令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11：SOARって何をする仕組み？

SOARは、セキュリティ対応の“司令塔＋自動実行係”みたいなものだよ。アラートを受けたあと、決められた手順に沿って調査や通知、遮断などの対応を自動化して、運用担当者の作業を効率よく進められるようにする仕組みだよ。

この問題で問われていること

この問題では、SOAR、SIEM、ゼロトラスト、TAXIIの違いを見分けよう。SIEMはログを集めて分析する“監視係”、SOARは対応手順をつなげて自動化する“司令塔”、ゼロトラストは『何も無条件には信頼しない』という考え方、TAXIIは脅威情報をやり取りするための仕組みだよ。

SOAR

複数ツールと手順をつないで検知後の対応を自動化する。

Orchestration\nAutomation\nResponse

確認ポイント

• ゼロトラストの説明ではありません。
• ログ集約と相関分析中心なら SIEM です。
• 運用自動化と対応効率化の説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SOARは、警備員が手作業でやっていた確認、連絡、一次対応を、手順書どおりに自動で進める司令塔みたいなものなんだ。脅威インテリジェンスという“泥棒の手口リスト”を参考にしながら、怪しい出来事への対応を早く・漏れなく進める技術なので、この説明がSOARに合っているよ。

選択肢イ

これは不正解だよ。これはゼロトラストの説明だね。たとえるなら、会社の入口に入れた人でも「本当に本人？この部屋に入っていい人？」と毎回確認する考え方だよ。SOARは“信頼しない考え方”そのものではなく、セキュリティ対応の作業を自動化・効率化する技術なんだ。

選択肢ウ

これは不正解だよ。これはTAXIIの説明だね。たとえるなら、別々の警備会社どうしが“最近こんな泥棒の手口があったよ”という情報を決まった形式でやり取りするための配送ルールみたいなものだよ。SOARは情報交換のプロトコルではなく、その情報も使って実際の対応作業を自動化する仕組みなんだ。

選択肢エ

これは不正解だよ。説明しているのはSIEMに近いんだ。たとえるなら、建物中の防犯カメラや入退室記録を1か所の警備室に集めて、「この動き怪しくない？」と見比べる仕組みだね。SOARはそこからさらに、通報や遮断などの対応手順まで自動で回すイメージなので、ログ集約と相関分析だけではSOARの説明として足りないよ。