令和6年度 秋期 情報処理安全確保支援士 午前II 問11

各選択肢の解説

ア

脅威インテリジェンスの活用、セキュリティ運用の自動化及びインシデント対応の効率化を行う技術

正しいです。SOARは、SIEMのアラートや脅威インテリジェンスを取り込み、プレイブックに沿って複数のセキュリティ製品を連携（オーケストレーション）させる技術です。調査や端末隔離などの定型対応を自動化（オートメーション）し、インシデント対応（レスポンス）を効率化します。

イ

全ての利用者,デバイス、接続元を信頼できないものとして捉え、重要な情報資産やシステムに対するアクセスの正当性や安全性の検証を自動化することによって脅威を防ぐ考え方

誤りです。これはゼロトラストの説明です。ネットワークの内外を問わず、全ての利用者・デバイス・接続元を信頼せずにアクセスごとに正当性を検証するというセキュリティの考え方です。セキュリティ運用やインシデント対応を自動化する技術であるSOARとは異なります。

ウ

組織間でサイバー攻撃に関する情報を効率的に交換するために、脅威情報構造化記述形式で記述された情報の交換を自動化するためのプロトコル仕様

誤りです。これはTAXIIの説明です。脅威情報構造化記述形式STIXで記述されたサイバー攻撃情報を、組織間で自動的に交換するためのプロトコル仕様です。SOARが脅威情報を取り込むときに使うことはありますが、SOARそのものではありません。

エ

ファイアウォール,マルウェア対策製品,侵入検知製品など複数のセキュリティ製品のログの集約及び相関分析を自動化するための専用装置

誤りです。これはSIEMの説明です。ファイアウォールやIDSなど複数製品のログを集約して相関分析し、脅威を検知するものです。検知後の対応手順を自動で実行してインシデント対応を効率化するSOARとは、役割が異なります。