脱XDR依存で実現する「育てるSOC」──CSIRTと連携する最適なSOC運用9つのポイント

XDRはEDR、つまりエンドポイントでの検知が中心的な役割を担いますが、そのEDR製品自体に問題が起きるケースも散見されます。例えば、Carbon Black社の買収に伴う価格高騰や、CrowdStrike社の製品アップデートに起因するブルースクリーン問題などで、実際に私たちのお客様もEDRの変更対応に追われることがありました。

はい。そうした1つのツールの問題が、運用全体に影響を及ぼすことこそ、XDRベンダーに依存する最大のリスクです。特定のベンダー製品でXDR環境全体が構成されている場合、1つの製品に不具合が発生しても、その製品だけを簡単に変更できません。また、海外製品を利用している場合は、為替の変動によって今後の予算が立てづらいという課題もあります。

CEC SOC（R）はツールに縛られないのがメリットということですね。

その通りです。私たちはマルチベンダー対応が基本ですので、お客様にとって最適な製品を選定し、ベンダーに依存せず複数の製品を横断的に監視できます。製品が一部変更になっても、監視対象が増えても、柔軟に対応可能です。

XDRが検知を見逃してしまった事例として、私たちのホテル業界のお客様で実際に起こったインシデントをご紹介します。
攻撃者は宿泊客を装い、「アレルギーがあるので添付ファイルを見てほしい」という巧妙な手口でマルウェア付きのメールを送付しました。ホテルの受付担当者がこれを開いてしまったことで端末が感染し、宿泊予約サイト「Booking.com」の認証情報が窃取されてしまいました。攻撃者はその認証情報で不正にログインし、ホテルになりすまして他の宿泊客に詐欺メールを送信してしまったのです。

これは、導入していたEDRが検知を見逃した、ということですよね。通常、SOCはそこまで踏み込んだ対応は難しいと思いますが、CEC SOC（R）はどのように解決へ導いたのですか？

私たちは恒久対策として、3つの具体的な手を打ちました。まず、感染が横展開しないよう「メール閲覧用」と「ブラウジング用」で端末を分離する。次に、認証情報が窃取されにくくするため「セッション情報を都度クリアする」という運用を徹底いただく。そして最も重要なのが、そもそもマルウェアを検知できなかったEDRメーカーに対し、私たちから直接、対象ファイルの検知対応を依頼したことです。
この事例が示す通り、XDRと言えども万能ではなく、検知をすり抜けてしまった際には、人手の運用によるきめ細やかなカバーが不可欠なのです。

お客様の業務フローを理解していないと提案できない、踏み込んだ解決策ですね。

同じく、XDRベンダーでは対応が難しいインシデントの事例を2件ご紹介します。1件目は「取引先がランサムウェアに感染した」というご相談でした。私たちは、お客様がまず何をすべきか、そして安全に取引を再開するためにはどうすればよいか、という観点で具体的なアドバイスを差し上げました。
2件目は「Active Directoryサーバーで、身に覚えのない海外からのログインがあった」というご相談です。このケースでは、緊急性の判断と、フォレンジック調査が必要かどうかという観点からサポートさせていただきました。

なぜ、XDRベンダーではこうした対応が難しいのでしょうか。

XDRベンダーのサービスの限界として、3つの課題が挙げられます。

製品に詳しいことと、有事にビジネスの文脈を理解し、お客様を本当の意味で解決に導くことは、全く別の能力です。

最近、「インシデント対応は全てお任せください」というXDRベンダーの営業トークを耳にしますが、アナリストとして、この「なんでもやります」という言葉をどう思われますか？

「何でも対応します」という言葉は非常に魅力的に聞こえるかもしれませんが、お客様には一度立ち止まってご検討いただきたいと考えています。例えば、私たちが「ラテラルムーブメント（横展開）の可能性がある」インシデントを検知したとします。しかし、それが本当に悪意のある攻撃なのか、それともお客様の業務で使われている特殊なファイルの正常な動作なのか、その最終的な判断は、お客様の業務を知らなければ下せません。

お客様との会話や、組織的な判断なしには、インシデントを完全にクローズすることは不可能なのです。「なんでもできます」という言葉を鵜呑みにせず、SOCに対応してほしいことと、お客様自身が判断・対応すべきことを明確に切り分けることが、SOCを有効活用する第一歩です。

とはいえ、最初からCSIRTを組織し運営していくのは難しいというお客様も多いかと思います。

はい。CECでは、そうしたお客様のために「CSIRTスタートアップ支援」や「インシデント訓練」といったサービスもご用意しています。

SOCサービスと組み合わせて、お客様のCSIRT構築そのものからご支援できるのが、私たちの強みです。その上で、SOCとの役割分担を明確化することが重要です。

上の表のように、例えば「監視・分析」はSOCが担い、インシデントの「原因究明」や「恒久対処」はお客様の意思決定が必要、といった形で具体的な作業内容ごとに役割を明確にし連携することでSOCは真価を発揮します。

「ログはSOCが全部保管してくれるんですよね？」というご質問もよくいただきます。

ログには、内部統制などのための「監査ログ」と、SOCが監視・分析に使う「インシデントログ」の2種類があります。SOCが保管するのは後者です。監査ログはお客様側で保管いただく必要がありますが、ここで過剰な投資をしてしまっているケースをよく見かけます。

私たちは、何のログを、どこに、どのように保管するのが最も効率的か、お客様のご予算と用途に見合ったログの適正配置をご提案し、SIEMやストレージの導入までお手伝いします。

お客様とSOCは、いつ、どのようにコミュニケーションを取るべきなのでしょうか。

「注文すれば明日からSOCを開始できます」というベンダーもいますが、私たちはSOC開始までに最短でも2ヶ月いただいています。この2ヶ月は、お客様と徹底的に対話し、最適なSOCを導入するための重要な設計期間です。

導入前のキックオフや運用開始後の月次ミーティング、緊急時の連絡など、さまざまなシーンでお客様のCSIRTとしっかりコミュニケーションを取ることで、SOCはより理想的な状態に近づきます。

SOCの監視対象外の機器で不審な動きがあった時、どうすればよいのでしょうか。

CEC SOC（R）は、SOCを名乗る以上、責任を持ってご対応いたします。

こちらは実際に監視対象外のADサーバーでインシデントが発生した際の対応ですが、私たちは即日アナリストを招集して緊急ミーティングを開催し、SOCとしての見解と恒久対策をご提案しました。サポート詐欺や取引先からの感染など、監視対象の枠を超えるご相談にも対応しますので、ご安心ください。

SOCからの通報がなかなか減らない、という悩みもよく聞きます。

はい。従業員の皆様のセキュリティリテラシーは、インシデント解決のスピードやCSIRTの負荷に大きく影響します。そのため、私たちはSOCベンダーならではの実践的な教育コンテンツもご用意しています。

例えば、ランサムウェアの事例研究やCSIRTの役割を体験する実践的な演習など、ご予算やご要望に応じた教育内容をご提供できます。

IT投資は続けたいし、従業員も増えていく。その時、SOCはどうなるのでしょうか。

私たちは、運用設計書を無制限で改版します。

お客様の監視対象機器や担当者が変わっても、セキュリティレベルを落とすわけにはいきません。その都度お客様と打ち合わせを重ね、常に最適な形に運用設計をアップデートし、SOC自身がお客様と共に成長していきます。

SOCが成長していくためには、お客様からのフィードバックも重要ですね。

はい。例えば、私たちが月次報告でお伝えしたインシデントの傾向を基に、お客様が社内通達を出して注意喚起を行う。このようにお客様と連携することで、インシデントそのものを減らし、CSIRTの負荷を軽減していくことができます。

SOCからの報告を、ぜひ貴社のリテラシ向上の手段としてご活用ください。

最後に「できるだけ運用を任せたい」という、忙しいお客様の本音に応えるためのサービスの拡張性について教えてください。

CECでは、インシデント発生時の有事運用である「SOC」に加え、インシデントを未然に防ぐ予防運用の「HOC（ Hygine Operation Center）」や、セキュリティ製品の運用・メンテナンスを行う「POC（Product Operation Center）」もご提供しています。これにより、有事だけでなく、予防や日常運用も含めて、お客様のCSIRTを総合的に支援できる体制を整えています。

また、ログ管理やセキュリティ教育、CSIRT支援といったSOC周辺に必要な業務を全て部品化しているため、複数のベンダーに頼ることなく、CECがワンストップで対応可能です。

最近では海外拠点のご相談も増えており、24時間365日、現地語でのSOC提供（2026年提供開始予定）も準備を進めています。

ここまで、SOCを有効活用するための9つのポイントについて提言してまいりました。最後に、アナリストの半沢さんから、SOC導入をお考えの皆様へ一言お願いします。

「SOCは育てるもの」というテーマでお話ししてまいりました。CEC SOC（R）は、お客様のIT環境の変化に柔軟に対応し、自ら成長していきます。CSIRTの真のパートナーとして、お客様のIT環境をしっかりお守りしますので、ぜひ安心してお任せください。

CSIRTとSOCは車軸の両輪という基本原則を再度お伝えし、講演を終えさせていただきます。ありがとうございました。