本文へスキップ
BigTree108

SOCアズ・ア・サービスとセキュリティ監視

SOCアズ・ア・サービスとセキュリティ監視：ご希望の時間帯をカバーするマネージドSOC、SIEMの導入と移行、ログのオンボーディング、検知エンジニアリング、EDR・XDRの運用、インシデント対応のリテナー契約、脆弱性管理、対応の自動化、脅威ハンティング。SOCアナリストと検知エンジニアを専任チームとして御社に加えることも可能です。

提供するセキュリティオペレーションサービス

  • マネージドSOC

    SIEMとEDRのアラートを、御社の就業時間中または24時間体制でアナリストがトリアージし、確認されたインシデントは取り決めた応答時間内に御社のオンコールへエスカレーションし、検知した内容、クローズした内容、チューニングした検知ルールを月次レポートで報告します。

  • SIEMの導入と移行

    DefenderポータルのMicrosoft Sentinel、Splunk Enterprise Security、Elastic Security、Google Security Operations、Wazuhを、データが届く前に保持期間、アクセス、コストの上限を計画した上で構築します。SIEM間の移行では、すべての検知を新しいプラットフォームで作り直してテストしてから、旧プラットフォームを停止します。

  • ログソースのオンボーディング

    クラウドの監査ログ、Entra IDとOktaのサインイン、Microsoft 365とGoogle Workspaceのアクティビティ、ファイアウォール、EDR、自社アプリケーションを、ASIM、ECS、OCSFなどの単一のスキーマに正規化し、CriblまたはSIEM自身のパイプラインで、課金される前にノイズを除外します。

  • 検知エンジニアリング

    検知ルールをGitでコードとして管理し、SigmaまたはKQL、SPL、ES|QLで直接記述し、MITRE ATT&CKに対応付け、リリース前にAtomic Red Teamによる模擬攻撃でテストし、アナリストが検知を信頼できるようになるまでチューニングします。

  • EDR・XDRの運用

    Microsoft Defender for Endpoint、CrowdStrike Falcon、SentinelOneを、改ざん防止を有効にしてすべてのサーバーとノートPCに展開し、除外設定は最小限にして見直し、侵害が確認され次第、コンソールから端末を隔離します。

  • インシデント対応のリテナー契約

    何かが起きる前に、連絡先、アクセス、証拠の取り扱い、対応時間を取り決めます。インシデントが発生したら、封じ込め、Velociraptorによるフォレンジック収集、根絶、書面のレポートが続き、インシデント対応に使わなかった時間は、プレイブックのレビューや対応訓練などの準備作業に充てます。

  • 脆弱性管理

    サーバー、コンテナ、ノートPC、クラウドリソースをTenable、Qualys、Rapid7、Microsoft Defender Vulnerability Managementでスキャンし、検出事項はEPSSとCISAのKnown Exploited Vulnerabilitiesカタログによる悪用可能性で順位付けし、深刻度ごとの修正期限は担当チームとともに完了まで追跡します。

  • SOARと対応の自動化

    SentinelのオートメーションルールとLogic Appsのプレイブック、Splunk SOAR、Tines、Torqが各アラートを補強し、チケットを起票して適切な担当者を呼び出します。アカウントの無効化や端末の隔離といった手順は、アナリストの承認を待ちます。

  • 脅威ハンティング

    仮説、新たな脅威レポート、検知がまだカバーしていないATT&CKの手法から始まるハンティングを、数か月分の保持ログに対して実行し、いずれも新しい検知ルール、または仮説が成り立たなかった理由の書面メモで終わります。

SOCアナリスト・検知エンジニアを採用する

  • 専任のSOCアナリスト・検知エンジニア

    御社のチームにフルタイムで参画し、御社のツールとプロセスの中で働き、御社のリードに報告するSOCアナリスト・検知エンジニアです。面接は御社が行い、ウクライナでの雇用契約、給与支払い、請求書発行、休暇管理は当社が担います。

  • セキュリティオペレーションプロジェクト

    スコープと固定の計画が定まったセキュリティオペレーションの一区切りの業務です。当社側の担当リードが成果に責任を持ち、進捗は御社のチャネルで報告します。

  • 継続的なセキュリティオペレーション

    セキュリティオペレーションを継続サービスとして提供します。毎月同じメンバーが担当し、優先順位は御社がバックログで決め、稼働時間は当社のポータルと請求書で確認できます。

スペシャリストが御社のチームに参画する方法は専任チームのページで、プロジェクトのデリバリー、引き継ぎ、料金の考え方はアウトソーシングのページで説明しています。

御社のセキュリティオペレーションを担当するメンバー

  • SOCアナリスト

    アラートのトリアージとエスカレーション（一次・二次対応）

  • 検知エンジニア

    コードとしてのルール、チューニング、攻撃シミュレーション

  • SIEMエンジニア

    プラットフォームの構築、ログパイプライン、取り込みコスト

  • インシデント対応担当者

    封じ込め、フォレンジック、インシデントレポート

  • 脅威ハンター

    保持ログ全体での仮説主導のハンティング

セキュリティオペレーションの運営方法

監視を始める前に、対象範囲、時間帯、深刻度ごとの応答時間、何についてどなたに連絡するかを取り決めます。すべてのアラートの種類にランブックがあり、すべてのエスカレーションは御社のチケットシステムに記録し、アナリストはトリアージに必要なアクセスだけを持つ名前付きアカウントで作業するため、彼ら自身の操作も監査ログに残ります。

検知はコードと同じように扱います。バージョン管理し、レビューし、模擬攻撃でテストし、理由なく発火する頻度で評価します。ペネトレーションテストやインシデントでの発見は新しいルールとして戻り、同じ手法が次回は検知されます。当社自身の端末も同じように監視しています：当社のノートPCは、Rustで自作したエージェントがセキュリティベースラインに照らして点検しており、対象はWindows、macOS、Ubuntuで、点検項目はISO 27001、CIS、Cyber Essentials、Essential Eight、SOC 2に対応付けています。

その他のクラウド・DevOps・セキュリティサービス

クラウド、DevOps、セキュリティの概要

SOCとセキュリティ監視に関するご質問

SOCアナリストはどの業界で働いていますか？

主に、マネージド検知サービスと自社プロダクトの検知コンテンツを扱うサイバーセキュリティ企業、DORAとPCI DSSのもとで監視とインシデント報告が規制上の義務となるフィンテック・銀行・保険、オフィスと工場のネットワークを監視する産業・エネルギー企業、顧客アカウントを乗っ取りと不正から守るEコマース、顧客が継続的な監視を求めるSaaS企業、ホスティング・通信事業者や公共部門のシステムです。

24時間体制で監視していますか？

はい、必要なときに。御社のタイムゾーンでの就業時間、延長時間、またはローテーションによる24時間365日のカバレッジから、監視の開始前に取り決めます。いずれも、深刻度ごとの書面の応答時間と、御社のチームへの名前付きのエスカレーション経路が付きます。

すでに導入しているSIEMとEDRで対応できますか？

はい。ほとんどの案件は、お客様自身のMicrosoft Sentinel、Splunk、Elastic、Google Security Operations、Wazuhと、すでに導入されているEDRの上で行うため、データは御社のテナントとライセンスの下にとどまります。アナリストは、御社が発行し、取り消せるアカウントでサインインします。

アナリストが本物のインシデントを見つけたらどうなりますか？

アナリストが確認し、取り決めた応答時間内に御社の指定された連絡先へ連絡し、事前に承認いただいている場合は封じ込めます（アカウントの無効化、端末の隔離、トークンの失効など）。その後、インシデント対応担当者が証拠を収集し、根本原因を特定してレポートを書き、規制当局や顧客にいつまでに何を伝える必要があるかも含めます。

SOCアナリスト・検知エンジニアは、どのくらいで開始できますか。

適任のSOCアナリストがすぐに対応可能な場合、開始までの条件は、御社の面接と、NDAおよび知的財産権の譲渡契約の締結のみです。そうでない場合は人材を探索し、通常は2〜3週間以内に候補者のプロフィールをお出しします。御社が承諾するまで、誰も業務を始めません。

BigTree108を通じてSOCアナリスト・検知エンジニアを採用するには、どうすればよいですか。

必要な業務内容、シニアリティ、稼働時間をお知らせください。1〜2名の候補者をプロフィールとともにご提案し、御社が自社で採用する場合と同じ形で面接を行います。契約はBIG TREE 108 LLCとの1本、請求書は月1通です。

成果物の権利は、誰に帰属しますか。

御社です。すべてのスペシャリストはBigTree108と署名済みの契約を結び、成果物のすべてを会社に帰属させています。さらに、御社との契約により、その権利は御社に引き継がれます。コード、デザイン、ドキュメントは、当社だけが変更できる場所ではなく、御社のリポジトリとツールに納品します。

SOCやセキュリティ監視をお探しですか？

運用しているもの、導入しているセキュリティツール、カバーしたい時間帯をお知らせください。1営業日以内に、カバレッジの提案、SIEMの計画、または候補者のプロフィールをお返しします。

hello@bigtree108.comにメールする対応の流れ