SOARとは？政府機関がサイバーセキュリティ対策に活用する方法

F5エコシステム | 2020年10月07日

Gartnerによると、SOARは「セキュリティ運用チームが監視する入力情報を組織が収集できるようにするテクノロジー……SOARツールを使用することで、組織はインシデントの分析および対応手順をデジタルワークフロー形式で定義できます」*

では、SOARとは具体的に何なのでしょうか。脅威を軽減し、分析を行うために連携する、あらゆることを把握したテクノロジー群、つまりサイバー攻撃を防ぐ、現実世界のターミネーターに登場するSkynetのようなテクノロジーなのでしょうか。「SOARソフトウェア」という特定の種類のソフトウェアがあるのでしょうか。それとも、サイバーセキュリティへの推奨アプローチを示すフレームワークなのでしょうか。

SOAR：堅牢なセキュリティのためのフレームワーク

SOARは、単なるツールやツール群ではありません。堅牢なセキュリティ計画を策定するためのモデルです。確かにSOARでは、各機関に対し、テクノロジー（たとえば、セキュリティ情報・イベント管理ツールやセキュリティログ管理ツールなどの脅威インテリジェンスツール）から得られるセキュリティデータの処理と分析を自動化するよう求めています。しかしSOARには、人による介入を促す「セキュリティオーケストレーション」というもう1つの要素もあります。

セキュリティ情報イベント管理（SIEM）ソリューションや同様のツールが潜在的なインシデントを特定した場合を考えてみましょう。ツールによる特定からセキュリティ管理者による対応まで、一連のワークフロープロセスが作成されます。

そのプロセスでは、組織がすでに策定している（ことが望ましい）セキュリティポリシーに基づいて、インシデントを評価します。考慮事項には、次のようなものがあります。

侵害されたアプリケーションに割り当てられている脅威レベルはどの程度か？
その脅威レベルに基づき、潜在的な被害を軽減するために、どのような自動アクションを実行すべきですか？
問題を修復するには、さらにどのような対応が必要ですか？

その後、セキュリティ管理者は、フォレンジックデータから得られた脅威インテリジェンスを活用して、問題を直ちに調査・修復するとともに、それに応じてセキュリティポリシーを調整し、将来の攻撃に対する組織の防御を強化できます。

ここで、SOARにおける人的要素が重要になります。SOARでは自動化が重視されますが、人は最後の防衛線としてセキュリティ強化を担うため、そのフレームワークに不可欠な要素です。人の専門知識と適切なセキュリティソリューションを組み合わせることで、組織は悪意のある攻撃者に先んじて対処しやすくなります。

SOARモデルに不可欠なAdaptive Applications

SOARは、高度な適応性を備え、データを活用して組織の脅威対応を継続的に改善するセキュリティプログラムの構築に重点を置いています。インテリジェンスを活用して現在の脅威を特定し、インシデントに対応してそこから学び、時間の経過とともに適応と改善を重ねることを促します。

F5は、組織によるアダプティブアプリケーションの構築を支援することに注力しています。アダプティブアプリケーションは、セキュリティ状態を自動的に調整できます。また、アプリケーションからエンドユーザーまでアプリケーショントラフィックが通過する経路であるアプリケーションデータパス上のさまざまな接点から得られる情報を収集し、分析します。たとえば、ユーザーが初めてアプリケーションにアクセスするとき（アプリケーション認証が必要）、データがインターネット経由で送信されるとき（Webアプリケーションファイアウォールの使用がトリガーされる）などです。

これらの各タッチポイントでは、それぞれ固有のテレメトリと分析データが生成されます。このデータは、アプリケーションが期待どおりに動作しているか、または侵害の兆候となり得る何らかの異常が存在する可能性があるかを検出するために使用されます。

後者の場合、アプリケーションは潜在的な脅威を軽減するために自動的に適応し、SOARで求められる自動対応を実現できます。たとえば、アプリケーションのデータパス上のある地点で、不審なトラフィックの急増が検出されたとします。ボット管理ソリューションは、アプリケーションにアクセスしているトラフィックの種類（人間かボットかなど）に基づいて、不正行為を自動的に検出できます。その後、アプリケーションは事前定義されたセキュリティポリシーに基づき、不審なトラフィックを自動的にブロックできます。