Awesome SOC

SOC（CSIRTを含む）を構築し、運用し、成熟させるための運用ハンドブック兼ナレッジベース。以下をカバーしています：

• SOCの基礎
• 検知エンジニアリング
• 脅威インテリジェンス
• SOCメトリクス/KPI
• SOC自動化
• AIのユースケースとベストプラクティス
• SOP（SOCプレイブック）

これらは、SOC/CSIRTアナリストおよびチームマネージャーとしての私自身の経験、ならびに著名な論文に基づく私の見解です。CERT/CSIRTよりもSOCに重点を置いています。

私のモットーは、対応（レスポンス）がなければ、検知は無意味である、というものです。

注：一般的に、ここでのSOCは検知活動を指し、CERT/CSIRTはインシデント対応活動を指します。CERTは（かつての）米国のよく知られた商標であり、CERT-CCによって管理されていますが、私はインシデント対応を正確に指す用語としてCSIRTを好んで使用します。

目次

• 必読
• 基本概念
• ミッションクリティカルな手段（ツール/センサー）
• SOCの内部/コア
• AI（ML、LLM、GenAI、エージェント型AI）
• IT/セキュリティの動向監視
• SOAR
• 検知エンジニアリング
• 脅威インテリジェンス
• プレイブック/SOP
• SOCメトリクス（KPI/SLA）
• SOCマネジメント
• 人事とトレーニング
• ITアーキテクチャ
• さらに深く学ぶために（次のステップ）
• 付録

必読

SOC向け

• SOC構築：
  • MITRE、11 strategies for a world-class SOC（またはローカルファイルを使用）：パート0（基礎）。
  • FIRST、Building a SOC
  • NCSC、Building a SOC
  • Gartner、SOC model guide
  • Splunk、State of Security 2025
  • Microsoft、Secure your business with 365
• 面接向けSOCトレーニング：
  • LetsDefend SOC analyst interview questions
• SOCマネジメント：
  • FIRST、ISO 27035 Practical value for CSIRT and SOCs
  • SANS、2025 SOC survey
  • SOC CMM、SOC Metrics
  • Gartner、Market Guide for Managed Detection and Response
• SOC評価：
  • CMM、SOC-CMM
  • Rabobank CDC、DeTTECT
  • SANS、Continous purple teaming

CERT/CSIRT向け

• 全体像:
  • SANS、インシデントレスポンス
  • FlexibleIR、IRフェーズ
• CSIRT構築:
  • FIRST、CERT-in-a-box
  • FIRST、CSIRTサービスフレームワーク
• セキュリティインシデント対応管理:
  • ENISA、インシデント管理のグッドプラクティス
  • EE-ISAC インシデントレスポンスホワイトペーパー
  • LinkedIn Pulse、ISO 27035に基づくセキュリティインシデント管理
  • Microsoft/EY/Edelman、インシデントレスポンスリファレンスガイド
  • Microsoft、クラウドID侵害の防止に関するIRの教訓
• フォレンジック:
  • NIST、SP800-86、フォレンジック技術のIRへの統合
  • ForensicsArtefacts
  • ForensicsWiki
• インシデントレスポンスプレイブックと方法論:
  • Kaspersky、インシデントレスポンスプレイブック: ダークウェブ侵害
  • CISA、インシデントレスポンスプレイブック
  • CERT-SG、インシデントレスポンス方法論