Awesome SOC

SOC（CSIRTを含む）を構築し、運用し、成熟させるための運用ハンドブック兼ナレッジベース。以下をカバーしています：

• SOCの基礎
• 検知エンジニアリング
• 脅威インテリジェンス
• SOCメトリクス/KPI
• SOC自動化
• AIのユースケースとベストプラクティス
• SOP（SOCプレイブック）

これらは、SOC/CSIRTアナリストおよびチームマネージャーとしての自身の経験、ならびに著名な論文に基づく私の見解です。CERT/CSIRTよりもSOCに重点を置いています。

私のモットーは、対応（レスポンス）がなければ、検知は無意味である、というものです。

注：一般的に言えば、ここでのSOCは検知活動を指し、CERT/CSIRTはインシデント対応活動を指します。CERTは（かつての）米国のよく知られた商標であり、CERT-CCによって管理されていますが、私はインシデント対応を正確に指すCSIRTという用語を好みます。

目次

• 必読
• 基本概念
• ミッションクリティカルな手段（ツール/センサー）
• SOCの内部/コア
• AI（ML、LLM、GenAI、Agentic AI）
• IT/セキュリティ監視
• SOAR
• 検知エンジニアリング
• 脅威インテリジェンス
• プレイブック/SOP
• SOCメトリクス（KPI/SLA）
• SOCマネジメント
• 人事とトレーニング
• ITアーキテクチャ
• さらに進むために（次のステップ）
• 付録

必読

SOC向け

• SOC構築:
  • MITRE, 11 strategies for a world-class SOC（またはローカルファイルを使用）：パート0（基礎）。
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• 面接に向けたSOCトレーニング:
  • LetsDefend SOC analyst interview questions
• SOCマネジメント:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• SOC評価:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

CERT/CSIRT向け

• 全体像:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• CSIRT構築:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• セキュリティインシデント対応マネジメント:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• フォレンジック:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• インシデント対応プレイブックと方法論:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology