと次世代の違い、そしてログを集めて相関するSIEMと対応を自動化するSOARの役割を、「この可視性の穴をどの配備で埋めるか」という判断として整理します。
1.2.1配備の場所とエージェント
- ネットワーク型（NGFW・IPS・NetFlow・プロキシ等）＝通信経路上でトラフィックを検査する。ホストにソフトを入れず広範囲を一括監視できるが、エンドツーエンド暗号化された通信の中身は復号しない限り見えないのが弱点。
- エンドポイント型（HIDS/EDR・ホストFW・アンチマルウェア）＝ホストにエージェントを入れ、プロセス生成・ファイル操作・レジストリ変更など内部のふるまいを見る。暗号化前/復号後のデータやOSイベントを捉えられるが、全端末への導入・維持コストがかかる。
- エージェントレス（agentless）＝端末にソフトを常駐させず、API連携やネットワーク側から状態を収集する方式。導入負荷が軽くBYODやクラウドに向くが、取得できる詳細度はエージェント型に劣る。逆にエージェント型は深いテレメトリを得られる代わりに端末負荷と運用が重い——この可視性と負荷のトレードオフで選ぶ。
1.2.2レガシーAVと次世代
- レガシーAV（アンチウイルス）＝既知マルウェアのシグネチャ（既知パターン）照合が中心。未知/亜種やファイルレス攻撃には弱い。対してNGAV/EDRはふるまい検知・機械学習・エンドポイントの記録と対応を組み合わせ、シグネチャに載っていない攻撃も挙動から捉える。
- アプリケーション型（WAF・RASP・アプリログ）＝Webアプリの入出力層でSQLiやXSSなどアプリ固有の攻撃を検査する。ネットワーク型やエンドポイント型では見えにくいアプリのロジックに対する攻撃を捉えるための層。
1.2.3SIEM・SOAR・ログ管理と新環境
- ログ管理＝各機器のログを集約・保存・検索する基盤（保全と検索が主目的）。SIEMはそこに相関分析とアラートを加え、複数ソースのイベントを突き合わせて脅威を浮かび上がらせる。SOARはさらに対応の自動化（プレイブック実行・封じ込め）を担う。つまり集める→相関して気づく→自動で動くの段階分担。
- コンテナ/仮想化環境は生成・破棄が速く短命（ephemeral）で、従来のホスト単位監視では追いつかない——コンテナ対応のセンサーやオーケストレータ連携が要る。クラウドでは機器に触れられないため、事業者のAPI/監査ログ（例：クラウド監査証跡）からの可視性確保が中心になり、責任共有モデル上の自組織が見るべき層を明確にする必要がある。
「ネットワーク型＝経路で広範囲だが暗号化の中身は見えない／エンドポイント型（エージェント）＝内部ふるまいが見えるが導入負荷／agentless＝軽いが詳細度は劣る」、「レガシーAV＝シグネチャ／NGAV・EDR＝ふるまい検知」、「ログ管理＝集約保存／SIEM＝相関・アラート／SOAR＝対応自動化」の役割分担が頻出です。可視性の穴に対してどの配備を足すかで解きましょう。
あなたのSOCは、ネットワーク型のNGFWとNetFlowだけで監視しています。ある日、ある端末が社外の未知ドメインへTLS（暗号化）で定期的に通信しているのをNetFlowで見つけましたが、中身は暗号化されていて何を送っているか分かりません。ここで「ネットワークで暗号化されて見えないなら、境界で全通信を復号（SSLインスペクション）すればいい」と短絡するのは、プライバシー/性能/証明書運用の面で常に最適とは限りません。より筋の良い判断は、可視性の穴の性質を見極めることです。今欲しいのは「その端末の内部で何のプロセスがこの通信を発しているか」であり、これは経路上のネットワーク型では原理的に見えにくく、エンドポイント型（EDRエージェント）を入れれば、暗号化前のプロセス・コマンドライン・書き込み先まで捉えられます。もしその端末がBYODでエージェントを常駐させられないなら、agentlessでAPI経由の限定的な可視性に妥協するか、ネットワーク側のDNS/プロキシログで接続先の評判を評価する、という代替に切り替えます。集めたイベントはSIEMでNetFlow・DNS・EDRを相関させ、「未知ドメインへの定期通信＋新規に生成された不審プロセス＋レジストリ自動起動」が揃えばC2（コマンド&コントロール）の疑いが濃くなります。確度が上がったらSOARのプレイブックで当該端末の隔離とドメインのブロックを自動実行する。ここでの学びは、「見えない」を暗号化のせいにして力技で復号するのではなく、欲しい可視性の種類に合わせて配備（ネットワーク／エンドポイント／エージェント有無）を選び、SIEMで束ねてSOARで動くという配備判断の連鎖です。
| 配備 | 見えるもの | 弱点/コスト | 向く場面 |
|---|---|---|---|
| ネットワーク型 | 経路上のトラフィック（広範囲） | 暗号化の中身は見えない | 広域の一括監視・フロー可視化 |
| エンドポイント型（エージェント） | プロセス/ファイル/OS内部のふるまい | 全端末への導入・維持負荷 | 暗号化前データ・詳細テレメトリ |
| エージェントレス | API/ネットワーク経由の状態 | 取得できる詳細度が劣る | BYOD・クラウド・軽量導入 |
| SIEM / SOAR | 複数ソースの相関 / 自動対応 | チューニングとプレイブック整備 | 相関検知と対応の自動化 |
ひっかけ： 「ネットワーク型の監視だけあればホスト内部のふるまいも把握できる」は誤りです——経路上のネットワーク型は暗号化された通信の中身やホスト内部のプロセスを原理的に捉えにくく、内部の詳細にはエンドポイント型（エージェント）が要ります。また「SIEMを入れれば脅威に自動対応してくれる」も誤り＝SIEMは相関とアラートまでで、封じ込め等の対応の自動化はSOARの役割です。
1.2.4この節のまとめ
- 配備は可視性の穴で選ぶ：ネットワーク型は広範囲だが暗号化の中身は不可視、エンドポイント型（エージェント）は内部ふるまいが見える代わりに導入負荷
- レガシーAVはシグネチャ照合、NGAV/EDRはふるまい検知。アプリ固有攻撃はアプリ型（WAF等）で捉える
- ログ管理（集約）→SIEM（相関・アラート）→SOAR（対応自動化）の段階分担。コンテナは短命・クラウドはAPI/監査ログで可視性を確保
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. NetFlowで、ある端末が未知の外部ドメインへTLSで定期通信しているのを検知したが、暗号化されており「その端末内のどのプロセスが通信しているか」が分からない。この可視性の穴を最も直接的に埋める配備はどれか。
Q2. 既知シグネチャに載っていない新種のファイルレス攻撃が、正規プロセスに寄生してメモリ上で悪意ある挙動を行っている。従来のレガシーAVでは検知できなかった。この脅威を最も検知しやすい仕組みはどれか。
Q3. SOCが複数機器のログを一箇所に集約・保存・検索できるようになった。次段階として「複数ソースのイベントを突き合わせて脅威を浮かび上がらせ、確度が上がったら封じ込めを自動実行したい」。この要件を満たす仕組みの組み合わせとして最も適切なものはどれか。