変更要約: 初版
5.1セキュリティイベント監視とエスカレーション
ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化・オーケストレーションするSOARの役割の違い、パケットキャプチャや各種ログといったネットワークデータ監視の対象、そして「これは普段と違う」という不審イベントの識別と、いつエスカレーションすべきかの判断を、監視の入口として学びます。
インシデント対応は、派手な事件処理の前に、「気づく」仕組みから始まります。大量のログや通信の中から「これは普段と違う」を見つけ、必要なら上位へ引き継ぐ——この最初の関所が監視とエスカレーションです。この節では、ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化するSOARの役割の違い、パケットキャプチャや各種ログというネットワークデータ監視の対象、そして不審イベントをどう識別しいつエスカレーションするかを、暗記ではなく「この画面のこの兆候は何を意味するか」という視点で学びます。
5.1.1SIEMとSOARの役割の違い
- SIEM（Security Information and Event Management）＝サーバ・機器・アプリなどさまざまな発生源のログを一箇所に集約し、相関分析して気づき（検知）を生む基盤。単独では見えない「複数ログをまたいだ異常」（例：短時間の連続ログイン失敗の直後に成功）を関連づけて可視化・アラートするのが本質。
- SOAR（Security Orchestration, Automation and Response）＝検知した後の対応（レスポンス）を自動化・オーケストレーションする仕組み。プレイブックに沿って「該当端末を隔離」「チケット起票」「担当へ通知」などの手順を自動でつなぎ、人手を減らして初動を速くする。SIEMが気づき、SOARが動くという分担で覚える。
- 両者は競合ではなく連携する。SIEMが相関で「怪しい」を検知し、そのアラートをSOARが受けて定型的な対応を走らせる、という流れが典型。入門では「ログ集約・相関＝SIEM／対応の自動化・オーケストレーション＝SOAR」という役割の言い分けを正確に持つことが重要。
5.1.2監視データと不審イベントの識別・エスカレーション
- ネットワークデータ監視の対象は幅広い。パケットキャプチャ（通信そのものを記録）、ファイアウォールやプロキシのログ、認証ログ、DNSログ、エンドポイントのログなど。CCSTの入門段階では「どんなデータ源があり、何が見えるか」を識別できれば十分で、CyberOps級の詳細解析までは踏み込まない。
- 不審イベントの識別は、ベースライン（普段の姿）からの逸脱を見つけること。例：深夜帯の管理者ログイン、短時間の大量ログイン失敗、普段通信しない国への大量送信、未知プロセスの実行。単発の事象より、時間・回数・相手の組み合わせが「普段と違う」ときに疑う。
- エスカレーション＝自分の権限や手順で判断しきれない事象を、より上位・専門の担当へ引き継ぐこと。「影響が広がりそう」「機密データが関わる」「対応に権限や専門知識が要る」「手順書の想定を超える」ときが目安。確信が持てないまま握りつぶさず、速やかに上げるのが入門者の正しい振る舞い。
「SIEM＝多数のログを集約・相関して検知（気づく）／SOAR＝検知後の対応を自動化・オーケストレーション（動く）」「不審イベント＝ベースラインからの逸脱」「エスカレーション＝自分で判断しきれない事象を上位へ速やかに引き継ぐ」が頻出です。SIEMとSOARの役割を取り違えないことが最重要ポイントです。
あなたが監視担当の当番で、SIEMの画面に一件のアラートが上がったとします。内容は「ある社員アカウントで、22:10 に海外IPから連続してログイン失敗が12回、直後に同じ海外IPからログイン成功」。ここで大切なのは、この情報がなぜ一つのアラートになったのかを理解することです。ログイン失敗のログと成功のログは本来は別の記録ですが、SIEMが複数の発生源のログを集約し、時間的に連続した関連（失敗の連打→成功）を相関させたからこそ、「怪しい」という一つの気づきになりました。単独のログだけを眺めていたら見逃していたかもしれません。次に、あなたが取るべき行動を考えます。この兆候は不審イベント——普段は国内からしかログインしない社員が、深夜に海外IPから失敗を重ねた末に成功、というベースラインからの明確な逸脱です。総当たり（ブルートフォース）でパスワードが破られた可能性があり、放置すれば被害が広がりかねません。ここで、もし組織にSOARが導入されていれば、プレイブックに沿って「該当アカウントの一時停止」「セッションの遮断」「インシデントチケットの起票」といった初動が自動で走り、人が判断する前に被害の拡大を止められます。ただし、SOARが自動対応したとしても、あるいは自動化が無い環境でも、あなた自身が判断すべきなのはエスカレーションの要否です。機密情報を扱うアカウントかもしれず、影響範囲の特定には自分の権限を超える調査が要る——そう感じたら、確信が持てるまで抱え込むのではなく、速やかにインシデント対応チームへ引き継ぎます。ここでの学びは、SIEMが「気づき」を作り、SOARが「対応」を動かし、人は「これは上げるべきか」を判断するという三者の役割分担を、画面の一件のアラートから読み取れることです。
| 観点 | SIEM | SOAR |
|---|---|---|
| 主な役割 | ログの集約・相関分析による検知（気づき） | 検知後の対応の自動化・オーケストレーション（動き） |
| 入力 | 多数の発生源のログ・イベント | SIEM等からのアラート |
| 出力 | 相関したアラート・可視化 | 隔離・チケット起票・通知など自動対応 |
| 一言で | 気づく | 動く |
ひっかけ： 「SOARが多数のログを集約・相関して脅威を検知し、SIEMがその対応を自動実行する」は役割が逆で誤りです——SIEMがログを集約・相関して検知（気づく）、SOARが検知後の対応を自動化・オーケストレーション（動く）します。また「不審かどうかは単発のイベント一つで断定できる」も誤り＝ベースラインからの逸脱（時間・回数・相手の組み合わせが普段と違うこと）で判断します。
5.1.3この節のまとめ
- SIEMは多数のログを集約・相関して検知（気づく）、SOARは検知後の対応を自動化・オーケストレーション（動く）。役割を取り違えない
- ネットワークデータ監視の対象はパケットキャプチャや各種ログ。不審イベントはベースラインからの逸脱で見つける
- 自分で判断しきれない事象は握りつぶさず、速やかに上位へエスカレーションするのが入門者の正しい振る舞い
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある組織で「複数のサーバや機器のログを一箇所に集約し、相関分析して怪しい兆候を検知しアラートを出す」役割を担う仕組みはどれか。
Q2. SIEMが「深夜に海外IPから連続ログイン失敗の直後に成功」というアラートを出した。対応として「該当アカウントの一時停止・セッション遮断・チケット起票」をプレイブックに沿って自動で実行させたい。最も適した仕組みはどれか。
Q3. エントリレベルの監視担当が、機密データを扱うサーバで自分の権限では影響範囲を特定しきれない不審な挙動を見つけた。最も適切な行動はどれか。