|
セキュリティオペレーションセンター
セキュリティオペレーションセンター (英: Security Operation Center;SOC) とは、顧客または自組織を対象とし、情報セキュリティ機器、サーバ、コンピュータネットワークなどが生成するログを監視・分析し、サイバー攻撃の検出・通知を行うことで、サイバーセキュリティ態勢を改善し、脅威を阻止する集中管理機能もしくはセキュリティ組織のこと。[1][2] 複数の国にまたがる大規模な組織では、グローバルセキュリティオペレーションセンター(GSOC)と呼ばれる上位セキュリティ組織が存在する場合がある。 概要組織のITシステムに対するネットワーク不正侵入、DDoS攻撃、ワームなどのサイバー空間の脅威に対応するために、その組織内に構成されるか、外部に委託（アウトソーシング）される。 企業などの組織では、従来はサーバ・ネットワーク分野の技術者が脅威に対応していたが、近年のサイバー攻撃の高度化に伴い、情報セキュリティに特化した技術者が対応するようになってきた。 機能SOCは攻撃の予防、応答、復元をサポートするために、次の機能を担っている。ただし、企業や組織によって大きく異なる場合がある。 攻撃の未然的な予防攻撃する隙になってしまう脆弱性を修正したり、新たな脅威の調査を行って分析し、先に対処しておくことで攻撃自体を予防する。更新プログラムなどを適応して最新のパッチにしておくのもこれに含まれる。 機器の監視組織内のクラウドやアプリケーションなどのネットワークデバイスの全てを24時間無休で監視する。具体的には（正常なものを含む）操作が行われた際に生成されるログデータの収集、監視、分析や、機器の動作（通常と異なる動作をしていないかなど）の監視を行う。 これらの監視と分析によってマルウェアである可能性のある異常を明らかにし、削除や隔離などの対処を行う。 サイバー攻撃からの復旧サイバー攻撃を防ぐことができず、被害を受けてしまった際は、ビジネスにできるだけ支障のないようにする被害の縮小と、組織を元の状態に復旧する作業の両方を行う。 被害の縮小のためには、影響を受けたエンドポイントやアプリケーションのシャットダウンや隔離、マルウェアに感染したアカウントやファイルの削除、セキュリティソフトの実行などが行われ、復旧のためにはアプリケーションの再起動やバックアップシステムへの切り替え、バックアップデータからのバックアップを行う。 根本原因の調査同様の攻撃が再び発生しないようにするために、原因となった脆弱性や不備を特定し、再発防止に努めるのもSOCの重要な役割である。 CSIRTとの違いCSIRTはインシデントなど、サイバー攻撃が発生した際に主に対応する組織に対して、SOCはインシデントの検知や対策を主に行う組織であるといわれているが、最近は業務範囲にはっきりとした区別がなくなってきている。[3] 分類監視対象による分類SOCは、その監視対象によって次の二つに分類できる。
MSSは主に顧客向け商用サービス、ディープSOCは組織内での対応または被害が顕在化した際のスポット契約として実施されてきた。これはサーバ、OS、NW、DBのログには顧客情報や営業上の秘密が記録されていて、社外に提示することがリスクとなるからである。 しかし、近年ではMSSをする企業がディープSOC分野に進出したり、組織内ディープSOCがMSSを開始したりして、区別があいまいになっている。 組織での分類自組織だけにサービスを提供するSOCをプライベートSOC、商用またはグループ企業群に対してサービスを提供するものをパブリックSOCという。 近年、SOCは組織において必要なものとの認識が広がり、主に大企業を中心に自社内にプライベートSOCを組織する流れが加速している。ただし、次節に示す課題があるので、SOCを組織して継続的に運営していくのは、コンサルティングサービスを利用しても難しい。 課題SOCをアウトソーシングする場合には、次の課題がある。
SOCを自組織内で組織する場合には、次の課題がある。
脚注
|
Portal di Ensiklopedia Dunia
