【SC試験 用語解説】インシデント初動対応・トリアージ — 誤検知判定とエスカレーション基準

概要

トリアージ（Triage）とは、SOCアナリストなどの1次対応者がSIEM等から上がったアラートを受け取った直後に行う「切り分け」作業です。医療現場の負傷者選別に由来する言葉で、限られた対応リソースを最も重要なアラートに割り振るための判断プロセスを指します。PICERLフレームワークにおける「Identification（特定）」フェーズの中でも、アラート受信からインシデント宣言または握り潰しまでの数分〜数十分の判断に焦点を当てた実務粒度の概念です。SC試験では誤検知の切り分け基準・深刻度判定・エスカレーション基準が問われます。

仕組みと動作原理

トリアージの位置付け

PICERLの「特定」フェーズは検知からインシデント宣言までを広く扱い、SOCとSIEM の記事はSOCの5機能とSIEMの相関分析の仕組みを扱います。トリアージはその中間にある、1件のアラートを受け取った1次対応者が最初に下す判断そのものです。

SIEMが相関分析でアラートを発報
        ↓
【トリアージ】1次対応者が最初に切り分ける ← 本記事のスコープ
        ↓
誤検知として記録 ／ 深刻度判定 → 2次対応 or CSIRTへエスカレーション

初動トリアージのチェックリスト

アラートを受けた1次対応者が最初に確認すべき項目です。

確認項目	内容
① アラートの発生源	どのセンサー・ルールが検知したか（EDR・IDS・SIEM相関ルール等）
② 影響範囲の初期把握	対象端末・ユーザ・システムの重要度（本番/検証、経営層端末か等）
③ 既知の誤検知パターンとの照合	過去に同一原因で誤検知と判定された履歴があるか
④ コンテキスト情報の確認	変更管理記録（メンテナンス予定）・脅威インテリジェンスとの突合
⑤ 一次証跡の簡易確認	プロセス・接続先IP・ファイルハッシュ等を簡易チェック

誤検知（False Positive）と実インシデントの切り分け

誤検知を疑う根拠	実インシデントを疑う根拠
既知の業務ツール・スキャナによる想定内の挙動	未知のプロセス・正規ツールの異常な使われ方（LOLBins）
メンテナンス・変更管理記録と時刻が一致	変更管理に記載のない時間帯の変動
単発のルールヒットで裏付けとなる証跡がない	複数のログソースで整合する不審な挙動が確認できる
アラートの閾値設定が過敏（チューニング未成熟）	脅威インテリジェンスのIOC（既知の悪性IP/ハッシュ）と一致

注意：誤検知と判定する場合も、判断根拠を記録に残すことが重要です。後から同種の兆候が実インシデントだったと判明するケースがあり、記録がなければ見落としの原因分析ができません。

深刻度・優先度の判定基準

深刻度（Severity）は「被害の大きさ」、優先度（Priority）は「対応の緊急性」であり、両者は必ずしも一致しません。多くの現場ではこの2軸をマトリクスで組み合わせて対応順位を決定します。

深刻度 \ 緊急性	緊急性：高（進行中・拡大中）	緊急性：低（影響が限定的・静的）
深刻度：高（機密データ・基幹系）	最優先（Critical）：即時エスカレーション	高優先（High）：当日中に対応
深刻度：低（検証環境・影響軽微）	中優先（Medium）：数時間以内に対応	低優先（Low）：通常キューで処理

深刻度判定の主な観点：

• 対象資産の重要度（本番か検証か、機密情報を扱うか）
• 影響を受けるユーザ・システムの範囲（単一端末か複数拠点か）
• 攻撃の進行段階（初期侵入段階か、既に横展開・データ持ち出しの兆候があるか）
• 業務継続への影響（サービス停止を伴うか）

エスカレーション基準

1次対応者がすべてを抱え込まず、適切なタイミングで2次対応・CSIRTに引き継ぐための基準です。

エスカレーション条件	引き継ぎ先
深刻度「高」以上と判定した場合	2次対応（シニアアナリスト）
複数システム・複数拠点にまたがる兆候がある	CSIRT（インシデント宣言を検討）
1次対応者の手順書（Playbook）でカバーされない未知の挙動	2次対応・脅威インテリジェンスチーム
ランサムウェア・データ持ち出し等の重大インシデントの兆候	CSIRT即時招集・経営層への一次報告
対応に一定時間（例：30分）を超えても切り分けが完了しない	2次対応へのエスカレーション（抱え込み防止）
法的・regulatory な報告義務が疑われる（個人情報漏洩等）	CSIRT・法務・広報を含む対応体制

初動対応チェックリストの考え方

Playbookに落とし込む際は「何を確認したら誰に何を伝えて次に進むか」を明文化しておくことが重要です。曖昧な「適切に判断する」という指示では対応者ごとに基準がぶれるため、具体的な閾値（例：同一アカウントへの5分間の失敗回数、エスカレーションまでの経過時間）をあらかじめ定義しておきます。

SC試験での頻出ポイント

• トリアージの目的：限られた対応リソースを優先度の高いアラートに集中させるための初動の切り分け
• 深刻度と優先度の違い：深刻度は被害の大きさ、優先度（緊急性）は対応の速さ。両軸を組み合わせて対応順位を決める
• 誤検知判定時も記録が必要な理由：判断根拠を残さないと、後から見落としだったと判明した際に原因分析ができない
• エスカレーション基準を事前に定義する理由：対応者の主観に頼ると引き継ぎのタイミングがばらつき、対応の遅延や抱え込みが生じる
• PICERLの特定フェーズとの関係：トリアージは特定フェーズの中の、アラート受信直後の実務的な判断プロセスに相当する

よくある誤問・ひっかけパターン

誤り① 「深刻度が高いアラートは常に緊急性も高い」→ 誤。深刻度（被害の大きさ）と緊急性（対応の速さ）は別軸であり、深刻度が高くても進行が緩やかで緊急性が低いケースもあります。マトリクスで組み合わせて優先度を決定します。

誤り② 「誤検知と判断したアラートは記録せず破棄してよい」→ 誤。誤検知の判断根拠を記録しないと、検知ルールのチューニングができず、また後から実は見落としだったと判明した場合の追跡もできません。

誤り③ 「1次対応者はすべてのアラートを自分で解決するまでエスカレーションすべきではない」→ 誤。手順書でカバーされない未知の挙動や、一定時間内に切り分けが完了しない場合は、抱え込まずに2次対応・CSIRTへエスカレーションする基準をあらかじめ定めておくべきです。

関連用語

• インシデント対応フロー（PICERL） — トリアージが位置する「特定」フェーズ全体の流れ
• SOCとSIEM — トリアージの前段となるアラート検知・相関分析の仕組み
• デジタルフォレンジクスと証拠保全 — トリアージ後、実インシデント判定時の証拠保全との接続

重要キーワード

用語	説明
トリアージ	アラート受信直後に1次対応者が行う誤検知/実インシデントの切り分け作業
誤検知（False Positive）	実際には脅威ではないにもかかわらず検知されたアラート
深刻度（Severity）	インシデントが引き起こす被害の大きさを示す評価軸
優先度／緊急性（Priority）	対応をどれだけ急ぐべきかを示す評価軸
エスカレーション基準	1次対応者が2次対応・CSIRTに引き継ぐ判断基準
Playbook	アラート種別ごとの確認項目・判断基準を明文化した初動対応手順書