解説

SOAR（Security Orchestration, Automation and Response）は複数のセキュリティツール・プロセスを統合・連携（Orchestration）させ、インシデント対応を自動化（Automation）することでSOC（Security Operation Center）の運用効率を向上させる技術・プラットフォームの総称。主要機能は3つ：①オーケストレーション：ファイアウォール・EDR・SIEM・脅威インテリジェンスフィード等の多様なツールをAPIで連携させ一元管理する。②自動化：ログ収集・IOC照合・チケット作成・脆弱性スキャン等の反復的作業をプレイブック（事前定義されたワークフロー）で自動実行する。③レスポンス：インシデント発生時の対応手順をプレイブックとして定義し、人間の判断が必要な部分のみアナリストに通知する。SIEM（ログ集約・相関分析・アラート生成）と組み合わせて使われることが多く、SIEMが「何かが起きた」を検知し、SOARが「その後の対応」を自動化する。

なぜ他の選択肢は違うのか

選択肢 イ

全ての利用者・デバイス・接続元を信頼できないものとして捉え、重要リソースへのアクセスの正当性を継続的に検証するのはZero Trust（ゼロトラスト）セキュリティモデルの考え方。「信頼しない、常に検証する」を原則とし、ネットワーク境界による防御からID・デバイス・コンテキストベースの動的アクセス制御への転換を意味する。SOARとは異なる概念。

選択肢 ウ

組織間でSTIX（Structured Threat Intelligence eXpression）形式で記述されたサイバー攻撃関連情報を自動交換するプロトコル仕様はTAXII（Trusted Automated eXchange of Indicator Information）の説明。STIX/TAXIIはサイバー脅威インテリジェンスの記述・共有のための標準であり、SOARのように組織内の運用自動化を行う仕組みではない。

選択肢 エ

ファイアウォール・マルウェア対策製品・侵入検知製品など複数のセキュリティ製品からのログを集約し相関分析（複数ログの関連付けによるインシデント検知）を行う専用装置・システムはSIEM（Security Information and Event Management）の説明。SOARはSIEMと連携してその後の対応を自動化するレイヤーで、ログ集約・相関分析自体はSIEMの役割。

解くときのポイント

SIEM（ログ集約・相関分析・アラート生成）とSOAR（アラートへの対応自動化・プレイブック実行）の違いを区別する。SOARはSIEMの「検知」後の「対応」を自動化するレイヤー。