SOAR 【Security Orchestration, Automation and Response】

概要

SOAR（Security Orchestration, Automation and Response）とは、企業などの情報システムで、セキュリティ事象(インシデント)の発生・検知から調査、対応までの工程を統合的に管理し、自動化や効率化を推進するシステム。

様々なシステムが残す通信記録（ログ）やセキュリティツールの通知など、システム内でセキュリティに関連する情報を収集し、統合的に管理する。担当者はダッシュボードでインシデントの発生状況を監視し、調査や分析を行って必要に応じて対応を行う。

SOARの最大の特徴はインシデント対応について「プレイブック」（playbook）と呼ばれる標準化された手順書を用いる点である。プレイブックにはインシデントの種類ごと検知から対応までの手順が条件分岐などを含むチャート形式で記載されており、画面上で進行状況を確認しながら次に必要な作業を実施する。

情報収集など機械的に対応可能な手順は実行を指示するだけで自動的に実施することもできる。どのインシデントがどの手順まで完了しているか画面上で逐一確認でき、知識や経験の浅いスタッフでもプレイブックに示された手順に従ってスムーズに作業を進めることができる。

SOAR製品には既知の典型的なインシデントについてのプレイブックがすでに組み込まれており、日常的に発生するインシデントはすぐに効率化することができる。自社の事情に固有の脅威や新しい攻撃手法には必ずしも追随できないが、SOARによる効率化や自動化が進めば、SOCやCSIRTの熟練スタッフがそうした重要なインシデントへの対応に集中することができるようになる。

(2022.11.27更新)