セキュリティ製品 - SIEM・SOC

SOAR（Security Orchestration, Automation and Response）そあー

セキュリティオーケストレーション自動化インシデントレスポンスSIEMSOCプレイブック

SOARって何？SIEMと何が違うの？

簡単に言うとこんな感じ！

SOARは、セキュリティの警告が来たときに「次に何をすべきか」を自動でやってくれる仕組みだよ！SIEMが「異常を発見・通知するカメラ」なら、SOARは「警報が鳴ったら自動で鍵を閉めて警察に連絡する賢いシステム」ってイメージ。セキュリティ担当者の手間を大幅に減らせるんだ！

SOARとは

SOAR（Security Orchestration, Automation and Response）とは、複数のセキュリティツールを連携させ（オーケストレーション）、脅威への対応を自動化（オートメーション）し、インシデント対応（レスポンス）を効率化するセキュリティプラットフォームの総称です。ガートナー社が2017年頃に提唱した概念で、近年のSOC（セキュリティオペレーションセンター）運営に欠かせない技術として広まっています。

従来のセキュリティ運用では、SIEMなどのツールが大量のアラートを生成するものの、その対応はアナリストが手動で行う必要がありました。1日に数百〜数千件ものアラートが飛んでくる環境では、担当者が疲弊し、重大なインシデントを見落とすリスクがありました。SOARはこの「アラート疲れ」問題を解決するために登場しました。

SOARの核心はプレイブック（Playbook）と呼ばれる自動化シナリオです。「こういうアラートが来たらこう動く」というルールをあらかじめ定義しておくことで、人手を介さずに初動対応・情報収集・封じ込めまでを自動実行できます。結果として、セキュリティアナリストはより高度な分析・判断業務に集中できるようになります。

SOARの3つの柱

SOARという名前は、3つの機能の頭文字を組み合わせたものです。

機能	英語名	役割	具体例
🔗 オーケストレーション	Orchestration	複数ツールを連携・統合する	SIEM・EDR・ファイアウォール・チケットシステムをつなぐ
⚡ オートメーション	Automation	繰り返し作業を自動実行する	IPブロック・メール隔離・証拠収集を自動化
🛡️ レスポンス	Response	インシデント対応を管理・記録する	対応手順の記録・エスカレーション・報告書生成

「SOARのSOは楽になる、ARは自動レスポンス」で覚えよう

SOARの「SO」は「そう（楽になる）」、「AR」は「Automatic Response（自動対応）」と覚えると、「セキュリティ対応が自動化されて楽になるツール」というイメージが定着しやすいです。

プレイブックの仕組み

プレイブックとは、インシデント対応の手順書を機械が読み取れる形式で定義したものです。

【フィッシングメール検知プレイブック例】

トリガー: SIEMがフィッシングメール疑いのアラートを生成
    ↓
Step1: メールヘッダー・添付ファイルを自動解析
    ↓
Step2: 脅威インテリジェンスDBと照合（URLの悪性判定）
    ↓
Step3-A（悪性確定）: メール隔離 → ユーザー通知 → チケット自動生成
Step3-B（疑わしい）: アナリストにエスカレーション
    ↓
Step4: 対応結果を自動記録・レポート生成

歴史と背景

2015年以前 — セキュリティ運用は基本的に人力。SIEMのアラートを一件一件アナリストが確認・対応していた
2015年頃 — セキュリティ自動化ツール（SOAPA: Security Operations and Analytics Platform Architecture）の概念が登場し始める
2017年 — ガートナー社が「SOAR」という用語を定義し、市場カテゴリとして確立。Phantom、Demisto、Splunkなどのベンダーが台頭
2018年 — PaloAlto NetworksがDemistoを買収（後のCortex XSOAR）。大手セキュリティベンダーがSOAR市場に参入加速
2019〜2020年 — SIEMとSOARの統合製品が増加。Microsoft Sentinel、IBM QRadar SoarなどがSIEM+SOAR一体型として登場
2022年以降 — AIや機械学習との連携が進み、プレイブックの自動生成・判断支援機能が強化される。クラウドネイティブSOARも普及

SIEM・EDR・SOARの関係

セキュリティ製品の中でSOARがどう位置づけられるか、混乱しやすい3つのツールを整理します。

項目	SIEM	EDR	SOAR
主な役割	ログ収集・相関分析・アラート生成	エンドポイントの脅威検知・封じ込め	複数ツール連携・対応自動化
「何をするか」	異常を見つけて知らせる	端末上の脅威を止める	アラートに対して自動で動く
人手の関与	アナリストが判断・対応	エージェントが自律対応	プレイブックで自動対応
代表製品	Splunk, Microsoft Sentinel	CrowdStrike, SentinelOne	Cortex XSOAR, Splunk SOAR
単独で完結するか	△	○	△（他ツールと連携前提）

SOARはSIEMやEDRの「上に乗る」調整役で、単独では機能しません。各ツールをAPIで接続し、自動化の司令塔として機能します。

導入時に押さえるポイント

SOARを発注・選定する立場であれば、以下の観点を確認しましょう。

✅ 既存ツールとの連携対応

自社が使っているSIEM・EDR・ファイアウォール・チケットシステムとAPIで連携できるか
コネクタ（連携部品）が標準で用意されているかを確認

✅ プレイブックの作りやすさ

ノーコード・ローコードでプレイブックを作成できるか
テンプレートやサンプルが豊富か

✅ クラウド型 vs オンプレミス型

クラウド型（SaaS）は導入が早く運用負荷が低いが、データ所在の確認が必要
オンプレミス型は自社管理だが構築・保守コストが高い

✅ 費用対効果の試算

SOARで削減できるアナリスト工数（1アラート対応に何分かかっているか）を試算する
一般的に月1,000件以上のアラートが発生するSOCで費用対効果が出やすい