午前I問題

セキュリティオペレーションセンター（SOC）における監視業務に関する記述として、適切なものはどれか。

ア）SOCはインシデント発生時のみ稼働する組織であり、平時のログ監視や脅威情報の収集は担当範囲に含まれない。

イ）SOCはアラートの1次切り分け（トリアージ）から詳細分析、必要に応じたCSIRTへのエスカレーションまでを担う、24時間365日体制での監視・分析組織である。

ウ）SOCアナリストの階層（Tier1〜3）は業務経験年数のみで区分され、担当するアラートの種類や難易度による違いはない。

エ）SOCを外部委託（MSSP）した場合、自社内での脅威分析・意思決定は一切不要になる。

午前I の解答・解説を見る

正解： イ

解説：

  • ア）不正解。SOCは平時からのログ監視・異常検知・脅威情報収集を継続的に行う組織であり、インシデント発生時のみ稼働するわけではない。
  • イ）正解。SOCはSIEM等で収集したアラートをTier1が1次トリアージし、必要に応じてTier2・Tier3が詳細分析を行い、実インシデントと判断されればCSIRTへエスカレーションする体制が一般的である。24時間365日の監視が求められることが多い。
  • ウ）不正解。Tier1（1次切り分け）・Tier2（詳細分析）・Tier3（脅威ハンティング・高度分析）のように、担当するアラートの難易度や業務内容によって階層が区分される。経験年数のみが基準ではない。
  • エ）不正解。MSSP（Managed Security Service Provider）に監視業務を委託しても、自社側でのインシデント対応方針の最終判断や経営層への報告、委託先との連携体制の維持は自社の責任として残る。
SOC/CSIRTの役割分担主な活動
SOC（Tier1）アラートの1次トリアージ・誤検知判定
SOC（Tier2/3）詳細分析・脅威ハンティング・相関分析ルールの改善
CSIRTエスカレーション後のインシデント対応統括・復旧・再発防止

午前II問題

SIEM（Security Information and Event Management）を用いたアラートトリアージに関する記述として、適切なものはどれか。

ア）誤検知（False Positive）とは実際には脅威が存在しないにもかかわらずアラートが発報される事象であり、検知漏れ（False Negative）とは実際には脅威が存在するのにアラートが発報されない事象である。

イ）SIEMの相関分析ルールのチューニングは初期導入時に一度実施すれば十分であり、運用開始後に見直す必要はない。

ウ）アラートの深刻度（Severity）は発生件数のみで決定すべきであり、影響を受ける資産の重要度は考慮すべきではない。

エ）誤検知が多いアラートルールは、トリアージの負荷軽減のため直ちに無効化することが最も適切な対応である。

午前II の解答・解説を見る

正解： ア

解説：

  • ア）正解。誤検知（False Positive）と検知漏れ（False Negative）の定義は正しい。SOC運用ではこの2つのバランス（検知精度と網羅性のトレードオフ）の管理が重要な課題となる。
  • イ）不正解。SIEMの相関分析ルールは、新たな攻撃手法の登場や環境変化（新システム導入・ネットワーク構成変更等）に応じて継続的にチューニングする必要がある。導入時のみの実施では誤検知や検知漏れが増加する。
  • ウ）不正解。アラートの深刻度は発生件数だけでなく、影響を受ける資産の重要度（機密情報を扱うサーバか、テスト環境かなど）・攻撃の進行度・侵害範囲を総合的に評価して決定すべきである。
  • エ）不正解。誤検知が多いアラートルールは、まず検知条件やしきい値のチューニングを行うべきである。安易な無効化は検知漏れ（実インシデントの見逃し）につながるリスクがある。
トリアージの判定要素内容
発生頻度・パターン通常業務との乖離度
資産の重要度対象システムが機密情報を扱うか
攻撃の進行度偵察段階か、既に横展開・データ持出しの兆候があるか
過去の誤検知履歴既知の正常な業務パターンとの一致

午後問題

G社（従業員800名、製造業）のSOCでは、SIEMが1日あたり平均450件のアラートを発報しており、SOCアナリストのH氏はTier1担当として1次トリアージを行っている。H氏は日々のアラート量の多さから、過去に頻発していた「深夜のVPNログイン」アラートについて、ここ数か月は誤検知が続いていたため「営業担当者の海外出張時のアクセス」と判断し、詳細確認を省略してクローズする運用を独自に行っていた。

2026年8月10日深夜、以下のアラートがSIEMに記録された。

[08/10 02:14] VPNログイン成功 アカウント: sales_tanaka（営業部・田中） 接続元IP: 45.142.xxx.xxx（東欧）
[08/10 02:16] 同アカウントで社内ファイルサーバへのアクセス（過去にアクセス実績のない設計図面フォルダを含む）
[08/10 02:31] 同アカウントから外部クラウドストレージへの大容量ファイルアップロード（合計2.3GB）
[08/10 06:50] 田中氏本人が出社しPCにログインしようとしたが、既にセッションが張られており異常に気付き報告

H氏は「深夜のVPNログイン」アラートを従来どおり誤検知として処理し、上記の一連の事象は8月11日朝に別のアラート（大容量アップロード検知）から偶然発覚した。調査の結果、田中氏のVPN認証情報が別サービスからの漏洩により窃取されていたことが判明した。

設問1

本件でトリアージ判断が誤っていた根本的な問題点を、H氏の運用方法に着目して70字以内で述べよ。

設問1の解答・解説を見る

正解例： 「深夜のVPNログイン」アラートを個人の経験則のみで一律に誤検知と判断し、接続元IPの変化や過去実績との照合など、事案ごとの詳細確認を省略していた点。（69字）

解説・採点基準（計15点）：

採点項目キーワード配点
個人の経験則・思い込みによる一律判断への言及「過去のパターン」「独自判断」「一律」等6点
詳細確認（接続元IPの妥当性・アクセス実績との照合等）の省略への言及「詳細確認省略」「接続元IP」「アクセス実績」等6点
70字以内で簡潔にまとめられている字数制限の遵守3点

過去に誤検知が多かったアラートでも、接続元IPの地理的整合性（東欧からのアクセスは通常の海外出張パターンと異なる可能性）やアクセス先リソースの妥当性など、個々のアラートに固有の要素を確認せずに機械的にクローズしたことが根本原因である。

設問2

本件のようなトリアージの見逃しを防ぐために、SOC運用上とれる再発防止策を3つ、それぞれ異なる観点から具体的に述べよ。

設問2の解答・解説を見る

正解例：

  1. 属人化の排除：アラート判定の基準をトリアージ手順書（Playbook）として明文化し、担当者個人の経験則に依存しない一貫した判定基準を運用する。
  2. 相関分析ルールの強化：単一のVPNログインアラートだけでなく、「深夜のVPNログイン」＋「未アクセス領域への接続」＋「大容量アップロード」のような複数事象の組み合わせをSIEMの相関分析ルールとして定義し、単独では見逃されがちな異常を組み合わせで検知できるようにする。
  3. UEBA（User and Entity Behavior Analytics）の導入：ユーザーごとの通常の行動パターン（アクセス時間帯・アクセス先・データ量）を学習し、逸脱があれば自動的に高優先度アラートとして扱う仕組みを導入する。
  4. ダブルチェック体制：クローズ判定についてもTier2による定期的なサンプリングレビューを行い、Tier1の判断が形骸化していないかを監査する。

解説・採点基準（計15点）：

採点項目キーワード配点
手順書・Playbookの明文化など属人化排除の観点「明文化」「手順書」「属人化」等5点
相関分析ルールの強化・複数事象の組み合わせ検知の観点「相関分析」「組み合わせ」「複数条件」等5点
UEBA・行動分析またはレビュー体制など第三の異なる観点「UEBA」「行動分析」「サンプリングレビュー」等5点

3つの観点が「判定基準の標準化」「検知ロジックの高度化」「監査・レビュー体制」のように重複しないことが望ましい。単一の対策の言い換えにとどまる解答は部分点にとどめる。

重要キーワード

用語説明
SOC / SIEMSOCはセキュリティ監視組織、SIEMはログの収集・相関分析を行うツール。両者を組み合わせて監視業務を行う
トリアージアラート発生直後に1次対応者が行う切り分け作業。誤検知と実インシデントを判定しエスカレーション要否を決定する
誤検知（False Positive）実際には脅威が存在しないにもかかわらずアラートが発報される事象
検知漏れ（False Negative）実際には脅威が存在するのにアラートが発報されない事象
UEBAUser and Entity Behavior Analytics。ユーザー・エンティティの行動パターンを学習し逸脱を検知する技術
MSSPManaged Security Service Provider。SOC監視業務等を外部委託するセキュリティサービス事業者

まとめ

  • 午前I視点： SOCは平時から稼働する組織であり、Tier1〜3の階層は難易度・業務内容で区分される。MSSPへの委託後も自社の最終判断責任は残る点に注意
  • 午前II視点： 誤検知（False Positive）と検知漏れ（False Negative）の定義を正確に区別する。SIEMの相関分析ルールは継続的なチューニングが必要であり、深刻度は資産重要度も含めて総合評価する
  • 午後視点： アラートトリアージの属人化・思い込みによる一律判断のリスクを見抜き、Playbook整備・相関分析強化・UEBA導入・レビュー体制といった多角的な再発防止策を論述できるようにする