SOARとアラート疲労：なぜあなたのSOCはアラートに溺れているのか（そして自動化は本当に役に立つのか）

SOCアナリストが1日に数百件のアラートを処理しているにもかかわらず、まだ追いつけていないと感じているなら、それはあなたの組織だけの問題ではありません。アラート疲労——アラートが多すぎるために、アナリストがセキュリティアラートに対して麻痺した状態になること——は、2026年のセキュリティチームにとって最大の運用課題です。

標準的な解答は「SOARを導入すればいい」というものです。それは間違いではありませんが、不完全です。SOARはアナリストの作業負荷を大幅に削減できます。しかし、適切に展開されない場合、別の問題を生み出します：本物の脅威を自信を持って自動クローズする機械を作り上げてしまうことです。

---

アラート量問題の実態

エンドポイント、ネットワーク、クラウドにSIEMを展開している中規模組織は、1日あたり5,000〜50,000件の生イベントを生成します。相関処理と重複排除後でも、典型的なSOCは1日200〜2,000件の調査が必要なアラートに直面します。

計算は厳しいものです。8時間シフトのTier-1アナリストが意味のある形で調査できるのは、1シフトあたりせいぜい30〜50件です。4人チームで1日500件のアラートがある場合、各アラートに与えられる時間は平均3〜4分。2,000件になると1分を下回ります。

これが引き起こすこと：

• 鈍感化：アナリストがアラートの詳細を読むことを止め、タイトルだけでパターンマッチングを行うようになる
• キューの老化：アラートが何時間も何日も未確認のまま放置され、コンテキストが失われ、対応の機会が閉じてしまう
• ノイズの中に埋もれた本物のシグナル：本物のインシデントが、それを取り囲むフォルスポジティブと区別のつかないアラートとして届く
• 燃え尽きと離職：セキュリティ専門家の3分の2がバーンアウトを報告しており、アラート過負荷が主な原因として挙げられている

NISCのガイドラインやJ-SOXの監査証跡要件に基づき、日本の組織ではアラートへの対応記録の完全性が求められます。また、経済安全保障推進法の対象となる重要インフラ事業者においては、セキュリティインシデントへの迅速な対応が特に重要です。

---

SOARとは何か

SOARはSecurity Orchestration, Automation, and Responseの略称です。SOARプラットフォームはSIEMや他のセキュリティツールの上位に位置し、3つの機能を担います。

オーケストレーション：セキュリティツールを接続してデータを自動的に共有します。WazuhでアラートがトリガーされるとSOARはVirusTotalでIPを照会し、Active DirectoryからユーザーコンテキストをPull し、チケッティングシステムで関連ケースを確認し、アナリストがアラートを開く前にすべてのコンテキストをまとめます。

自動化：人間の入力を待たずに事前定義されたアクションを実行します。既知の安全なパターンの場合、SOARはアラートを理由を記録して自動クローズできます。既知の悪意あるパターンの場合、IPのブロック、ホストの隔離、P1ケースの作成を直接実行できます。

レスポンス：標準化されたプレイブックを提供し、アナリストが調査する際に一貫した手順に従い、証拠を正しく収集し、適切なタイミングでエスカレーションできるようにします。

flowchart TD
    A["SIEM\n生アラート"] --> B["SOAR\nオーケストレーションエンジン"]
    B --> C["エンリッチメント\nIPレピュテーション · ユーザーコンテキスト · 資産データ"]
    C --> D{"プレイブック\n判定"}
    D -->|"既知の安全なパターン"| E["自動クローズ\n理由をログ"]
    D -->|"既知の悪意あるパターン"| F["自動対応\nブロック · 隔離 · オンコール通知"]
    D -->|"不明または曖昧"| G["エンリッチ済みアラート\nアナリストキューへ"]
    G --> H["アナリストトリアージ\nコンテキスト事前収集済み"]

---

SOARだけでは不十分な理由

プレイブックはすでに見たことがあるパターン向けに構築されます。SOAR導入前にSIEMアラートの70%がフォルスポジティブであれば、SOAROを通過しても依然としてフォルスポジティブです。

3つの根本原因：

1. フォルスポジティブ率がすべてを左右する：調整されていないSIEMで動作するSOARはアラート疲労を軽減しません。疲労を自動化するだけです。
2. プレイブック負債が蓄積する：新しい検知ルール、環境変更のたびにプレイブックが無効になる可能性があります。メンテナンスを止めると、アナリストは自動クローズ判定を信頼しなくなり、自動クローズされたアラートを再確認し始めます。
3. コンテキストのギャップがトリアージ品質を損なう：最終更新が6ヶ月前のIPレピュテーションフィード、実際のネットワークを反映していない資産インベントリ——これらは自信を持って誤ったコンテキストを持つエンリッチ済みアラートを生成します。

---

実際に機能するもの：4層アプローチ

第1層 — まずSIEMを調整する：自動化を導入する前に、検知層でフォルスポジティブを削減することに投資します。直近30日間でトゥルーポジティブなしに50件以上のアラートを生成したすべてのルールを見直します。

第2層 — プレイブックの前にエンリッチメントを構築する：資産インベントリ、ユーザーディレクトリ、IPレピュテーションフィード（更新スケジュール付き）。エンリッチメントの品質がプレイブックの信頼性を決定します。

第3層 — 自動クローズではなくトリアージアシストから始める：SOAR自動化の最初の段階は、アラートにコンテキストを追加することであり、アナリストの代わりに結論を決めることではありません。エンリッチ済みアラートを受け取るアナリストは、生のアラートデータで作業するアナリストより3〜4倍速くトリアージできます。

第4層 — キューの底から上に向けて自動化する：最初は最も量が多く、最もトゥルーポジティブ率が低いアラートタイプを特定します。プレイブックを1つずつ構築します。自動化を有効にする前に30日間のフォルスネガティブ率を監視します。

ステージ	構築するもの	検証するもの
1 — SIEM調整	抑制ルール、閾値調整	トゥルーポジティブを失わずにアラート量削減
2 — エンリッチメントパイプライン	資産DB、ユーザーディレクトリ同期、IPフィード	自動化前のコンテキスト精度
3 — トリアージアシスト	エンリッチメントのみのプレイブック	アナリストのトリアージ速度
4 — 選択的自動クローズ	アラートタイプ1つずつ	プレイブックごとのフォルスネガティブ率（30日間）

---

simpliSOCのアプローチ

simpliSOCはSimplicoが提供するオープンソースSOCプラットフォームで、Wazuh、DFIR-IRIS、Shuffleを基盤としています。タイと日本のクライアントにこのスタックを展開・維持管理しており、アラート疲労の問題には最も多くの運用時間を費やしています。

標準的な展開シーケンスは上記の4層アプローチに従います：

• 第1〜3週：Wazuhルール監査とフォルスポジティブ抑制
• 第4〜6週：エンリッチメントパイプライン構築
• 第7〜10週：Shuffleでのトリアージアシストプレイブック（コンテキスト収集のみ、自動クローズなし）
• 第11〜16週：最もリスクが低く量の多いアラートタイプへの最初の自動クローズプレイブック

SOCとは何か？ASEANのITマネージャーのためのガイド および WazuhとコマーシャルSIEMの比較 もあわせてご参照ください。

simpliSOCチームへのお問い合わせはこちら →

---

よくある質問

SOARとSIEMの違いは何ですか？
SIEMはログデータを収集・正規化・相関分析し、検知ルールがトリガーされるとアラートを生成します。SOARはSIEMの上位に位置し、アラートが発生した後の処理を自動化します：エンリッチメント、プレイブック実行、対応アクション。SIEMが検知し、SOARが対応します。

SOARはアラート量を削減できますか？
直接的にはできません。SOARはSIEMが生成するアラート数を減らしません——それにはルール調整が必要です。SOARが行うのは、既知のパターンに対する判定を自動化することで、人間のレビューが必要なアラートの数を減らすことです。

SOARを効果的に展開するにはどのくらいかかりますか？
基本的なShuffle + Wazuhの統合は数日で稼働させられます。アナリストが信頼し、実際に作業負荷を削減するプレイブックを構築するには、3〜6ヶ月の反復的な調整が必要です。

過度な自動化のリスクは何ですか？
信頼性の低いロジックで動作する自動クローズプレイブックは、実際のインシデントを抑制する可能性があります。対策として：すべての自動クローズルールを有効化前に30日間の人間によるレビューシャドウ期間で検証し、フォルスネガティブログを維持し、自動クローズされたアラートの週次サンプル確認を継続します。

アナリストが1〜2人の小規模チームでもSOARは価値がありますか？
はい、むしろ大規模チームよりも価値が高いかもしれません。基本的なエンリッチメント自動化——自動クローズなしのコンテキスト収集——だけで、各アラートの調査時間を半減できます。ShuffleのFreeティアとWazuhのネイティブアクティブレスポンスから始め、そこから積み上げていくことをお勧めします。

---

Simplicoはバンコクを拠点とするソフトウェアエンジニアリングスタジオで、東南アジア・日本の企業向けにSOC展開、AI/RAGアプリケーション、製造ソフトウェアを専門としています。詳細は simplico.net をご覧ください。

simpliSOCチームに相談する →