SOC サービスの実態に迫る：株式会社SHIFT SECURITY と株式会社クラフ、新たな監視サービスへの挑戦

SOC（Security Operation Center）サービスの詳しい内訳について情報発信されることはこれまでほとんどなかったと言っていい。優秀な SOC ほど（主に大口の）顧客相手に繊細かつ極めて柔軟性な個別性高いサービスを提供しているもので事例として紹介することが難しいから等々複数の理由がある。 その反動なのであろうか。施設の充実度合いや内装の美麗さ、そしてラボとそこから出される定期レポート、オリジナルシグネチャ、そしてラボを代表する「研究所長」や「エバンジェリスト」などが盛んに表に出て情報発信を行う場合がある。しかし肝心の SOC 内部で具体的にどんな SIEM などのソフトウェアを使って分析しているのか、それが Splunk なのか内製なのか等々の具体的な情報はまずもって語られることがない。 だから取材陣には、壁一面に設置された CNN や BBC を常時映している巨大モニターや、スイッチ一つで半透明から透明に変化する分厚いガラス製のウォール（防弾仕様だったりする）などがデモンストレーション的に展開されるのみである。ISS が最初に導入し、その後 LAC が洗練させ、後に各社が追従した例のあの仕掛けである。 株式会社SHIFT のグループ会社である 株式会社SHIFT SECURITY と株式会社クラフは 2021 年春から SOC サービスの提供を開始、オペレーションセンターをクラフの所在する宮崎に設置し、オペレーターとアナリスト約 20 名弱の体制で、国内数十社のクライアントに向けて SOC サービスを提供している。 彼らの強みは AWS や Azure などのクラウドサービス監視、そして EDR マネージドサービスなどの「新しい製品やサービス」への対応。UTM でも WAF でも EDR でも IaaS でも主要な製品やサービスであれば、どんなものでも監視対象と断言するのが同社 SOC の特徴の一つで、現在対応する製品は 100 を超えるという。その内訳は下記の通り。対応製品一覧（105製品）・WAF (Web Application Firewall) AWS WAF Azure Web Application Firewall Fortinet FortiWeb Cloudflare WAF F5 BIG-IP Application Security Manager Citrix Web App Firewall Barracuda Web Application Firewall GCP Cloud Armor IBM Cloud Web Application Firewall Qualys Web Application Firewall Imperva WAF・UTM/IDS/IPS AWS Network Firewall Azure Firewall Palo Alto Networks Next-Generation Firewall Sophos XG Firewall Juniper SRX Series GCP Cloud Firewall Azure Network Security Group (NSG) Flow Logs A10 Thunder CFW Check Point Next Generation Firewall Forcepoint NGFW WatchGuard Firebox SonicWall TZ Series Fortinet FortiGate Barracuda CloudGen Firewall Cisco Secure Firewall・EDR (Endpoint Detection and Response) Cybereason EDR Microsoft Defender for Endpoint Carbon Black EDR Sophos Intercept X with EDR ESET Enterprise Inspector Kaspersky Endpoint Detection and Response FireEye Endpoint Security McAfee MVISION EDR CrowdStrike Falcon Insight・CASB (Cloud Access Security Broker) Proofpoint CASB Forcepoint CASB Lookout CASB Skyhigh Security CASB Netskope CASB McAfee MVISION Cloud CipherCloud CASB+ Bitglass CASB Microsoft Cloud App Security・SASE (Secure Access Service Edge) Zscaler Internet Access Forcepoint SASE Fortinet FortiSASE Aryaka SASE Perimeter 81 Cato Networks SASE Cloud Palo Alto Prisma Access Versa SASE Netskope Security Cloud・エンドポイントセキュリティ Trend Micro XDR Sophos Intercept X Bitdefender GravityZone F-Secure Elements Endpoint Protection Kaspersky Endpoint Security Comodo Advanced Endpoint Protection Trend Micro Apex One Symantec Endpoint Protection Malwarebytes Endpoint Protection SentinelOne Singularity Cylance PROTECT McAfee MVISION Endpoint Deep Instinct G Data Endpoint Protection Business ESET Endpoint Security Symantec Endpoint Security・SIEM (Security Information and Event Management) Micro Focus ArcSight IBM QRadar Rapid7 InsightIDR Exabeam Fusion SIEM LogRhythm NextGen SIEM RSA NetWitness Platform AlienVault USM Splunk Enterprise Security ArcSight Enterprise Security Manager Securonix Next-Gen SIEM・クラウドセキュリティ AWS GuardDuty GCP Security Command Center Azure Security Center IBM Cloud Security Advisor Trend Micro Cloud One Orca Security Palo Alto Prisma Cloud Check Point CloudGuard・ネットワークセキュリティ Snort OSSEC Wazuh Cisco Stealthwatch Lancope-STEALTHWATCH Suricata Arbor Networks Spectrum Cisco Umbrella・ID管理 Okta OneLogin・ネットワークフロー AWS VPC Flow Logs IBM Cloud Activity Tracker Azure Activity Log IBM Cloud IBM Cloud Flow Logs AWS CloudTrail GCP Cloud Audit Logs GCP VPC Flow Logs なお、現在未対応の製品でも準備期間をもらえば、どんな製品でも監視対象にできると取材で明言した。またその準備に対する追加費用は一切発生しない。 後発も後発、最後発にあたる 2020 年代にサービスインした同社の SOC は、他の SOC サービス紹介サイトではまず見かけない情報が Web サイトに掲載されている。サービス提供料金である。「シルバー」「ゴールド」「プラチナ」の 3 コースが示され、シルバーに関しては具体的月次料金 9 万円が明確に記載されている。かなりの値頃感がある。 どんな機器やサービスの監視にも対応するが、これまでなかった新しい製品の監視依頼が来た場合は、ベンダが公表するログフォーマットをもとにして検知ルールを作成する。ベンダがログフォーマットを全く公開していないケースもあり、その場合は顧客（になる予定の企業）からログの提供を受けて、アナリストやオペレーターによってログフォーマットの解析が行われる。 たとえば下記の生ログがあって、最終行の「Credential Dumping」の情報を抽出したい場合、CEF:0|Vendor_A|ProductX|1.0|100|Connection Blocked|1|src=192.168.1.1 dst=10.0.0.5 spt=443 dpt=8080 user=eve time=2025-02-05T10:15:00Z msg=Blocked suspicious connectionCEF:0|Vendor_A|ProductX|1.0|200|Intrusion Attempt|3|src=172.16.0.2 dst=192.168.0.3 spt=80 dpt=443 user=john time=2025-02-05T10:20:00Z msg=SQL Injection attempt detectedCEF:0|Vendor_A|ProductX|1.0|300|Malware Detected|2|src=192.168.1.100 dst=192.168.1.200 fileHash=abcdef123456 user=alice time=2025-02-05T10:25:00Z msg=Malware detected in email attachmentCEF:0|Vendor_A|ProductX|1.0|400|Port Scan|2|src=10.0.0.10 dst=192.168.1.15 user=guest time=2025-02-05T10:30:00Z msg=Multiple port scan attempts detectedCEF:0|Vendor_A|ProductX|1.0|500|DDoS Attack|3|src=203.0.113.5 dst=10.1.1.5 spt=12345 dpt=80 user=olivia time=2025-02-05T10:35:00Z msg=Distributed denial-of-service attack detectedCEF:0|Vendor_A|ProductX|1.0|600|Suspicious Activity|1|src=192.168.1.50 dst=192.168.1.150 filePath=/downloads/suspicious.exe user=bob time=2025-02-05T10:40:00Z msg=File execution flagged as suspiciousCEF:0|Vendor_A|ProductX|1.0|700|Outbound Connection Blocked|1|src=192.168.1.5 dst=0.0.0.0 spt=25 dpt=25 user=mary time=2025-02-05T10:45:00Z msg=Suspicious outbound email traffic blockedCEF:0|Vendor_A|ProductX|1.0|800|Brute Force Attack|3|src=192.168.1.200 dst=10.1.1.10 spt=22 dpt=22 user=michael time=2025-02-05T10:50:00Z msg=Multiple failed login attempts detectedCEF:0|Vendor_A|ProductX|1.0|900|Phishing Attempt|2|src=192.168.1.30 dst=192.168.1.100 user=john time=2025-02-05T10:55:00Z msg=Phishing website detected in email linkCEF:0|Vendor_A|ProductX|1.0|1000|Credential Dumping|3|src=192.168.2.20 dst=192.168.1.10 spt=445 dpt=445 user=rachel time=2025-02-05T11:00:00Z msg=Credential dumping tools detected in network traffic 抽出用の正規表現「\|ProductX\|[\d\.]{,3}\|\d{3,4}\|(?&lt;ProductX_eventType&gt;[\w\s]+)\|」を用いて、抽出名「ProductX_eventType」、抽出値「Credential Dumping」としてフィールド抽出を行い、下記の抽出結果を得る。ProductX_severity：3ProductX_srcIP：192.168.2.20ProductX_dstIP：192.168.1.10ProductX_srcPort：445 こうしたプロセスは当然トライアンドエラーを経るが、これまで全てのケースにおいてフォーマットの完全な理解に到達している。 後発 SOC サービスだからクラウド対応が非常に早かった。国内に限らずグローバルで見ても早期の段階で AWS および Azure などの主要クラウドサービスの監視サービス提供を開始しており、現在でも同社顧客のボリューム層はクラウド監視を依頼するクライアントが多い。 SHIFT SECURITY とクラフは明確に意識して「脆弱性診断サービスの標準化」、それまで熟練職人でなければできないとされてきた仕事を、作業や判断を細かく細かくさらに細かく分けて分けて、一定の訓練を経れば誰でもできるところまで仕組み化を行った。 もちろん気の利いた会社はすべてこんなことは普通にやっているのだが、SHIFT SECURITY の場合、親会社の株式会社SHIFT がソフトウェアテスト標準化のために CAT という練れた標準化プラットフォームをすでに持っていてそれをまるまる受用することができたから、特に完成度において恐らく国内最初の診断標準化に成功した企業である。 こう書いて気を悪くしないで欲しいがいわば「60 点の回転ずし的診断サービス」を確立した。なおここで「60点」とは、OWASP の項目を完全網羅する程度の水準という意味である。 その後 DX の広がりやサイバーセキュリティ経営ガイドライン公表、ランサムや不正アクセス等々によって世の診断需要が増えたことで、国分さんや福森さんのような匠（たくみ）の手を動かさなくてもいいからもっとたくさん広く診断して欲しい、もっと頻度高く見て欲しい、等々のボリュームを伴った必要とする瞬断需要が増した。そして均質で一定水準のサービス提供に AI 等を活用しながら各社も追従するようになっていく。 標準化への挑戦はこの SOC サービスでも行われており、メールで届くアラートや、あるいは Syslog 形式で届くアラートなど全てを「ログコレクター」と呼ばれるログ取得システムを通してデータレイクに集めて、内製開発した監視システムに送られる。そして検知ルールに基づいた情報が、たとえば「システムに対する脆弱性スキャン」など MITRE ATT&amp;CK の Tactics と Technique に紐付け分類され顧客に提供される。なお、アラートなどの全メッセージがすべて機械翻訳ではない「こなれた日本語」で提供されているところも同社 SOC の特徴。 今回の取材ではアナリストほか合計 3 名の人物にインタビューを行ったが、そのうちの 1 人は、かつて SHIFT SECURITY とクラフの提供する SOC サービスの 4 倍から 5 倍程度の価格帯の SOC 構築と運用に携わった経験を持つ技術者だった。 彼によれば同社 SOC の監視対象の広さや柔軟性の秘訣は「疎結合」にあるという。すなわち「第一世代 SOC（と、仮にここで名づけるが）」は、顧客に販売した Check Point Firewall-1 などの製品の設定や運用、更新などが主要な業務であり、監視対象製品の細かいところまで SOC オペレーターが通暁していくプロセスをたどった。 そのためルールの追加や、あるいは時折これまで書いたルールが消えてしまうようなリスク等を伴う場合もある OS アップデート等々の作業を「各製品に深く入り込んで」行う。そして契約によっては、特定の条件で通信をオペレーターが手動で止めるなどの判断と実行まで行う。 こうした（食べ物たとえを続けるなら）すきやばし次郎的な SOC サービスが「密結合」だとすると、SHIFT SECURITY とクラフの SOC サービスは「疎結合」だというのだ。すなわちログが SOC に届くように設定してさえもらえれば、約 100 の対応製品一覧の中に監視を依頼したい機器やクラウドサービスが既にあるのなら、数日で監視をスタートすることが可能だ。 つまり必要なときに必要な SOC サービスを利用できるという新しい選択肢を提供している。 インタビューした人物は長らくハイエンド SOC サービスに在籍していたため、正直最初は「あれもない」「これもない」そんな SOC サービスに思えたが毎日多数の問い合わせがあり、顧客候補となる企業訪問に同行してヒアリングしていると、これまで自分が SOC ならあたり前だと思っていたいくつものサービスあるいはオプションは、必ずしも全ての顧客が求めているものではなかったと新たな発見をする日々だという。 彼が接する顧客の要望とは「現在頼んでいる EDR マネージドサービスが高価なので限定的な範囲や項目で構わないからこの予算で見てくれないか」といったものであったり「オンプレミスのファイアウォールや UTM の監視だけでなく AWS まで御社に頼めないか」などなど。 なお、上記の要望いずれも同社 SOC は喜んで対応する／できるという。 インタビューでこんな面白い表現を聞いた。「高級寿司店では、寿司の上に牛肉をのせてくれとか、タコウインナーを握ってマヨネーズを載せてくれなどと恐ろしくて頼めたものではないが、弊社の SOC は頼まれればどんなものでも握る（握る努力をする）」と。 なお、ゴールドとプラチナのサービスでは「密結合」のサービスも依頼があれば対応可能である。元の記事を読む