目次
セキュリティ・オペレーション・センター（SOC）とは？
セキュリティ・オペレーション・センター（SOC）は、組織的かつ技術的なレベルでセキュリティ問題に対処する集中ユニットである。SOCは、セキュリティ・アナリストとエンジニアのチーム、および高度な検知・防止技術を備え、サイバーセキュリティ・インシデントを監視、分析、対応する。
SOCの主な目的は、サイバーセキュリティの脅威を特定、評価、緩和、報告し、潜在的なセキュリティ侵害を確実に防止または早期に検出し、タイムリーに対応することです。これには、マルウェア攻撃から高度なサイバースパイ行為まで、さまざまなセキュリティ脅威から保護するために、組織のネットワーク、デバイス、アプリケーション、データなどのITインフラを継続的に監視することが含まれる。
推奨図書：サイバー脅威インテリジェンスの4つのタイプと効果的な使い方。
ネットワークオペレーションセンター（NOC）とは？
ネットワーク・オペレーション・センター（NOC）は、組織のネットワークの健全性、セキュリティ、キャパシティを監視し、高い可用性とパフォーマンスを確保するための中枢としての役割を果たします。NOCはネットワークの継続的な監視に責任を持ち、ネットワーク問題のトラブルシューティングとネットワーク運用管理のための一元化された場所を提供します。
NOCの中核的な機能には、ネットワークとサーバー・インフラの継続的な監視、ネットワーク・イベント、インシデント対応、解決に関する通信（電子メール、チケット、電話）の管理、制御された方法でのネットワークへの変更の実行などがあります。ネットワークの問題をプロアクティブに特定し解決することで、NOCはダウンタイムを防ぎ、ネットワークのパフォーマンスを維持します。
このコンテンツは、情報セキュリティに関するシリーズの一部である。
SOCとNOC：主な違い
SOCとNOCの主な違いの概要は以下の通り。
1.目的と焦点
SOCの主な目的は、サイバー脅威からの保護とインシデントレスポンスの管理です。組織のITインフラ全体にわたるサイバーセキュリティの脅威の監視、検出、分析に重点を置く。
NOCは、ネットワーク・インフラの最適なパフォーマンスと可用性を維持することに注力しています。その焦点は、ネットワークの監視、管理、およびネットワークが中断することなく組織のアプリケーションとサービスをサポートすることを保証することです。
2.機能と出力
SOCの機能は、脅威インテリジェンス、インシデント管理、セキュリティ・イベント分析を中心に展開される。SOCは、現在および新たな脅威に関する情報の収集、評価、発信を担当する。SOCは、セキュリティ・アラートの分析、インシデントの管理、脅威、侵害、セキュリティ勧告に関するレポートの作成を行います。SOCからのアウトプットには、脅威インテリジェンスレポート、インシデント対応結果、コンプライアンス監査などがあります。
NOCの機能は、ネットワークパフォーマンスの監視、問題解決、変更管理に重点を置いています。NOCはネットワークの健全性、トラフィック、パフォーマンスを継続的に監視し、アップタイムと効率性を確保します。ネットワークの問題のトラブルシューティングと解決、ネットワークの変更の管理、サポートのためのベンダーとの調整を行います。NOCからのアウトプットには、ネットワーク・パフォーマンス・レポート、インシデント解決文書、および変更管理ログが含まれます。
3.ツールとプラットフォーム
SOCは、セキュリティ情報・イベント管理（SIEM）システム、侵入検知システム（IDS）、エンドポイント検知・対応（EDR）ソリューション、脅威インテリジェンス・プラットフォームなどのツールを使用しています。これらのツールにより、SOCは組織のデジタルフットプリント全体のデータを集約・分析し、サイバー脅威のタイムリーな検知と対応を促進することができます。
NOCネットワーク・モニタリング・ツール、ネットワーク・パフォーマンス・アナライザ、および構成管理データベース（CMDB）を使用して、ネットワークの健全性と効率性を確保します。これらのツールにより、NOCはネットワーク・トラフィックを監視し、ボトルネックを特定し、ネットワーク・コンフィギュレーションを管理し、一般的なネットワーク問題への対応を自動化することができます。
4.必要なスキルセット
SOCは通常、サイバーセキュリティ、脅威分析、インシデントレスポンス、コンプライアンス規制に関する知識を有する。セキュリティ情報・イベント管理（SIEM）ツールを使用し、最新のサイバーセキュリティ脅威を理解し、セキュリティ対策を実施する能力が求められます。
NOC要員には、ネットワーク管理、システムエンジニアリング、ネットワーク監視ツール、トラブルシューティング技術に関する高度な知識が求められます。ネットワークプロトコル、インフラ設計、パフォーマンス最適化戦略を理解する必要があります。
5.キャリアパス
SOCのキャリアパスは通常、セキュリティアナリストなどのエントリーレベルのポジションから始まり、SOCマネージャーやインシデント対応者などの役割に進みます。上級職には、脅威インテリジェンスアナリストやセキュリティ・アーキテクトがあり、戦略的なセキュリティ計画や高度な脅威分析に重点を置いています。SOCのプロフェッショナルは、フォレンジック分析やコンプライアンス、監査などの分野にさらに特化することができます。
NOCでのキャリアアップは、ネットワーク技術者やネットワークアナリストから始まり、ネットワークエンジニアやNOCマネージャーに昇進することがよくあります。経験を積むと、ネットワークの設計、実装、最適化を専門とするネットワーク・アーキテクトやシステム・エンジニアなどの役職に就くこともできます。クラウド・ネットワーキングや自動化などの専門分野もあります。
ネットワーク・セグメンテーションに関する詳細な解説をお読みください。
SOCとNOC：主な課題
SOCとNOCの両チームにはいくつかの課題がある。
注意力疲労
SOCチームは、監視ツールによって生成される圧倒的な数のセキュリティアラートのために、しばしばアラート疲労に対処する。偽陽性と本物の脅威を区別することは困難であり、アラートの見逃しや無視につながります。
NOCの文脈では、監視ツールが重要でないアラートを過剰に生成し、潜在的に重大なネットワーク問題の見落としにつながる場合、アラート疲労が発生する可能性があります。アラート量を効果的に管理するためには、より優れたフィルタリングメカニズムと優先順位付け戦略を導入することが不可欠です。
観測可能性とセキュリティ分析
SOCチームにとって、分析しなければならないデータの複雑さと量は圧倒的です。SOCには、ネットワークの挙動、ユーザーの活動、潜在的なセキュリティ脅威に関する深い洞察を提供する高度な観測・分析ツールが必要です。これらのツールは、膨大な量のデータをふるいにかけ、セキュリティ侵害を示す可能性のある異常やパターンを特定しなければなりません。
ネットワークにおける観測可能性とは、ネットワークとそのコンポーネントの状態をリアルタイムで把握することであり、高い可用性とパフォーマンスを確保するために不可欠です。このレベルの可観測性を実現するには、トラフィック・フロー、デバイスの健全性、ネットワーク・トポロジーの変化を分析できる包括的なモニタリング・ツールが必要です。
ネットワーク境界線の解消
クラウド・サービス、エッジ・コンピューティング、BYOD（Bring Your Own Device）ポリシーの採用により、ネットワーク境界が消滅しつつあることは、セキュリティとネットワーク管理の両面で課題をもたらしている。
SOCは、従来のネットワーク境界を越えてセキュリティ監視・管理機能を拡張し、安全なクラウド配備、エッジデバイスの監視、職場の個人用デバイスのセキュリティポリシーの管理を保証する必要があります。NOCは、拡大し分散化した環境でネットワークのパフォーマンスと信頼性を維持するという課題に直面しています。
SOCとNOC：どちらが組織に適しているか？
セキュリティ・オペレーション・センター（SOC）が必要か、ネットワーク・オペレーション・センター（NOC）が必要か、あるいはその両方が必要かは、組織の規模、ITインフラストラクチャの複雑さ、特定のセキュリティおよび運用ニーズなど、いくつかの要因によって決まります。以下は、決断の指針となる主な検討事項です：
コア・ニーズの理解
- サイバーセキュリティとサイバー脅威からの資産保護が最大の関心事であれば、SOCは不可欠です。機密データ、コンプライアンス要件、サイバー攻撃の高いリスクを抱える組織は、SOCのセキュリティに特化した取り組みの恩恵を受けることができます。
- ITインフラの可用性、パフォーマンス、信頼性を確保することが最優先事項であれば、NOCは重要な役割を果たします。これは、日常業務やサービスをネットワークに大きく依存している組織にとって特に重要です。
予算とリソース
- SOCまたはNOCを設置・運営するには、技術、ツール、熟練した人材に多額の投資が必要です。予算を見極め、組織固有のリスクと運用要件に基づいて、どのセンターが最も価値を提供できるかを検討してください。
- リソースが限られている中小企業は、SOCやNOCサービスのアウトソーシング、あるいは内部と外部の能力を組み合わせたハイブリッドモデルの採用を検討するかもしれない。
規制遵守と業界標準
- 業界によっては、データ保護やプライバシーに関する基準（GDPR、HIPAA、PCI-DSSなど）に準拠するためにSOCが必要となる厳しい規制要件がある。あなたの組織がそのような規制に該当するかどうかを判断してください。
- 法律で義務付けられていなくても、ネットワーク管理とサイバーセキュリティのベストプラクティスを順守することは、組織の評判と顧客の信頼に大きく貢献します。
既存のITインフラとの統合
- SOCまたはNOCを現在のIT運用とどのように統合するかを検討する。SOCがセキュリティに重点を置く場合、強化されたモニタリングとインシデント対応能力をサポートするために、ネットワーク・アーキテクチャの変更が必要になるかもしれません。
- ネットワーク・パフォーマンスを重視する NOC は、高度なモニタリングおよび管理ツールをサポートするために、ネットワーク・インフラストラクチャのアップグレードや変更を必要とする場合があります。
将来の成長と拡張性
- 組織の将来的な成長とITインフラの拡張性を予測してください。SOCは拡張に伴うセキュリティ・リスクの増大を管理するのに役立ち、NOCはネットワーク・インフラが効率的に拡張できるようにします。
- 急成長している企業にとっては、SOCとNOCの両方を設置することは、セキュリティとネットワーク・パフォーマンスの両方を包括的にカバーできるようになり、長期的には有益かもしれない。
将来のSOCにおけるSIEM
セキュリティ・オペレーション・センターは、エキサイティングな変貌を遂げつつある。重要なセキュリティ・インシデントを特定し、それに対応するための伝統的な指揮系統と役割を維持しながらも、運用部門や開発部門との統合が進み、強力な新技術によってパワーアップしている。
次世代SIEMがSOCに与える影響は大きい。それは以下のようなものだ：
- 相関ルールにとどまらないユーザーとエンティティの行動分析（UEBA）により、アラートによる疲労を軽減し、誤検知を減らし、隠れた脅威を発見します。
- MTTDの改善により、アナリストがインシデントを迅速に発見し、すべての関連データを収集できるようになります。
- セキュリティ・システムと統合し、セキュリティ・オーケストレーション、オートメーション、レスポンス（SOAR）技術を活用することで、MTTRを改善。
- アナリストが無制限の量のセキュリティ・データに迅速かつ容易にアクセスし、強力に探索できるようにすることで、脅威の探索を可能にします。
Exabeamは、データレイク技術、クラウドインフラの可視化、行動分析、自動インシデントレスポンダー、強力なデータ照会と可視化を備えた脅威ハンティングモジュールを組み合わせた次世代SIEMの一例です。