はじめに

SOC / CSIRT とそれを支える技術についての備忘録です。

改訂履歴

• 2026/06/08 : 初版公開。

本文

1. SOC

SOC (Security Operation Center / ソック) とは、組織内の情報システムやネットワークを監視し、サイバー攻撃やセキュリティインシデントの検出と分析を行う専門組織です。

1-1. MSS / MDR

自社に SOC を構築するリソースがない企業向けに、セキュリティ運用を代行してくれる外部アウトソーシングサービスが存在します。その代表例が MSS (Managed Security Service) と MDR (Managed Detection and Response) です。

MSS では主に監視と通知のサービス、MDR ではさらに一歩踏み込んで初動対応まで代行してくれます。

2. CSIRT

CSIRT (Computer Security Incident Response Team / シーサート) とは、組織内でセキュリティインシデントが発生した際に、その被害を最小限に抑えるための事後対応や調整を行う専門組織です。

技術的な対処だけでなく、経営陣への報告、広報、法務、警察や JPCERT/CC との連携など、組織内外のハブとしてトリアージやコミュニケーションを統括する役割を持ちます。

3. OODA ループ

OODA ループ（ウーダ・ループ）とは、意思決定や行動の速度、柔軟性を高めるためのフレームワークです。元々は米空軍の戦術理論として誕生しましたが、現在ではビジネスやスポーツ、災害対応、そしてセキュリティなど、様々な分野で応用されています。

OODA ループでは、観察 (Observe) / 情勢への適応 (Orient) / 意思決定 (Decide) / 行動 (Act) の 4 ステップをサイクルすることで、変化の読めない状況でも即座に適応することができるとされています。

セキュリティ運用においては、SIEM / UEBA が OO の領域、SOAR が DA の領域をカバーしています。

4. SIEM

SIEM (Security Information and Event Management / シーム) とは、オンプレ・クラウドを問わず、組織内の様々な機器から出力される膨大なログやイベントデータを一元的に収集・管理し、相関分析 (Correlation Analysis) を行うソリューションです。

2026 年現在、Splunk Enterprise Security が SIEM 市場のリーダーのようです。

5. SOAR

SOAR (Security Orchestration Automation and Response / ソアー) とは、セキュリティ運用の様々なタスクを統合し、対応を自動化するソリューションです。

2026 年現在、SIEM 市場と同じく Splunk SOAR が SOAR 市場のリーダーのようです。

6. UEBA

UEBA (User and Entity Behavior Analytics / ウエバ) とは、機械学習や AI を用いて、ユーザーと機器（エンティティ）の「日頃の正常な振る舞い」を学習し、そこから逸脱した異常行動（アノマリー）を検知するソリューションです。

SIEM と連携、あるいは SIEM の機能の一部として統合されることで SOC の検知力を底上げしています。

おわりに

随時更新します。