変更要約: 初版
1.6CVSS用語・5-tupleと検知手法
脆弱性の深刻度を測るCVSSのメトリクス（攻撃元区分（AV）・攻撃条件の複雑さ（AC）・必要な権限（PR）・ユーザ関与（UI）・スコープ（S）＋時間（temporal）・環境（environmental））と、ログから侵害ホストを特定する5-tuple、そしてルール/シグネチャベースとふるまい/統計ベースの検知の違いを、SOCのトリアージ判断として学びます。
SOCの1日は「膨大な脆弱性とアラートのどれから手を付けるか」の連続です。脆弱性の優先度はCVSSのメトリクスが、アラートの調査は5-tuple（5つの識別子）による通信の突き合わせが土台になります。そして「そのアラートはなぜ上がったのか」を理解するには、既知パターンに一致したルール/シグネチャベースなのか、平常からの逸脱を捉えたふるまい/統計ベースなのかを見分ける必要があります。この節ではこれらを、点数や定義の暗記ではなくトリアージの判断材料として使えるようにします。
1.6.1CVSSのメトリクス
- 基本評価（Base）のメトリクス：攻撃元区分（AV）＝ネットワーク/隣接/ローカル/物理のどこから攻撃可能か（ネットワーク経由ほど深刻）、攻撃条件の複雑さ（AC）＝成立の難しさ、必要な権限（PR）＝攻撃に要する権限レベル、ユーザ関与（UI）＝被害側の操作が必要か。権限不要・UI不要・ネットワーク経由ほどスコアは高くなる。
- スコープ（S）＝脆弱性の影響が、その脆弱なコンポーネントの権限境界を越えて他のコンポーネントに及ぶか（Changed なら被害が波及し深刻）。さらに時間評価（Temporal）＝エクスプロイトの成熟度やパッチ提供状況など時間で変わる要素、環境評価（Environmental）＝自組織の資産重要度や既存対策など環境固有の要素で、基本スコアを現実に合わせて調整する。
1.6.25-tupleとデータの可視性
- 5-tuple＝送信元IP・宛先IP・送信元ポート・宛先ポート・プロトコルの5つの識別子。1つの通信フローを一意に指し示し、SIEM/NetFlow/FWログをこの5要素で突き合わせることで、大量のログから「どのホストがどこへ何のプロトコルで通信したか」を追跡し侵害ホストを特定できる。調査の最も基本的な鍵。
- 通信の可視性を下げる技術（暗号化・トンネリング・TOR・NAT/PAT・ロードバランシング）がある一方、可視性の欠如や誤設定はデータロス（監視の穴）を生む。5-tupleでの追跡も、NATで送信元が書き換わっていれば内部の実ホストの特定に別ログ（NATテーブル/内部フロー）が要る、という具合に可視性の前提を意識する必要がある。
1.6.3ルール検知とふるまい/統計検知
- ルール/シグネチャベース検知＝既知の攻撃パターン（シグネチャ）に一致したら発報する。既知の脅威に対して精度が高く誤検知が少ないが、シグネチャに載っていない未知/亜種は見逃す（偽陰性）。「何に一致したか」が明確で調査しやすい。
- ふるまい/統計ベース検知（アノマリ）＝平常のベースラインを学習し、そこからの逸脱を異常として捉える。シグネチャの無い未知攻撃や内部不正を発見できる可能性がある反面、正常な変動を異常と誤る偽陽性が増えやすく、ベースラインの精度に依存する。両者は補完関係で併用するのが定石。
「CVSS：権限不要・UI不要・ネットワーク経由・スコープChangedほど深刻／temporalは時間変動・environmentalは自組織固有で調整」「5-tuple＝送信元IP・宛先IP・送信元ポート・宛先ポート・プロトコルで侵害ホストを特定」「ルール/シグネチャ＝既知に強く誤検知少・未知は見逃す／ふるまい・統計＝未知を捉え得るが偽陽性増」が頻出です。アラートがどちらの検知由来かを見分けてトリアージしましょう。
あなたのSOCに2件が同時に上がりました。1件目は脆弱性管理からの通知で、公開Webサーバの新規CVEがCVSS基本値9.8。内訳を見ると攻撃元区分（AV）＝ネットワーク、必要な権限（PR）＝なし、ユーザ関与（UI）＝なし、スコープ（S）＝Changedで、これは「インターネットから権限もユーザ操作も無しに悪用でき、影響が他コンポーネントへ波及し得る」という最悪に近い組み合わせだから高いのだと読めます。さらに時間評価でエクスプロイトが公開済み・パッチ未提供なら現実の危険度はより切迫し、環境評価でこのサーバが顧客データを扱う重要資産なら自組織にとっての優先度はいっそう上がります——数字を鵜呑みにせずなぜ高いかをメトリクスで説明できることがトリアージの質です。2件目はIDSアラートで、ある内部ホストから外部への通信が「異常」と報告されました。まず5-tuple（送信元IP・宛先IP・送信元/宛先ポート・プロトコル）でNetFlowとFWログを突き合わせ、その内部ホストが深夜に未知の宛先へ一定間隔でTCP通信していると特定します。ここで見分けるべきは、このアラートがシグネチャベース（既知C2パターンに一致）なのかふるまい/統計ベース（平常のベースラインから逸脱）なのかです。シグネチャ一致なら「何に一致したか」が明確で真陽性の確度が高く即エスカレーション、統計的逸脱なら正常な業務変動による偽陽性の可能性を残すため、5-tupleでの深掘りやプロセス情報（EDR）で裏取りしてから判断します。もし送信元がNAT越しなら、外向きに見えるIPから内部の実ホストを割り出すのにNATテーブルという別ログが要る——可視性の前提（データロスの穴）を忘れると誤ったホストを隔離しかねません。CVSSで「どの脆弱性を優先するか」を、5-tupleで「どのホストが何をしたか」を、検知方式の見分けで「そのアラートをどれだけ信じるか」を——この3点を組み合わせるのが、洪水のようなインプットを確度あるトリアージに変えるSOCの中核スキルです。
| 観点 | ルール/シグネチャベース | ふるまい/統計ベース |
|---|---|---|
| 判定の根拠 | 既知パターンへの一致 | 平常ベースラインからの逸脱 |
| 未知の攻撃 | 見逃しやすい（偽陰性） | 捉え得る |
| 誤検知 | 少ない | 増えやすい |
| 調査のしやすさ | 一致内容が明確で追いやすい | 逸脱の意味づけに裏取りが要る |
ひっかけ： 「CVSSの基本スコアが高ければ、どの組織でも即座に最優先で対応すべきだ」は誤りです——基本値は共通の深刻度で、実際の優先度は時間評価（エクスプロイト成熟度・パッチ状況）と環境評価（自組織の資産重要度・既存対策）で調整して判断します。また「ふるまい/統計ベースの検知は既知パターンに一致した確実な攻撃だけを出す」も誤り＝統計ベースは平常からの逸脱を捉えるため偽陽性が増えやすく、一致が明確なのはシグネチャベースの方です。5-tupleでの追跡もNAT等で送信元が書き換わる可視性の前提を忘れないこと。
1.6.4この節のまとめ
- CVSSは権限不要・UI不要・ネットワーク経由・スコープChangedほど深刻。基本値を時間（成熟度/パッチ）と環境（資産重要度）で調整して優先度を判断する
- 5-tuple（送信元/宛先IP・送信元/宛先ポート・プロトコル）でログを突き合わせ侵害ホストを特定。NAT等の可視性の前提（データロス）に注意
- シグネチャベースは既知に強く誤検知少（未知は見逃す）、ふるまい/統計ベースは未知を捉え得るが偽陽性増。両者を併用しアラートの由来でトリアージする
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 公開Webサーバの新規脆弱性がCVSS基本値9.8と報告された。内訳は攻撃元区分=ネットワーク、必要な権限=なし、ユーザ関与=なし、スコープ=Changedである。このスコアが高い理由の説明として最も適切なものはどれか。
Q2. IDSが「内部ホストAから外部への通信が異常」と報告した。大量のログの中からこの通信フローを一意に追跡し、どのホストがどこへ何のプロトコルで通信したかを特定したい。最も基本的な手掛かりはどれか。
Q3. あるアラートは「平常のトラフィックのベースラインから統計的に逸脱した」ことを根拠に発報された。既知の攻撃シグネチャへの一致は含まれていない。このアラートのトリアージ方針として最も適切なものはどれか。