SOCとは？セキュリティ監視の仕事内容とSOCアナリストのキャリアパス

サイバー攻撃は、昼夜を問わずやってきます。企業のネットワークやサーバーを24時間見守り、攻撃の兆しにいち早く気づいて対応する組織が、SOC（Security Operation Center）です。インフラの運用・監視の経験が活きやすい、セキュリティの仕事の入口としても注目されています。

ここでは、セキュリティの分野でいうSOCとは何かを、役割と仕事の流れから解説します。CSIRTやNOCとの違い、SOCで使う主な仕組みに加えて、SOCで働くSOCアナリストに必要なスキルとキャリアパスもまとめました。

SOCとは？

サイバー攻撃を24時間見張る組織

SOC（Security Operation Center、読み方は「ソック」）は、企業のネットワークやサーバー、パソコンなどを24時間365日監視し、サイバー攻撃を見つけて対応する組織です。

半導体の分野にも「SoC（System on a Chip）」という同じ読みの言葉がありますが、この記事で扱うのはセキュリティのSOCです。

SOCの主な役割は、次のとおりです。

役割	内容
監視	ネットワークやサーバー、パソコンなどから集めたログを、常に見張る
分析	異常の知らせ（アラート）が、本当の攻撃かどうかを見きわめる
報告	攻撃と判断したら、担当者や関係者にすぐ知らせる
初動の対応	被害が広がらないように、通信を止めるなどの最初の対応をする
改善	監視のルールを見直し、見逃しや誤った知らせを減らす

SOCが必要とされる理由

理由	内容
攻撃が増え、巧妙になっている	防ぐ仕組みだけでは止めきれず、入り込まれたあとに早く気づくことが大切になっている
守る範囲が広がっている	クラウドやテレワークの広がりで、監視しなければならない場所が増えている
気づくまでの時間が被害を左右する	攻撃に気づくのが遅れるほど、情報の流出や業務の停止などの被害が大きくなる

防ぐ仕組みを整えるだけでなく、入り込まれたことに早く気づく仕組みが必要になっているのです。

新しい守り方の考え方については、［ゼロトラストとは］で解説しています。

自社SOCと外部のSOC

SOCには、自社の中に持つ形と、外部の専門の会社に任せる形があります。

形	内容	向いている企業
自社SOC	自社の社員でSOCを作り、運用する	守る範囲が広く、セキュリティに人と予算をかけられる企業
外部のSOC	セキュリティの専門会社に、監視と分析を任せる	自社だけで24時間の体制を作るのが難しい企業
組み合わせ	夜間や一次の分析を外部に任せ、判断は自社で行う	自社の知識を残しつつ、負担を減らしたい企業

SOCアナリストとして働く場所は、セキュリティの専門会社と、自社SOCを持つ大企業の大きく2つです。

SOCの仕事と主な仕組み

SOC・CSIRT・NOCの違い

SOCと似た言葉に、CSIRTとNOCがあります。

組織	主な役割	主に見るもの
SOC	サイバー攻撃を監視し、見つけて知らせる	セキュリティの機器やログ
CSIRT	インシデントが起きたときに、組織として対応を取りまとめる	事故の対応、関係者との調整、再発の防止
NOC	ネットワークやシステムが正常に動いているかを監視する	機器の状態、通信量、障害

SOCは「見つける」役割、CSIRTは「起きたときに組織で対応する」役割と考えると分かりやすくなります。NOCは、インフラの運用・監視のチームにあたります。

SOCの仕事の流れ

アラートの多くは、実際には攻撃ではない誤った知らせ（過検知）です。大量のアラートの中から、本当に危ないものを見分けることが、SOCの仕事の中心になります。

SOCで使う主な仕組み

仕組み	内容
SIEM	さまざまな機器のログを1か所に集め、組み合わせて分析し、怪しい動きを見つける
EDR	パソコンやサーバーの動きを記録し、怪しい動きを見つけて止める
IDS・IPS	ネットワークの通信を調べ、不正な通信を見つける・止める
WAF	Webアプリケーションを狙った攻撃を見つけて止める
SOAR	アラートへの決まった対応を、自動で行う

これらの仕組みは、いずれも「ログを集めて、異常を見つける」という考え方でつながっています。

WAFについては、［WAFとは］で解説しています。

運用・監視の仕事との共通点

SOCの仕事は、インフラの運用・監視の仕事と共通する部分が多くあります。

インフラの運用・監視	SOCの仕事
監視のアラートに対応する	セキュリティのアラートを分析する
ログから障害の原因を探す	ログから攻撃の痕跡を探す
手順にそって一次対応し、上に報告する	手順にそって初動の対応をし、CSIRTに報告する
シフトで24時間監視する	シフトで24時間監視する

ログを読み、異常を見つけて報告する力は、そのままSOCで活かせます。

運用・監視の仕事については、［運用保守エンジニアとは］で紹介しています。

SOCアナリストの仕事とキャリア

SOCアナリストの階層

SOCで働く人は、SOCアナリストと呼ばれます。多くのSOCでは、経験に応じて役割が分かれています。

階層	主な役割
Tier1	アラートを確認し、手順にそって一次の分析と報告を行う
Tier2	Tier1から上がった案件を深く調べ、攻撃の範囲や影響を見きわめる
Tier3	高度な攻撃の調査、脅威の情報の分析、監視のルールの改善を担う

未経験やインフラからの転向では、Tier1から始めるのが一般的です。経験を積むにつれて、より深い分析を任されるようになります。

必要なスキル

スキル	内容
ネットワークの知識	TCP/IP、DNS、HTTPなどの仕組みを理解し、通信のログを読める
OSの知識	WindowsとLinuxの動き、ログの場所や読み方を理解している
攻撃の手口の知識	よくある攻撃が、どんな痕跡を残すかを知っている
ログの分析	大量のログから、必要な情報を探し出せる
報告の力	状況と判断を、短く正確に伝えられる

とくにネットワークとOSの基礎は、SOCの分析の土台です。インフラエンジニアとして身につけた知識は、そのまま強みになります。

働き方

24時間365日の監視をするため、SOCではシフト勤務や夜勤があることが多くあります。一方で、経験を積んでTier2・Tier3や、ルールの改善の担当に進むと、日勤が中心になることもあります。

夜勤の働き方や、日勤へ移る方法は、［インフラエンジニアの夜勤とは］で解説しています。

キャリアパス

進む道	内容
上位のSOCアナリスト	Tier2・Tier3として、高度な分析や監視の設計を担う
CSIRTのメンバー	インシデントの対応を、組織として取りまとめる
セキュリティエンジニア	守るための仕組みを、設計・構築する
脅威の情報の分析	攻撃者の動きや新しい手口を調べ、守りに生かす
ペネトレーションテスター	攻撃者の視点でシステムを調べ、弱点を見つける

SOCで身につく分析の経験は、セキュリティのさまざまな仕事の土台になります。

セキュリティの仕事の全体像は、［セキュリティエンジニアとは］で、攻撃者の視点で守る仕事は［ペネトレーションテスターとは］で紹介しています。

SOCでよくある疑問

未経験からでもSOCアナリストになれる？

なれる場合もありますが、ITの基礎の知識は前提になります。完全な未経験から目指すより、インフラの運用・監視やヘルプデスクの経験を積んでから移る人が多くいます。ネットワークやOSの基礎を学んでおくと、Tier1の仕事に早く慣れられます。

SOCの仕事ってきつい？

シフト勤務や夜勤、大量のアラートへの対応から、負担が大きいと感じる人もいるのは事実です。ただし、職場によって体制や働き方は大きく違います。求人を見るときは、シフトの形や、1人あたりが担当するアラートの量を確かめましょう。

SOCで役立つ資格は？

ネットワークの基礎ならCCNA、セキュリティの知識を示すなら情報処理安全確保支援士が役立ちます。海外の資格では、CompTIA Security+やCompTIA CySA+なども、SOCの仕事に近い内容です。

資格の選び方は、［セキュリティエンジニアのおすすめ資格一覧］や［情報処理安全確保支援士とは］で紹介しています。

インフラエンジニアからSOCに移るメリットは？

インフラの知識を活かしたまま、セキュリティの分野へキャリアを広げられることです。SOCでの分析の経験は、セキュリティの仕事に進むときの実務の経験として評価されやすいのも利点です。

まとめ

SOCは、企業のネットワークやシステムを24時間見張り、サイバー攻撃に早く気づいて対応する組織です。この記事のポイントは次のとおりです。

• SOCとは
  サイバー攻撃を監視・分析し、見つけたら報告と初動の対応を行う組織。
• CSIRT・NOCとの違い
  SOCは攻撃を見つける役割、CSIRTは起きたときに組織で対応する役割、NOCはシステムの稼働を監視する役割。
• 主な仕組み
  SIEMでログを集めて分析し、EDRやIDS・IPS、WAFなどで怪しい動きを見つける。
• SOCアナリスト
  Tier1からTier3に分かれ、ネットワークとOSの基礎、ログの分析、報告の力が求められる。
• キャリアパス
  インフラの運用・監視の経験が活き、CSIRTやセキュリティエンジニアなどへ広げられる。

SOCの仕事は、インフラの運用・監視の経験をセキュリティに広げる入口になります。まずは、今の仕事で扱っているログが、攻撃のどんな痕跡を示しうるかを考えるところから始めてみてください。