SOCアナリストになるために– category –

1. 誤検知とは？ 誤検知（False Positive）とは、検知システム（SIEM・EDR・IPSなど）がアラートを発報したものの、実際には攻撃や脅威ではなかったケースを指します。 例1: 社内のスクリプトが大量のファイル操作 → 「ランサムウェア疑い」アラート 例2: ...

1. 全体の考え方（クラウド特有の観点） クラウドでは「API呼び出し」が多くの操作ログの源泉（例：AWS CloudTrail、Azure Activity Log）。APIログが第一の観測点。 ネットワークは仮想化されているため VPC Flow / NSG Flow / ALBアクセスログ 等がネッ...

1. 内部脅威（Insider Threat）とは？ 内部不正や情報漏えいは、組織内の人間（社員・委託先・元従業員など）が関与するセキュリティリスクです。代表的なパターンは以下のとおり： 意図的な不正行為：顧客情報を持ち出す、競合にデータを売却する 偶発的...

1. アカウント乗っ取りとは？ アカウント乗っ取り（Credential Theft）は、攻撃者が正規ユーザーのID/パスワードや認証トークンを不正に取得し、内部ユーザーになりすます攻撃です。典型的な経路は以下のとおりです。 フィッシングメールからの認証情報窃...

ランサムウェア攻撃のライフサイクルと防御策 1. 概要（要点） ランサムウェアの典型的な流れは次の通りです。初期侵入 → 権限昇格 → 横展開 → データ暗号化（破壊）→ 身代金要求／外部流出。SOCは各段階で「兆候」を早期に検出して被害拡大を防ぐ役割を持...

概要（ざっくり） マルウェア感染の兆候は単一ログだけでは見えません。エンドポイント（EDR / Sysmon）＋ネットワーク（プロキシ / FW / DNS）＋認証ログ（AD / IdP）＋ファイル／プロセスの兆候を横断して相関させることで、初期侵入（Initial Access）...

はじめに フィッシング攻撃は依然として最も多い初動攻撃手法の一つで、ユーザーの操作（リンククリック、添付ファイル実行、認証情報入力）を誘発して侵入の入口を作ります。SOCは「検知」「初動対応」「被害拡大防止」を迅速に実行する必要があります。...

はじめに SOCアナリストの仕事は「ただアラートを見ること」ではありません。実際には、監視 → 検知 → 分析 → 対応 → 報告 という一連のフローを繰り返すことで、組織をサイバー攻撃から守っています。この記事では、その基本的な流れを整理して解説します...

はじめに SOC（Security Operations Center）は、サイバー攻撃を早期に検知・対応する組織です。その中で働く「SOCアナリスト」には、経験やスキルに応じた役割のレベル分けが存在します。それが Tier（ティア） です。本記事では、Tier1〜Tier3 の違いを...

はじめに SOCアナリストの仕事は「アラートを監視して対応する」ことが中心ですが、その基盤となるのが ツール です。本記事では、SOCで欠かせない3つの主要ツール ― SIEM、EDR、SOAR ― についてわかりやすく解説します。 SIEM（Security Information and ...