第5章 · インシデント対応·v1.0.0·更新 2026/7/17·読了目安 約14分
変更要約: 初版
5.1セキュリティイベント監視とエスカレーション
この節の要点
ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化・オーケストレーションするSOARの役割の違い、パケットキャプチャや各種ログといったネットワークデータ監視の対象、そして「これは普段と違う」という不審イベントの識別と、いつエスカレーションすべきかの判断を、監視の入口として学びます。
インシデント対応は、派手な事件処理の前に、「気づく」仕組みから始まります。大量のログや通信の中から「これは普段と違う」を見つけ、必要なら上位へ引き継ぐ——この最初の関所が監視とエスカレーションです。この節では、ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化するSOARの役割の違い、パケットキャプチャや各種ログというネットワークデータ監視の対象、そして不審イベントをどう識別しいつエスカレーションするかを、暗記ではなく「この画面のこの兆候は何を意味するか」という視点で学びます。
5.1.1SIEMとSOARの役割の違い
- SIEM（Security Information and Event Management）＝サーバ・機器・アプリなどさまざまな発生源のログを一箇所に集約し、相関分析して気づき（検知）を生む基盤。単独では見えない「複数ログをまたいだ異常」（例：短時間の連続ログイン失敗の直後に成功）を関連づけて可視化・アラートするのが本質。
- SOAR（Security Orchestration, Automation and Response）＝検知した後の対応（レスポンス）を自動化・オーケストレーションする仕組み。プレイブックに沿って「該当端末を隔離」「チケット起票」「担当へ通知」などの手順を自動でつなぎ、人手を減らして初動を速くする。SIEMが気づき、SOARが動くという分担で覚える。
- 両者は競合ではなく連携する。SIEMが相関で「怪しい」を検知し、そのアラートをSOARが受けて定型的な対応を走らせる、という流れが典型。入門では「ログ集約・相関＝SIEM／対応の自動化・オーケストレーション＝SOAR」という役割の言い分けを正確に持つことが重要。