SOC / SOC-05
セキュリティオーケストレーションおよびレスポンス自動化 — SOAR
複雑なインシデントにおける判断力を代替するものではありません。SOARはツールと手順を結合するものであり、機密性の高いアクションについては人間の承認を維持しながら、反復的なアラートのエンリッチメントと処理タスクを自動化します。.
役立つとき
的確な回答
定義されたニーズに対して.
アナリストによるコンソール間のデータ手動コピー、エスカレーションの遅延、一貫性のない手順、あるいは明確に定義されたシナリオに対する再現可能な対応の必要性。.
適用範囲と成果物
このエンゲージメントの対象範囲.
スコープ
- ユースケースの選択
- コネクタ
- サービスID
- 濃縮
- チケット
- 承認
- 制限されたアクション
- エラーと再試行
- 監査
- テスト
- 手動フォールバック
成果物
- プレイブック
- 承認マトリックス
- 制限付きサービスアカウント
- 実行ログ
- テスト
- シャットダウンおよび復旧手順
- アナリストの引き継ぎ
検収証拠
正常系と異常系のシナリオがテストされており、機密性の高いアクションには必要な承認が伴い、最小権限が適用され、実行の追跡が可能であり、手動フォールバックが機能します。.
配達
仕事の進め方.
アプローチ
サービスの範囲と役割の定義、データの接続と検証、テストシナリオの実施、運用の開始、測定と改善。.
前提条件と責任
カスタマー：資産、ログ、連絡先および対応権限。プロバイダー：契約に基づく収集／分析。ビジネス上の決定および復旧は明確に割り当てられています。.
スコープ要因
アセット、ソース、イベント、ボリューム、リテンション、統合、時間、および応答レベル。オンボーディング、ライセンス、従量課金、および継続的サービスを分離します。.
確認のための質問
どのタスクが反復的で安定していますか？どのような行動がビジネスを混乱させる可能性がありますか？誰がそれらを承認し、欠陥のある自動化をどのように停止できますか？
重要な境界線
不適切な承認が行われた自動化はインシデントを拡大させる可能性があります。大規模な展開の前に、コネクターアカウント、APIの割り当て、エラー、および取り返しのつかないアクションに対処する必要があります。.
契約承認後のみ対応時間および応答時間を適用。検出率や解決の保証はなく、収集の抜けや失敗したソースはレポートに表示されたままとなります。.
実際には
具体例.
これらの例は、想定される関与と目標とする成果について説明したものであり、顧客の事例や達成された実績ではありません。.
シナリオ01
SOCは多くのフィッシング報告を処理します。プロジェクト：エンリッチメントとケース作成を自動化し、メッセージ削除には承認を必須化します。目標とする成果：不正な一括削除を行わない、再現性のある手順。.
シナリオ 02
チームが時々間違ったデバイスを隔離してしまう。プロジェクト：識別子の検証、承認の追加、および復旧手順のテスト。目標とする成果：より制御された対応、重要資産に対する専用手順の保持。.
技術と参照コンテキスト
既存のツールと連携し、コネクタの権限検証、ライセンス管理、機密性の高いアクションの承認機能を備えたSOARの機能。.
最終的なテクノロジーセットは、相互運用性、ライセンス、アクセス権、および運用要件に基づき、スコープ設定の段階で合意されます。.
コネクテッドサービス
次のステップを構築する。.
これらのサービスはエンゲージメントを補完するものであり、自動的には含まれません。.
会話を始めましょう。
スコープを明確にする。.
このサービスの目的、依存関係、および責任範囲を明確にした上で、納品を提案いたします。.