SC情報システムの企画・設計・開発・運用でのセキュリティ確保の推進又は支援に関すること · 運用・保守（セキュリティの観点）

SOAR（Security Orchestration, Automation and Response）

Security Orchestration, Automation and Response

そあー

セキュリティ運用の自動化・効率化を実現するプラットフォーム。脅威インテリジェンスの活用、インシデント対応ワークフローの自動化、複数のセキュリティツールの統合管理を行い、SIEMと連携して運用負荷を軽減する。

共有:

他の資格での定義

セキュリティ運用の作業を自動化・効率化する仕組み。SIEMなどから受け取ったアラートについて、情報の収集、影響の判定、通信の遮断や端末の隔離といった対応を、あらかじめ定めた手順（プレイブック）に従って自動で実行し、対応の案件の管理も行う。

Past Exams

過去問で 2 回出題（情報処理安全確保支援士試験 2）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

ファイアウォール、IDS/IPS、サーバ等の各種セキュリティ機器やシステムのログを一元的に収集・蓄積し、相関分析によってセキュリティ上の脅威をリアルタイムに検知するシステム。インシデントの早期発見と迅速な対応を支援する。

システムやアプリケーションが出力する各種ログ（アクセスログ、認証ログ、イベントログ等）を収集・保管・分析するプロセス。セキュリティインシデントの検知、原因究明、フォレンジックに不可欠であり、改ざん防止やログの保存期間の設定が重要となる。

情報セキュリティインシデントの発生から解決までの経過を記録・追跡・管理するためのシステム。インシデントのステータス管理、対応履歴の記録、担当者の割当て、対応状況の可視化などを行い、組織的なインシデント管理を支援する。

EDRなどの検知基盤の運用と、検知後の分析・対応支援までを外部の専門事業者が提供するサービス。自組織に24時間体制の分析要員を置けない場合に、検知から封じ込めまでの時間短縮を図れる。

情報セキュリティインシデント発生時の報告・連絡体制、初動対応手順、エスカレーション基準などを定めた規程。マルウェア感染時の対応や情報漏洩発生時の対外公表基準なども含む。

コンピュータセキュリティインシデントに対応するための専門チーム。インシデントの検知・分析・対応・復旧を担い、組織内外の関係者との連携窓口となる。組織内CSIRTのほか、国際連携を行うNational CSIRTなどの種類がある。