SOARとは？
セキュリティ運用の自動化を体系的に理解する

1. まず全体像：攻撃を防ぐ・見つける・対応する

セキュリティ製品の名前を丸暗記するより、「どの段階で、何をするか」で整理すると応用が利きます。

2. SOARの正式名称と3つの機能

SOAR = Security Orchestration, Automation and Response。Orchestration（オーケストレーション）は複数の製品を指揮して連携させること、Automation（オートメーション）は定型処理の自動実行、Response（レスポンス）は調査・封じ込めなどの対応です。

この一連の決められた作業手順をプレイブック（playbook）と呼びます。製品が用意するアクションを順番に実行する「対応手順書の実行可能な形」と考えると理解しやすくなります。

3. SIEM・SOAR・EDR・XDRを混同しない

4. 実例：Microsoft Sentinelのプレイブック

Microsoft Sentinelではインシデントやアラートに対して自動化ルールを設定し、Azure Logic Appsを基盤としたプレイブックを実行できます。例として、悪性IPの照会、ケースへのコメント追加、チケット発行や通知などを順に組み合わせる設計が可能です。

公式ドキュメントでも、プレイブックを自動実行・手動実行する仕組みが説明されています。参照：Microsoft Sentinelの自動化。

5. 脅威インテリジェンス・IOC・STIX・TAXII

脅威インテリジェンスは、攻撃者の手口や観測された指標に文脈・評価を加えた情報です。たとえば「このIPは最近フィッシングに使われた」という情報を調査や防御に利用します。

6. ゼロトラストとの関係

ゼロトラストは、ネットワークの内側だから安全だと決めつけず、利用者・端末・通信などの状態に応じてアクセスを継続的に評価する設計思想です。SOARのような対応ワークフローの製品分類ではありません。

例えばIDサービスが異常ログインを検知したとき、アクセス制御の仕組みで追加認証を要求し、SOARで担当者通知や関連ログ収集を行うことはできます。ただし、ゼロトラスト＝全部自動で遮断することではありません。

7. 操作ラボ：プレイブックをステップごとに試す

身近な3場面を切り替えながら、検知・調査・判断・対応・記録を体験します。人の承認を必要とする運用と、条件が合えば自動実行する運用の違いにも注目してください。

8. プレイブック設計の注意点

自動化は速い反面、誤検知による業務停止のリスクもあります。アカウント無効化・端末隔離・ネットワーク遮断などは影響範囲が大きく、承認の要否を慎重に決めなければなりません。

// 説明用の疑似コード（実製品の設定ではありません）
if (alert.confidence >= 0.9 && asset.criticality === "low") {
  collectEvidence();
  notifyAnalyst();
  // 隔離は組織の承認ポリシーに従う
} else {
  createInvestigationTicket();
  requestHumanReview();
}

9. 試験でも実務でも迷わない整理

「検知」から「対応」を結びつける流れと、各用語の役割を区別できれば、選択肢が似ていても判断しやすくなります。

10. 参考資料

• Microsoft Sentinel: Automation and playbooks（Microsoft）
• Create and manage Microsoft Sentinel playbooks（Microsoft）
• NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide（NIST）
• STIX 2.1（OASIS）
• TAXII 2.1（OASIS）
• NIST SP 800-207: Zero Trust Architecture（NIST）