情報処理安全確保支援士試験 令和6年度 秋期 午前II 問11

【正解】ア

SOARは、複数のセキュリティ製品や外部サービスを連携させ、セキュリティ運用を統合・自動化する仕組みです。脅威インテリジェンスを用いた不審なIPアドレスの照合、アラートの優先順位付け、端末の隔離、担当者への通知などを、あらかじめ定めた手順であるプレイブックに従って実行します。そのため、分析担当者の負担を減らし、インシデントへの対応を迅速化するアが正解です。

イの説明は誤りです。これは、利用者や端末を初めから信用せず、アクセスのたびに検証するゼロトラストの考え方です。

ウの説明は誤りです。これは、STIX形式で記述された脅威情報を組織間で交換するためのプロトコルであるTAXIIの説明です。

エの説明は誤りです。これは、複数の機器からログを収集して相関分析し、異常を検出するSIEMの説明です。SOARはSIEMのアラートを受けて、調査や対応を自動化する形で連携することがあります。

【ポイント】 SOARは、Security Orchestration, Automation and Responseの略です。 SIEMはログの収集・分析、SOARは検知後の調査・対応の自動化が中心、と区別して覚えます。