【入門編】インシデント対応計画(IRP)におけるプレイブックの自動化 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド

泥棒が玄関をこじ開ける前に「自動でシャッター」を下ろす方法：SOARで叶える究極の防犯

こんにちは！セキュリティの世界へようこそ。
普段、エンジニアとして開発やインフラ管理をしていると、「セキュリティ対策」という言葉に少し身構えてしまうことはありませんか？

「設定が難しそう」「何から手をつければいいのか分からない」。そんな皆さんのために、今回はインシデント対応の自動化（SOAR）という、少し未来感のある技術を、身近な「防犯」の例えを使って紐解いていきましょう。

—

1. SOARって何？：家の防犯で例えてみよう

皆さんの家を想像してみてください。
もし、玄関の鍵をピッキングしようとする怪しい奴がいたらどうしますか？

手動対応の場合： センサーが鳴る→スマホに通知が来る→急いで帰宅する→自分で警察を呼ぶ。
これだと、泥棒が侵入するまでに時間がかかりすぎてしまいますよね。
自動化（SOAR）の場合： センサーが「異常なピッキング」を検知→即座に玄関のシャッターを閉める＋警察への通報を自動で行う＋近所の防犯カメラを増強する。
これがSOAR（Security Orchestration, Automation, and Response）の世界です。

セキュリティの世界でも、怪しい動き（脅威）を検知した瞬間に、人間が操作するのを待たずして、システムが自動で「隔離」や「遮断」を行ってくれる仕組みです。これができれば、インシデント発生時の「初動の遅れ」という最大の弱点を補うことができます。

—

2. 現場で役立つ「自動化」のイメージ

例えば、社内のサーバーに対して、海外からの異常なログイン試行が何千回も行われているとします。これに人間が気づいて、IDを無効化してIPアドレスをブロックする…なんて作業をしているうちに、データは盗まれてしまいます。

そこで、以下のような「自動化プレイブック」を組んでおきます。

1. 検知： SIEM（セキュリティの監視役）が異常なアクセスを検知。
2. 判断： SOARが「これは攻撃だ！」と自動判定。
3. アクション： 該当するIPアドレスを、ファイアウォールの「遮断リスト」に自動追加。
4. 報告： 担当者に「〇〇をブロックしました」とチャットで通知。

これをコードの断片でイメージすると、こんな感じです（※概念的なPythonコードの例です）。

# 異常なIPアドレスを自動的にブロックリストへ追加するイメージ
def handle_incident(attacker_ip):
    # 1. ファイアウォールで該当IPを遮断する設定をAPIで叩く
    firewall.block_ip(attacker_ip)
    
    # 2. 該当ユーザーを強制的にログアウトさせる
    user_session.terminate(attacker_ip)
    
    # 3. Slack等でチームに報告
    slack.notify(f"警告: {attacker_ip} からの攻撃を検知し、自動遮断しました。")

# 実際の運用では、SIEMからのアラートを受け取った瞬間にこの関数が走ります

—

3. なぜ今、自動化が必要なのか？

「手動でいいじゃないか」と思うかもしれませんが、攻撃者は深夜でも休日でもお構いなしです。また、現代の攻撃は人間がキーボードを叩く速さよりも遥かに速く進みます。

特に、Web開発者であれば意識してほしいのが Content-Security-Policy (CSP) のような「防御ヘッダー」です。これらは「泥棒が入ってこないようにする頑丈な門」のようなものですが、SOARは「門を突破されそうになった時に、そのルートを即座に塞ぐガードマン」と言えます。

もし皆さんがWebサイトを作っているなら、まずはこのようなセキュリティヘッダーを付与することから始めてみてください。

<!-- サーバーの応答ヘッダー設定例（NginxやApacheで設定） -->
<!-- 信頼できるソースからのスクリプトしか実行させない強力な盾です -->
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com;

—

4. 一歩ずつ、自動化へ踏み出そう

「自動化」と聞くと、すべてを機械任せにするような不安を感じるかもしれません。でも、まずは「よくある単純な攻撃（パスワードの総当たりなど）」から自動でブロックするという小さな一歩からで十分です。

まずは記録をつける： どんな攻撃が、いつ、どこから来ているかを把握しましょう。
ルールを決める： 「この条件なら、この対応をする」という手順書（プレイブック）を紙に書き出しましょう。
自動化を検討する： 手順が固まったら、それをスクリプトやツールに置き換えていく。

セキュリティは「完璧な防御」を目指すことではなく、「脅威に対して、どれだけ早く、賢く立ち直れるか」という準備の積み重ねです。

最初は難しく感じるかもしれませんが、大丈夫です。一歩ずつ、皆さんのシステムをより強固で安心できるものにしていきましょう。何か具体的な設定で迷ったら、いつでもまた相談してくださいね！