【徹底解説】SOCとは？検知できるサイバー攻撃や構築の3つのポイントを紹介

• 2024.3.29 (金)
  Posted by

近年、リモートワークの普及といった働き方の変化により、社内システムやデータへ社外からアクセスするケースが増えています。そのような中、セキュリティ体制を見直したいと考えている担当者の方は多いのではないでしょうか。

今回の記事では、セキュリティ強化のために構築されるSOCについて紹介します。CSIRTやNOCなど混同する言葉との違いや、SOCによって検知できるサイバー攻撃について紹介しますので、ぜひ参考にしてください。

SOCはセキュリティ体制にかかわる言葉で、あらゆる企業で導入されています。ここではまず、SOCとは一体どのようなものなのか、概要を解説します。

SOCとは「Security Operations Center」を略した言葉で、24時間365日体制で社内ネットワークやパソコン・スマートフォンなどのデバイスを監視し、サイバー攻撃への対策を行う組織のことです。

SOCに求められている主な機能は以下のとおりです。

• 脅威の検知と通知
• 検出した脅威の解析・解決
• 脆弱性の調査・潜在的脅威の検出

具体的には、SOCはネットワーク機器やサーバーなどを監視し、ログの分析を行います。また、サイバー攻撃に遭った際には、被害拡大を防ぐためのアドバイスや阻止するための対策立案まで担うケースもあります。

SOCとよく混同される言葉に「CSIRT（Computer Security Incident Response Team／シーサート）」があります。CSIRTとは、サイバー攻撃をはじめとしたインシデントが生じた際に、その対応や復旧を担う組織です。

SOCもCSIRTも、ネットワークやサーバー、デバイスを監視して、強固なセキュリティ体制の構築に貢献しますが、対応する領域が異なります。SOCは、主にサイバー攻撃の検知・分析を行い、CSIRTはサイバー攻撃に遭った際の対応がメインです。主に原因の追跡・復旧などを担っています。

「NOC（Network Operations Center／ノック）」は、通信ネットワークのパフォーマンスや健全性の維持のために、24時間365日体制で監視する施設や組織のことです。ネットワークに異常があった際には即座に検知し、対応・復旧させる役割を担っています。つまり、NOCとSOCでは監視の目的が異なります。

SOCと似た意味を持つ言葉である「MDR（Managed Detection and Response）」は、外部の専門ベンダーによって提供される、セキュリティ脅威の検出・分析・対応を包括的に行うサービスを指します。

多くは、インシデントの検知・対応を行うEDR製品のアウトソーシングサービスを指しています。SOCやCSIRTの機能の一部を担っているのが特徴です。

近年、リモートワークの普及により、社内だけでなくリモートワーク中の自宅や、カフェなどの外出先から、インターネットを通じて社内システムへアクセスするケースが増えています。デジタル活用が進み、スマートフォンやタブレットなどパソコン以外の端末からのアクセスも増えました。

また、社内システムにクラウドサービスを利用する企業も増えており、利便性や効率性は高まっているものの、常に外部のネットワークと接続されているというリスクに晒されているのも事実です。

そのような中で、サイバー攻撃は年々多様化・巧妙化し、多くの被害が発生しています。今までと同様にウイルス対策ソフトの導入や、ファイアウォールなどで対策を行っても、次々と新しい手口が生まれており、攻撃される危険性は常につきまとっています。

そのため、注目されているのがSOCによる24時間365日体制の監視です。インシデントの発生時にすぐに検知・対応が可能なため、被害拡大を抑えられます。

SOCは、ファイアウォールやWAFなどのネットワークセキュリティ機器や、エンドポイントを監視するEDR製品のログをリアルタイムに監視・分析できます。そのため、あらゆる攻撃の検知が可能です。

ここでは、SOCはどのような外部からの攻撃を検知できるのかを紹介します。

SOCによるログの監視によって、マルウェアへの感染を検知できます。マルウェアとはサーバーや端末に害を与えることを目的とした悪意のあるソフトウェアです。マルウェアへの感染被害は近年多く報告されており、注意が必要なサイバー攻撃の1つです。

SOCは、マルウェアに感染したために生じるパソコンの不審な挙動や、攻撃の司令塔である外部サーバーとの不正な通信を検知します。

SOCは、普段とは異なる場所からアクセスしたログや、コンピューター管理システムのログから何度もログインを試みて失敗するログなどを監視します。これにより、不正ログインの検知が可能です。

SOCはサイバー攻撃の検知が可能です。例えば、特定のWebサーバーに悪意を持って大量のデータを送りつけるサイバー攻撃であるDoS攻撃を検知します。

他には、Web上のお問い合わせフォームや申請フォームなどに、不正に情報を引き出させる命令文（SQL文）を入力して、機密情報を抜き取るSQLインジェクションといったサーバーへの攻撃の検知も可能です。

SOCを構築するには、いくつか気をつけるべきポイントがあります。ここでは、そのポイントを3つ紹介します。

安全なIT・情報資産の管理のためにも、監視システムは24時間365日体制、かつ遠隔から一元管理できる体制も必要とされています。

さらには、インシデントを検知した際に、適切な手段で迅速な報告ができる報告体制の構築も必要です。SOCの構築は、この体制を組めるかどうかが大きなカギとなります。

自社だけでの体制構築が難しければ、部分的にMDRで対応するのも一案です。社内のSOCの負担を軽減させ、余裕を持った安全な運用ができます。

また、SOCで監視・管理したい対象を事前に確認する必要があります。監視・管理対象を把握することで、自社のみでの運用が可能なのか、アウトソーシングが必要なのかを判断できるでしょう。

SOCの運用には、情報セキュリティに関する専門的な知識・スキルを持った人材が必要不可欠です。ただ、実際には、社内で高いスキルを持った人材を配置するのはなかなか容易ではありません。特に日本ではセキュリティ人材は希少で、どの企業も欲しており、採用が難しいからです。

また、企業がセキュリティに関する理解度が低い場合があり、良い人材を雇用できたとしても十分な育成ができないケースはよく見られます。さらには、セキュリティ人材は他職種に比べて人件費が高く、潤沢な予算がなければ雇用は難しいでしょう。

多くのSOCアウトソーシングサービスを担うベンダーには、高度なセキュリティ資格を保有したセキュリティエンジニアが在籍しているため、人材の確保が難しい場合はアウトソーシングの検討をおすすめします。

SOCを構築する場合、従来の業務や運用ルールの見直しが必要です。新たにルール策定が必要なのは、具体的には以下のようなものが当たります。

• スマートフォンやパソコンなど私物のデバイスの利用制限
• アクセスを付与するユーザーとその範囲
• USBやハードディスクなどの記録媒体の使用方法　など

これらの運用ルールを策定したら、従業員へと共有しましょう。また、従業員のセキュリティリテラシー向上のため、運用ルールについてのテストや研修などを実施するのも一つの手です。

SOCの立ち上げは、先に述べたように、体制構築や人材確保といった点でハードルが高い場合があります。もし自社でのSOC構築が難しければ、まずはSOCと同等のセキュリティ対策サービスの導入を検討しましょう。

NTT東日本の「おまかせサイバーみまもり」は、ログ監視によってサイバー攻撃などの脅威からお客さまのシステムや端末を守るサービスです。お客さまの社内ネットワーク内に専用BOXを設置し、セキュリティ対策を強化します。

さらに、プロが通信状況をモニタリングし、不正通信を発見した際や、万が一のインシデントの際にはウイルス駆除をサポートします。サイバー保険が標準付帯されており、万が一セキュリティ被害に遭った際には、影響調査・初動対応～復旧の費用等を一部補償可能です。

「おまかせアンチウイルスEDRプラス」は、ウイルス侵入の検知や防御、セキュリティ運用の代行を行うサービスです。ウイルス対策ソフトの機能に加えて、不審なウイルスの動きを監視するとともに、ウイルス感染時の詳細調査・端末隔離・復旧支援までNTT東日本が一元的にサポート致します。

日々の通信の監視や万が一の感染時の対策を手軽に行いたい場合は、NTT東日本のサービスをご検討ください。導入・運用まで丁寧にサポートします。

SOC（Security Operation Center）は、24時間365日体制で社内ネットワークやデバイスの監視を行い、サイバー攻撃への対策を行う組織です。サイバー攻撃を検出・分析し、対応策のアドバイスを行います。

近年、リモートワークやクラウドシステムの普及によって、サイバー攻撃のリスクが高まっています。そこで、マルウェア感染や不正ログイン、サーバーへの攻撃など、あらゆるサイバー攻撃への対策が可能なSOCが注目されています。

SOCの構築を成功させるには、監視体制の構築と監視範囲の決定、セキュリティ人材の確保が必要です。多額のコストも発生するため、自社だけでの運用はハードルが高いと感じる方も多いでしょう。

そのような場合は、まずはNTT東日本の「おまかせサイバーみまもり」や「おまかせアンチウイルスEDRプラス」などの導入をご検討ください。日々の監視や万が一ウイルスに感染した際の復旧をサポートします。

ページの先頭へ

おまかせサイバーみまもりのトップに戻る