IT環境とログソース分析
担当者セキュリティアーキテクト + 顧客IT責任者
目的
実装前に攻撃対象領域、テレメトリのカバレッジ、収集上の制約を把握します。
専門家の作業
システム、ID、ネットワーク、クラウドアカウント、制御を優先度付きのテレメトリ一覧に整理します。
主な成果物
- 資産・ログソース一覧
- カバレッジ不足分析
- データ所有者マップ
お客様の成果
盲点と導入順序が明確な、説明可能なスコープを定めます。
受入基準
資産の担当を確認し、重要なカバレッジ不足を優先順位付けします。
06
受入可能な段階
18+
定義済み成果物
01
継続的な運用ループ
ログソースの導入と正規化
担当者データエンジニア + プラットフォーム責任者目的
生イベントを信頼でき、検索可能なセキュリティテレメトリに変換します。
専門家の作業
収集を設定し、完全性を検証し、フィールドを正規化して資産・ID情報を付加します。
主な成果物
- 収集Runbook
- 正規化スキーマ
- 解析・健全性チェック
お客様の成果
相関分析と証拠化に使える、アナリストが信頼できるデータ基盤を整えます。
受入基準
収集状態、解析精度、検索可能なフィールドを受け入れます。
ユースケース設計
担当者検知エンジニア + リスク責任者目的
優先度の高い脅威を、明確な仮説と対応意図を持つ検知に変換します。
専門家の作業
攻撃者の行動をモデル化し、検知ロジックと深刻度を定義してリスク低減順に並べます。
主な成果物
- ユースケース一覧
- ATT&CKカバレッジマップ
- 検知仕様
お客様の成果
ビジネスリスクに沿った、測定可能な検知ロードマップを作成します。
受入基準
脅威仮説、深刻度、テストデータ、想定対応を承認します。
Runbook設計
担当者インシデント責任者 + 業務承認者目的
各アラートに一貫した判断とエスカレーションルールを持たせます。
専門家の作業
トリアージ、調査、封じ込め、担当、チーム間の引き継ぎを設計します。
主な成果物
- 対応Runbook
- エスカレーションマトリクス
- 証拠チェックリスト
お客様の成果
統制を保ちながらMTTRを短縮する、再現可能な対応を実現します。
受入基準
判断点、連絡先、証跡、承認範囲を演習します。
検知の検証とチューニング
担当者検知エンジニア + SOC責任者目的
本番稼働前に、検知が実環境で機能することを証明します。
専門家の作業
シナリオを再生し、ノイズを測定し、しきい値を調整して受入証跡を文書化します。
主な成果物
- 検証レポート
- 誤検知調整ログ
- 稼働開始チェックリスト
お客様の成果
感度と運用持続性を両立した検知を実現します。
受入基準
シナリオ再生が精度、ノイズ、遅延の基準を満たします。
サービス受入と継続的最適化
担当者サービスマネージャー + 顧客スポンサー目的
運用可能なSOCを引き渡し、カバレッジとプロセスを継続的に改善します。
専門家の作業
受入基準を完了し、運用担当者を訓練し、ユースケースとRunbookの改善サイクルを設定します。
主な成果物
- 受入パッケージ
- 運用プレイブック
- 改善バックログ
お客様の成果
一度きりの成果物ではなく、進化し続けるSOC能力を構築します。
受入基準
受入パッケージを締結し、運用と改善の責任者を決めます。