SIEMとSOARは、それぞれ異なる運用課題に対処する別個のセキュリティ技術カテゴリであり、成熟したセキュリティオペレーションセンターの多くは両方を導入しています。混同が生じるのは、この2つがしばしばセットで購入され、密に統合され、ときには一体のプラットフォームとして売り出されるからです。
この区別は、自社のセキュリティスタックを評価するとき、移行を計画するとき、あるいは現在のアーキテクチャがなぜ期待どおりに機能していないのかを理解しようとするときに効いてきます。
SIEMとは
SIEM（Security Information and Event Management、セキュリティ情報イベント管理）は、環境全体からログとイベントのデータを集約し、ルールと相関ロジックを適用して不審な活動を検知し、アナリストが確認すべきアラートを提示するプラットフォームです。中核となる機能は、ログの収集、正規化、保管、そして検知です。
SIEMの主眼は可視性にあります。ファイアウォールのログ、認証イベント、エンドポイントのテレメトリ、クラウドAPIの活動といった生データを収集し、それを検知ルールに照らして処理し、攻撃を示唆しうるパターンを特定します。ルールが発火すると、アナリストのキューに振り分けられるアラートが生成されます。現代のSIEM製品には通常、脅威ハンティングのための検索インターフェース、コンプライアンス報告用のダッシュボード、そして何らかのケース管理機能が備わっています。その土台にあるモデルは受動的です。SIEMが検出結果を提示し、それをどうするかは人間のアナリストが判断します。
SOARとは
SOAR（Security Orchestration, Automation, and Response、セキュリティのオーケストレーション・自動化・対応）は、検知の後に続く対応ワークフローを自動化するプラットフォームです。SIEMがアラートを提示することに主眼を置くのに対し、SOARが焦点を当てるのはその次に起きることです。すなわち、外部ソースの情報でアラートを補強し、適切なアナリストに振り分け、定義された対応アクションを実行し、完了まで作業を追跡することです。
SOARプラットフォームはプレイブックを実行します。これは自動化されたワークフローで、たとえば脅威インテリジェンスのデータベースに問い合わせ、そのIPが既知の悪性フィードに含まれるかを確認し、ユーザーの役割とリスクプロファイルを調べ、関連する文脈をすべて添えて検出結果をエスカレーションするか、アナリストの確認に回すか、といった処理を行います。目的は、アラートから解決までの手作業を減らすことです。アナリストが調査を始める前に複数のシステムを手で回って文脈を集めるのではなく、SOARがその文脈を自動的に組み立てます。
本質的な違い
SIEMは脅威を「見る」。SOARはそれに「対応する」。
SIEMは検知のレイヤーです。データを監視し、ロジックを適用し、何かおかしいと見ればアラートを上げます。SOARは対応のレイヤーであり、そのアラートを受け取って、定義されたプロセスに沿って検出結果を評価し、対処します。実務では、多くの組織がこの2つを直列に運用しています。SIEMがアラートを生成し、そのアラートがSOARのプレイブックを起動し、プレイブックが検出結果を補強して振り分け、最終的な判断をアナリストが下す、という流れです。
2つはどう連携するか
SIEMとSOARの統合モデルは十分に確立されています。SIEMがアラートを発火させ、SOARがWebhookやAPI経由でそれを取り込みます。そしてプレイブックが動き出します。脅威インテリジェンスを取得し、Active Directoryに問い合わせてユーザーの役割と直近の活動を調べ、その資産に他の最近のアラートがないかを確認し、検出結果の重大度をスコアリングします。確度の高い検出結果は、補強済みの状態でアナリストのキューに振り分けられます。アカウントの無効化、エンドポイントの隔離、IPのブロックといった定義済みの封じ込めアクションは、ポリシーが許す範囲で自動実行できます。
このアーキテクチャは機能しますが、明確な限界もあります。SOARのプレイブックは脆いのです。特定のシナリオ向けに作られており、APIが変わると壊れ、維持には専任のエンジニアリングリソースを要します。新しい脅威シナリオが現れるたびに、新しいプレイブックが必要になります。そしてSOARの有効性は、SIEMが提示するものの品質に全面的に依存します。検知がノイズを出しすぎれば、SOARはノイズの処理を自動化するだけです。
Verizon データ漏洩調査報告書（DBIR）は、SIEMとSOARへの投資にもかかわらずアラート件数が減っていないことを一貫して示しています。検知と対応のワークフローは、多くのチームが処理できる量を超える作業を生み出しており、アナリストの燃え尽きと検知の取りこぼしが慢性的な問題であり続けているのはこのためです。
SIEM、SOAR、そしてXDR
XDR（Extended Detection and Response）は、SIEMとSOARの双方に対する代替ないし置き換えとして位置づけられることが多いため、文脈の中に置いておく価値があります。XDRはエンドポイント、ネットワーク、IDを横断してテレメトリを相関させ、脅威を提示します。XDRは主として検知技術ですが、従来のログベースのSIEMよりも精度の高い行動データを扱う点が異なります。
実務における3者の機能分担は、次のようになります。SIEMはほぼあらゆるソースからログを集約するため、コンプライアンス用途や複雑な環境全体の可視化に適しています。XDRは、エンドポイントエージェント、ネットワークセンサー、IDプロバイダーといった特定のセキュリティ機構から得られる精度の高いテレメトリに焦点を当て、通常はより少なく確度の高い検知を生み出します。SOARはその両方の上に位置し、検知ツールが提示したものに対して動く自動化とオーケストレーションのレイヤーを担います。それぞれが異なる運用課題に対処しており、どれか1つを外せば、残りが本来想定されていない形で穴を埋めなければなりません。
現在では、検知と対応の機能を単一プラットフォームに束ねるベンダーも現れています。その簡素化が複雑な企業環境の網羅性要件に耐えられるのかは、どんな評価においても問いただす価値があります。次世代SIEMの解説では、このアーキテクチャの収束がどのように進んでいるかを取り上げています。
SIEM＋SOARというモデルが見直されている理由
SIEMとSOARを組み合わせるアーキテクチャは、この10年、セキュリティ運用をよく支えてきました。しかし環境の変化に伴い、その限界がより鮮明になりつつあります。
クラウドとSaaSの環境は、SIEMの取り込みモデルを圧迫する量のログを生成します。攻撃手法も、マルウェアを展開するのではなく正規のサービスやIDを悪用する方向へ進化しており、主にルールベースの相関分析は新規の手法に対してますます効きにくくなっています。NISTのセキュリティ運用ガイダンスは、現代の脅威を捉えるうえで行動ベースの検知が不可欠であると強調しています。
SOARの側では、プレイブックというモデルが未知の攻撃シナリオにスケールしません。攻撃者は、静的なワークフローのライブラリで網羅し続けられるほど予測可能なパターンには従わないからです。新しい手法が現れても、誰かが作るまでそれに対応するプレイブックは存在しません。そして、それを作るには時間がかかります——防御側に常にある時間ではありません。
これに対するベンダーの答えは、両カテゴリへのAIの組み込みでした。SIEMにはAI支援の相関分析を、SOARにはAIが推奨する対応アクションを、というわけです。これは確かな改善ですが、あくまで漸進的なものです。ルールベースの検知とプレイブック駆動の対応に依存したままのシステムにAIレイヤーを重ねても、基本的な動作モデルは変わりません。
AIネイティブなセキュリティ運用が変えるもの
エージェンティックAIプラットフォームは、異なるアーキテクチャのアプローチを示します。ルールで脅威を検知しプレイブックで対応するのではなく、AIモデルが自組織の環境における「正常」を理解し、何が異常なのかを推論します。あらかじめ定義されたルールやプレイブックが存在しないシナリオも、その対象に含まれます。
エクサフォースはこのアプローチを採用しており、ユーザー・デバイス・クラウドリソースを横断する行動ベースの検知と、複雑な多段階の攻撃シーケンスをアナリストと同等の判断力で読み解く推論モデルを組み合わせています。その結果、主にルールベースのSIEMよりも件数が少なく確度の高い検出結果が得られ、調査の文脈も手作業ではなく自動的に組み立てられます。
とはいえ、従来型のSIEMとSOARが一夜にして時代遅れになるわけではありません。多くの組織には特定のSIEM機能に紐づいたコンプライアンス要件があり、SOARのプレイブックは今も価値のある反復作業を自動化しています。SIEM＋SOARのモデルがうまく機能する領域と、そのアーキテクチャを維持し続けることのトレードオフを理解することが、別のアーキテクチャが妥当かどうかを評価する出発点になります。
現在のセキュリティ運用アーキテクチャを評価しているチームには、SIEM と AI SOC の比較とSIEM置き換えガイドが、代替となるアプローチがどのようなものかを理解するための実践的な出発点になります。