【入門編】 SOARによるフィッシングメール対応の自動化プレイブック – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！SOC（セキュリティ・オペレーション・センター）で日夜インシデントと格闘しているアナリストの私です。

「またフィッシングメールが届いた……！」「全社員の受信トレイからこのメールを一斉に消去しなきゃいけないのに、手作業だと時間がかかるしミスも怖い！」――そんな焦りを感じたことはありませんか？

セキュリティの世界では、巧妙化するフィッシングメールとの戦いは日常茶飯事です。特に、新人のIT担当者や開発者の皆さんにとっては、次から次へと飛んでくる怪しいメールへの対応だけで、本来やりたい開発やインフラの仕事が止まってしまうことも多いはず。

そこで今回は、SOAR（Security Orchestration, Automation, and Response）という魔法のような自動化ツールを使って、フィッシングメール対応を完全に自動化する「プレイブック（手順書）」の作り方を、身近な防犯の仕組みに例えながら優しく紐解いていきたいと思います。

一歩ずつ、安心して読み進めてくださいね！

—

1. 家の防犯に例える「フィッシングメール自動化」の仕組み

まずは、フィッシングメールが私たちのオフィスに届き、どうやって被害をもたらそうとするのか、そしてそれを「自動化ツール（SOAR）」がどう防いでくれるのかを、身近な「一軒家の防犯」に例えて考えてみましょう。

攻撃のメカニズム：巧妙な「ニセの合鍵」

フィッシングメールとは、銀行や配送業者などを装って、あなたを巧妙に「ニセのログイン画面」へと誘導し、パスワード（家の合鍵）をそっと盗み出す手口です。
泥棒（攻撃者）は、パッと見では本物そっくりの制服（メールの見た目）を着てやってくるため、人間が目で見ただけでは本物か偽物かを見分けるのが非常に難しくなっています。

従来の悩み：手動の「見回り」では限界がある

今までは、怪しいメールが報告されると、IT担当者がわざわざ席を立ち、以下のような作業を1件ずつ手作業で行っていました。
1. メールの裏側（ヘッダー）を覗いて、本当の差出人を確認する
2. メールに書かれている怪しいURLを、安全な小部屋（サンドボックス）で実際に踏んでみて挙動を見る
3. URLの「住所（IPアドレス）」が、過去に悪事を働いたワルい奴のリスト（レピュテーション）に載っていないか調べる
4. ワルい奴だと分かったら、会社中のメールボックスを走って回って、該当のメールを1通ずつ回収する

……これ、毎日何十件も来たら、人間の方が先に倒れてしまいますよね？

救世主「SOAR」：自動化の警備システム

そこで登場するのが SOAR です。SOARは、人間がやっていた上記の「確認」「調査」「回収」の一連の流れを、すべてロボット（自動化プレイブック）に代行させる仕組みです。
例えるなら、「怪しい来訪者が来たら、AIカメラが瞬時に身元を調べ、怪しければ自動で家の鍵をすべてロックし、郵便受けから該当のチラシを秒速で回収してくれるハイテク防犯システム」と言えます。

—

2. フィッシング対応プレイブックの全体像

今回作成する自動化プレイブックは、社員から「怪しいメールが届いた！」と報告（ボタンクリックなど）があった瞬間に動き出します。

ワークフローの大きな流れは以下の通りです。

1. トリガー（起動）： ユーザーからのフィッシング報告を受信
2. ステップ1：メールヘッダー解析（本当の差出人や経由サーバーを確認）
3. ステップ2：URLの抽出とサンドボックス実行（怪しいリンクを安全に事前調査）
4. ステップ3：IPレピュテーション照会（外部の脅威データベースでIPの黒幕度をチェック）
5. ステップ4：自動判定と全社一括削除（悪性と判定された場合、全メールボックスから自動消去）

それでは、このワークフローを具体的なSOARのスクリプト（Pythonを用いた自動化コードのイメージ）として見ていきましょう。小難しい用語が出てきても、コメントを丁寧に添えていますので安心してくださいね！

—

3. 実装コード例：SOARプレイブックの内部ロジック

実際のSOARプラットフォーム（Cortex XSOARやSplunk SOARなど）では、Pythonやビジュアルエディタを使ってこのような処理を組み立てます。今回は、全体の流れが直感的にわかるPythonのサンプルコードを用意しました。

import requests
import json

# ==========================================
# 設定情報（APIキーやエンドポイント）
# ==========================================
# 外部の脅威情報サービス（例: VirusTotalなど）のAPIキー
THREAT_INTEL_API_KEY = "your_api_key_here"
# メールサーバーの管理API（例: Microsoft Graph APIなど）
MAIL_SERVER_API = "https://graph.microsoft.com/v1.0/admin/mail"

def parse_email_header(email_raw_data):
    """
    【ステップ1】メールヘッダー解析
    メールの裏側に隠された「本当の経由ルート」を暴きます。
    """
    print("[*] メールヘッダーの解析を開始します...")
    
    # 実際にはここでFrom、Return-Path、Receivedヘッダーなどを抽出し、
    # 差出人の偽装（スプーフィング）がないかをチェックします。
    header_info = {
        "sender": "fake-support@bank-secure-login.com",
        "return_path": "malicious-server.ru",
        "spf_result": "fail"  # SPF認証が失敗している（偽物の可能性大！）
    }
    
    return header_info

def check_url_in_sandbox(target_url):
    """
    【ステップ2 & 3】URLのサンドボックス実行とIPレピュテーション照会
    怪しいURLを安全な檻（サンドボックス）の中で開き、裏で悪い奴か調べます。
    """
    print(f"[*] URLの安全性を調査中: {target_url}")
    
    # 外部のレピュテーションAPIに問い合わせるモック処理
    headers = {"x-apikey": THREAT_INTEL_API_KEY}
    # 例として安全ではないと判定されたと仮定
    is_malicious = True 
    
    return is_malicious

def purge_phishing_email(message_id):
    """
    【ステップ4】該当メールの全社一括削除
    悪性と判定された場合、全社員の受信トレイから速やかに消し去ります。
    """
    print(f"[*] 危険なメール (ID: {message_id}) を全社一括削除します...")
    
    # メールサーバーに対して、該当のメッセージIDを持つメールを検索・削除するAPIリクエストを送信
    # payload = {"messageId": message_id}
    # response = requests.post(f"{MAIL_SERVER_API}/delete", json=payload, headers=headers)
    
    print("[+] 削除が完了しました。被害を未然に防ぎました！")

# ==========================================
# メインのプレイブック実行フロー
# ==========================================
def run_phishing_incident_playbook(reported_email):
    print("--- フィッシング対応自動化プレイブックが起動しました ---")
    
    # 1. ヘッダー解析
    header_data = parse_email_header(reported_email)
    
    # 2. メール本文からURLを抽出（ここでは仮のURL）
    extracted_url = "http://bank-secure-login.com/update"
    
    # 3. 脅威判定
    malicious_flag = check_url_in_sandbox(extracted_url)
    
    # 4. 判定結果に基づくアクション
    if malicious_flag or header_data["spf_result"] == "fail":
        print("[!] 警告: このメールはフィッシング攻撃と断定されました！")
        
        # 全社一括削除のアクションを実行
        purge_phishing_email(reported_email.get("message_id", "MSG-2023-9999"))
    else:
        print("[+] このメールは安全であると確認されました。通常フローに戻ります。")

# テスト実行用のダミーデータ
sample_reported_email = {
    "message_id": "MSG-2023-9999",
    "subject": "【緊急】アカウントの有効期限が切れます",
    "body": "以下のリンクからログインしてください..."
}

if __name__ == "__main__":
    run_phishing_incident_playbook(sample_reported_email)

—

4. 現場で役立つ！運用時のちょっとしたコツと注意点

自動化プレイブックを導入するにあたり、現場のSOCアナリストやIT担当者として知っておいてほしい「生きた知見」をいくつかシェアしておきますね。

① 最初は「完全自動」ではなく「半自動（承認フロー）」から始めよう

「全社一括削除」を完全にロボット任せにしてしまうと、万が一、本当に重要な正規のメール（例えば、社内システムのアップデート通知など）を誤って「フィッシング」と判定して消してしまう（誤検知・False Positive）という大惨事（いわゆる「オート・セルフ・DDoS」状態）を引き起こすリスクがあります。
慣れるまでは、「調査までは自動で行い、最後の削除ボタンだけは人間の担当者がポチッと押す（Human-in-the-loop）」という半自動のプレイブックから始めるのが、夜ぐっすり眠るための秘訣です。

② 防御ヘッダー（SPF, DKIM, DMARC）の味方につけ方

メールの裏側には、そのメールが本物であることを証明するための「デジタル印鑑」のような仕組み（SPF、DKIM、DMARC）があります。
プレイブックの中で、これらの認証結果（spf_resultなど）を必ずチェック項目に入れておきましょう。「差出人は有名銀行なのに、印鑑が全く押されていない（または偽物）」という矛盾を自動で見つけ出せるようになると、検知の精度が劇的に跳ね上がります。

—

おわりに

いかがでしたでしょうか？
「SOARによる自動化」と聞くと、なんだかSF映画に出てくるような難解な技術に聞こえるかもしれませんが、やっていることは「人間が手作業で行っていた面倒なチェックと消去作業のルーティンを、コードやワークフローに置き換えているだけ」なのです。

新人の皆さんも、まずは小さなスクリプトや、簡単な自動化ツールの一部分から触れてみてください。一つひとつ仕組みを理解していけば、必ず頼りになるセキュリティ担当者へ成長できますよ。

それでは、今日も安全で快適なデジタルライフを！次回の記事もお楽しみに！

スポンサーリンク

コメント

タイトルとURLをコピーしました