インシデント対応・フォレンジック重要度:★★★出題: AM2・PM1

SIEM / SOAR (ログ統合相関分析・対処自動化)

しーむ / そあー / Security Information and Event Management / Security Orchestration, Automation and Response

多様な機器（FW/WAF/EDR/AD/クラウド）のログを一元収集・正規化してリアルタイム相関分析するSIEMと、プレイブックに基づき封じ込め対応を自動実行するSOAR。

3行速習ポイント

SIEM：単一の機器のログだけでは見えない複合的な攻撃（例：VPNログイン成功直後のAD特権昇格と大量ファイル転送）を横断的な相関ルールで検知
全機器の時刻同期（NTP）とログフォーマットの正規化、および攻撃者による証拠隠滅（ログ消去）を防ぐ別ネットワークへのリアルタイム転送・WORM保管が前提
SOAR：SIEMのアラートをトリガーに、プレイブック（手順定義）に従って脅威インテリジェンス照会、EDRでの端末隔離、FWでの通信遮断、チケット起票を数秒で自動実行

図SIEM（横断的ログ相関分析）と SOAR（プレイブック自動対処）連携フロー

11. 時刻同期 (NTP) ＆ログ集約・正規化

ログ保全・正規化

FW・WAF・EDR・AD・クラウドログをリアルタイム転送

全システムの時計をNTPで完全同期させ、改ざん防止のため専用ログ基盤へ即時転送して異なるログフォーマットを共通スキーマに正規化

22. SIEM 横断的相関分析・UEBA

相関分析 (SIEM)

単一機器では見えない複合攻撃チェーンを検知

「VPNログイン成功 ➔ 普段使わない管理コマンド実行 ➔ 深夜の大量ファイル転送」などの複数事象を相関ルールと機械学習（UEBA）で検知

33. SOAR プレイブック自動実行

自動封じ込め (SOAR)

脅威インテリジェンス照会から端末隔離・FW遮断まで自動化

定型的なプレイブック（手順書）に基づき、IOCレピュテーション確認・EDRでの感染端末論理隔離・FWでのC2遮断・CSIRT通知を数秒で自動遂行

💡 複数機器のログを突き合わせる前提として「NTPによる全機器の時刻同期」と、侵害サーバでの証拠隠滅を防ぐ「外部専用ログサーバへの即時転送」が必須

SOC業務において毎日数万件発生するアラートを人手で確認していては、アラート疲れ（Alert Fatigue）により本当に危険な攻撃を見落とします。SIEMによる高精度な相関分析と、SOARによる初動封じ込めの自動化（オーケストレーション）は現代SOCの中核技術です。

NTPによる時刻同期の重要性：複数機器のログを時系列で突き合わせる（タイムライン分析）際、システム時刻がずれていると因果関係の特定やフォレンジック調査が不可能になる
ログの改ざん防止：侵害されたサーバ上のローカルログは攻撃者に消去されるため、即座に専用ログ収集サーバ（Syslog/SIEM）へ転送し、アクセス権限を分離する
UEBA（User and Entity Behavior Analytics）：機械学習で利用者やホストの普段の行動パターンを学習し、内部不正や乗っ取りアカウントの異常行動を検知