SOARとは？アラート対応を自動化する仕組みと導入を急がなくてよい会社

SOAR（ソアー）⁠と⁠は⁠、セキュリティのアラートへの対応のうち、決まった作業を手順に沿って自動化する仕組みのことです。Security Orchestration, Automation, and Responseの略です。SIEMと経験のある担当者がそろっていない会社では、導入を急ぐ必要はありません。

今日やることは、次の2つ⁠の問いに答えることです。「社内にSIEMがあり、そのアラートを正しく見ている人がいるか」「同じアラート対応を週に何度も繰り返しているか⁠」⁠。どちらかが「いいえ」⁠な⁠ら⁠、SOARの検討は先に延ばしてかまいません。

SOARは何を自動化するのか？

豪州通信電子局（ASD）⁠の経営層向け指針は、SIEMは不審な動きを見つけてアラートを出すもの、SOARはインシデント対応の一部を自動化できるものと説明しています。この指針は2025年5月⁠に公開され、米CISAも共同の文書群として案内しています。

名前の3語⁠を分けると、中身がつかめます。

例の欄は、一般的な使い方を私たちが整理したものです。実際に何ができるかは、製品ごとの連携先によって変わります。

製品の説明では、どう書かれているか

Microsoft Sentinelの公式資料は、背景をこう説明しています。アラートとインシデントの量が多く、担当者が追いつかないため、多くのアラートが無視され、調査されないインシデントが残ることがある。SOARの目的の一つは、繰り返し発生する予測可能な作業を自動化し、担当者の時間をより深い調査に回すことです。

同じ資料では、仕組みは2段に分かれています。自動化ルールは、タグ付け、割り当て、クローズなどをまとめて扱います。プレイブックは、対応の動作と判断の流れをまとめたもので、定型の作業として実行できます。

ここで見えてくるのは、SOARが「人手が足りない会社の代わりに守る製品」⁠で⁠は⁠な⁠いことです。もともと担当者がいて、その人が同じ作業に追われている状態を前提にしています。

なぜ、SIEMと担当者がいないと早いのか？

ASDの指針は、SOARは未成熟な環境には通常向かないと書いています。未成熟な環境として挙げているのは、次の3つです。

• SIEMがない
• SIEMを立ち上げたばかり
• 経験のあるセキュリティチームがない

順番についても、一般にはSIEMを正しく導入し、セキュリティ事象を正確に知らせる状態にしてからSOARを入れる必要がある、としています。

理由は2つあります。

誤りが自動で実行される

人が見ていれば「これは定期バッチの通信だ」⁠と気づけるものでも、設定が悪ければ機械は攻撃と判断します。指針は、設定の悪い対応機能が普段の利用者やシステムの動きを誤認し、自動で隔離することで、業務に支障が出るおそれがあると書いています。

アラートの精度が低いまま自動化すると、誤りの回数まで増やすことになります。だから、先にSIEM側の精度を上げます。

運用の負担は軽くならない

指針は、SIEMもSOARも「設定して終わり」⁠の道具ではないとしています。導入には継続的な作業と高い技能を持つ人が要り、複数の人が専任で関わることを経営層は想定すべきだと書いています。費用としては、ライセンスやデータ量の費用、専門人材の採用と維持、既存社員の育成、外注の費用を挙げています。

取り込むデータ量で課金する製品には、上限がなければ費用が大きく膨らむおそれがあるとも注意しています。兼任の担当者が1人という会社とは、前提が違います。

自社はどの段階か？判断の基準

指針の条件をもとに、私たちは次のように整理しています。この線引きは公的な基準ではなく、自社の段階を確かめるための目安です。

最後の行は見落としやすいところです。監視を任せた先がすでに自動化の仕組みを使っているなら、自社で別の製品を重ねる意味は小さくなります。契約前に、どこまで自動で動くのか、隔離は事前の承認が要るのかを聞いておきます。聞く項目はSOCの外注で確かめること⁠にまとめました。

製造業では、何に気をつけるか？

たとえば、工場のネットワークにつながるパソコンが自動隔離の対象に入っている場合を考えます。設備の更新で、普段と違う通信が大量に出たとします。人なら「今日は保守の日だ」⁠と分かりますが、ルールにその情報がなければ、機械は隔離するかもしれません。パソコンが生産データの受け渡しをしていれば、ラインに影響が出ます。

事務所の端末と工場の端末で、自動化の範囲を分けて考えます。工場側は「知らせるだけ」⁠にとどめ、止める判断は人に残す設計にすると、影響を読みやすくなります。保守の予定を監視の担当者と共有する運用も、同じ理由で必要です。

導入しない会社は、代わりに何をするのか？

自動化の前に手順がなければ、自動化するものがありません。だから、今の段階でやることは手順を文書にすることです。

この紙は、事故のときの動きそのものになります。連絡先と役割の決め方はインシデント対応の手順⁠に書きました。将来SOARを入れるとしても、この手順がプレイブックの材料になります。

監視そのものは外部に任せられます。IPAのサイバーセキュリティお助け隊サービス基準は、24時間⁠の見守りと通知、緊急時の対応支援、簡易サイバー保険を原則一つの契約で提供することを求めています。運用を丸ごと頼む形ならセキュリティ運用代行・顧問サービスの比較で確かめられます。

SIEMを自社で持つ段階にある会社は、SIEMの比較でログの取り込み方と費用の決まり方を見ておきます。SOARの段階に来た会社は、SOAR製品の比較で連携できる製品を確かめ、指針が求めるとおり本番の前に試験をします。

ASDの指針が挙げる「試験してから入れ、そのあとも定期的に試験する」⁠と⁠い⁠う順番は、製品の規模にかかわらず当てはまります。最初の自動化は通知や情報の収集など、間違えても業務が止まらない作業から始めると、失敗の影響を小さくできます。

監視や運用の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。