Kaspersky for SOC

ツールより成果を先に考えましょう。検知とレスポンスの優先順位は、ビジネスリスクに基づいて決定します。初期段階では、強固なSIEMとEDR、そして専門知識を有する外部サービス（MDRやコンサルティング）を組み合わせて活用しましょう。

成熟度が高いSOCのほとんどは、ツールを最優先に構築されているわけではありません。最初はユースケースから構築し、その後、技術と人材を活用して運用体制を確立していきます。

MTTR（平均対応時間）：インシデントの検知後における封じ込めまでのスピード。低いほど封じ込めまでの時間が短くなり、影響も軽減されます

MTTD（平均検知時間）：最初の侵害から、SOCがその活動をセキュリティインシデントとして特定し認識するまでの経過時間です。低いほど検知が早くなり、システムへの滞在時間が短縮され、攻撃の持続性が最小限に抑えられます

真陽性率（True Positive Rate、TPR）とアラート件数の比較：実際に重要なアラートの件数。「高信号 / 低ノイズ」は、アナリストが誤警報ではなく、実際の脅威に集中している状態を意味します。

SOCの可視性カバレッジ：SOCが、検知とレスポンス機能によって保護対象のインフラをカバーできる精度。

重大な攻撃テクニックのカバレッジ（MITRE ATT&CK）：主要な攻撃テクニックを駆使した実際の攻撃者の行動を、SOCが検知する際の有効性。カバレッジが高いほど、死角が少なくなります。

現実的には、成果は単一のマイルストーンではなく、段階的に現れるものです。

• 9～12か月 — SOCが運用開始（ベースラインの検知体制が確立、プロセスが安定化、チームの自信が高まり、ノイズが減少）
• 18～24か月 — 成熟段階に到達（自動化、広範なカバレッジ、一貫性がある成果）

スピードは、出発点、チームの経験、外部の専門知識をどの程度活用するかによって異なります。最大の遅れの原因は、通常、技術ではなく、プロセスと人材です。

大まかに言えば、成功を収めているSOCには、例外なく根幹となるいくつかの段階が存在します：

1. 目標と範囲を定義します。ここで定義すべきは、軽減したいリスク、保護すべき資産、「良好な状態」の定義、そしてSOCが提供するサービスの内容です。

2. アーキテクチャを設計し、技術を選択します。SIEM、EDR/XDR、NDR、連携機能は、貴社のユースケースに合わせて設計するものであり、これが逆になることはありません。

3. 検知ユースケースを構築します。実際の攻撃シナリオを検知ロジックとルールに変換します。

4. プロセスとプレイブックを確立します。インシデントのトリアージ、エスカレーション、レスポンスは、明確で、再現性があり、測定可能なものとします。

5. チームを立ち上げます。人材の採用やトレーニング、またはMDRやコンサルティングを活用して、能力のギャップを補完します。

6. データの情報源を統合し、システムに組み込みます。エンドポイント、ネットワーク、クラウド、アイデンティティの各領域で、可視性を確保します。

7. 調整と最適化を行います。誤検知率の低減、検知精度の向上、ワークフローの最適化を推進します。

8. 測定と改善を継続的に行います。MTTD、MTTR、カバレッジを測定し、実際のインシデントや脅威の状況に基づいて改善します。

SOCには、「完成」という段階はありません。最後のステップは、これからも続きます。

オンプレミス型SOC（完全社内運用）：権限と責任のいずれも最大です。

人材、プロセス、技術など、すべてを社内で構築し、運用します。

• 完全な可視性とデータ所有権
• 社内環境との緊密な統合
• 高度なカスタマイズと柔軟性
• 高度な専門知識を有するエキスパートと、24時間365日体制で稼働するスタッフの配置が必要

注意すべき点：構築コストが高く、拡張に時間がかかり、高い成熟度を一貫して維持することが困難です。

マネージドSOC（MDR / SOCサービスの外部委託）：スピードと専門知識を、必要な時にすぐに享受できます。

サードパーティプロバイダーが、監視、検知、そして多くの場合、レスポンスも担当します。

• スピーディーな成果創出
• 経験豊富なアナリストと脅威インテリジェンスの活用
• 社内に本格的なチームを構築することなく、24時間365日の体制を実現
• 標準的でありながら実績のあるプロセス

注意すべき点：直接的な管理が難しくなります。プロバイダーのワークフローや可視性の範囲への依存度が高く、アラート分析に必要な事業環境の背景に対する理解にも限界があります。

ハイブリッドSOC（分担型モデル）：重要な分野は自社で制御し、必要な分野を外部サービスで拡張します。

多くの組織にとって、これは最も実用的なモデルです。すなわち、社内のSOC機能と外部のマネージドサービスとの組み合わせです。

• 社内チームは、戦略、緊急資産、およびインシデントの主導的対処に注力
• 外部プロバイダーは、24時間365日体制での監視、情報の拡充、および一次対応（Tier-1）運用を担当
• 時間の経過に応じて、機能の柔軟な拡張が可能
• 完全なSOC運用能力の確立に向けて成熟しつつある組織における、一般的な「ブリッジモデル」

注意すべき点：責任の分担を明確に定義する必要があります（検知、調査、レスポンスをそれぞれ誰が担当するか）。

管理よりスピードと専門知識が重視される場合。MDRが有力な選択肢となるのは、次のようなケースです：

• 熟練したアナリストや24時間365日の体制が不十分な場合
• 検知とレスポンスをすぐに改善する必要がある場合
• チームの負担が大きすぎる場合

多くの組織はMDRをベースラインとして使用し、時間をかけて自社内で実装する機能を段階的に増やしています