SOAR(Security Orchestration, Automation and Response)

SOARが必要となった背景には、「サイバー攻撃の兆候を見つけた際、即座に対応する必要がある」、「セキュリティ運用者の業務負荷が増加している」ことなどが挙げられます。

・サイバー攻撃の兆候を見つけた際、即座に対応する必要がある
サイバー攻撃は24時間365日、いつ行われるかわかりません。サイバー攻撃の兆候を監視するSOCを持つ法人組織もありますが、兆候があった際に、自動的に対処する方がセキュリティ上も、運用上も望ましいと言えます。例えば、既知のマルウェア感染やコマンド＆コントロール（C&C）サーバへのアクセスが発生している端末を隔離ネットワークに遮断するといったことを基本方針とすれば、その後、脅威が法人組織内に拡散される懸念を抑えることが出来ます。それ以外にも、過去に行われた自社に対するサイバー攻撃の兆候などからプレイブックを作成しておき、自動化することで、サイバー攻撃をより迅速に防ぐことができます。

・セキュリティ運用者の業務負荷が増加している
トレンドマイクロの調査では、1000台のデバイスからわずか7日間で12.5億ものログが収集されます^※1。しかし、この中には他社や同業界に行われたサイバー攻撃に近しいものや、過去に自社に対して行われたサイバー攻撃に類似するものも存在します。例えば、マルウェアに感染するエンドポイントが約1か月に10台程度見つかった場合、その都度対応方針を決めたり、対応したりすると、セキュリティ運用者の手間がかかってしまいます。最初の数回を踏まえて、それ以降のインシデントは対応を自動化することで、セキュリティ運用者の業務負荷を抑制できます。

※1 トレンドマイクロで検証した1,000デバイス/7日間のサンプルデータから算出。

こうした背景から、今あるリソースでセキュリティ運用を効率化することをどう支援するか？に着目して登場した技術が、SOARです。