shift-handover

SOC シフト引き継ぎ

概要

このスキルを使うと、SOC アナリストはアナリストの交代時に業務を継続できるよう、包括的なシフト引き継ぎレポートを作成できます。進行中のインシデント、未完了のタスク、最近のエスカレーション、重要な所見を集約することで、次のチームは現在のセキュリティ状況を完全に把握できます。

主な機能：

• 進行中のすべてのセキュリティインシデントを優先度と状態別に要約する
• 前のシフトから引き継ぐ未完了タスクと担当者を特定する
• 最近のエスカレーションと優先度の変更を強調する
• 停滞中または長期化しているインシデントを明らかにし、フォローアップが必要なものを示す
• 重要なオブザーバブルと脅威インテリジェンスの更新をまとめる
• 次のシフト向けに、構成された引き継ぎ文書を作成する

使用するタイミング： 各 SOC アナリストのシフト終了時、または進行中のセキュリティ運用の責任を別のチームやアナリストに移すとき。

前提条件

• ロール： sn_si.analyst、sn_si.manager
• アクセス権： sn_si_incident、sn_si_task、sn_si_incident_task、sn_ti_observable、sys_journal_field テーブルへの読み取りアクセス
• プラグイン： Security Incident Response (sn_si)、Threat Intelligence (sn_ti)
• データ： 担当グループと作業メモが入力された、進行中のセキュリティインシデント

手順

ステップ 1：進行中のセキュリティインシデントをすべて取得する

現在の作業負荷を把握するため、すべてのオープンなセキュリティインシデントを優先度順に取得します。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: active=true^ORDERBYpriority
  fields: sys_id,number,short_description,priority,state,category,subcategory,assigned_to,assignment_group,cmdb_ci,opened_at,business_criticality,risk_score
  limit: 100

REST を使用：

GET /api/now/table/sn_si_incident?sysparm_query=active=true^ORDERBYpriority&sysparm_fields=sys_id,number,short_description,priority,state,category,subcategory,assigned_to,assignment_group,cmdb_ci,opened_at,business_criticality,risk_score&sysparm_limit=100&sysparm_display_value=true

ステップ 2：現在のシフト中に作成または更新されたインシデントを特定する

前のシフトの時間帯（例：直近 8 時間）に作成または変更されたインシデントを絞り込みます。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: sys_updated_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)^active=true
  fields: sys_id,number,short_description,priority,state,category,assigned_to,sys_updated_on,opened_at
  limit: 50

REST を使用：

GET /api/now/table/sn_si_incident?sysparm_query=sys_updated_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)^active=true&sysparm_fields=sys_id,number,short_description,priority,state,category,assigned_to,sys_updated_on,opened_at&sysparm_limit=50&sysparm_display_value=true

ステップ 3：未完了のセキュリティタスクを取得する

進行中のセキュリティインシデントに関連する、すべてのオープンタスクを取得します。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_task
  query: active=true^ORDERBYpriority
  fields: sys_id,number,short_description,state,priority,assigned_to,assignment_group,security_incident,due_date,sys_updated_on
  limit: 100

REST を使用：

GET /api/now/table/sn_si_task?sysparm_query=active=true^ORDERBYpriority&sysparm_fields=sys_id,number,short_description,state,priority,assigned_to,assignment_group,security_incident,due_date,sys_updated_on&sysparm_limit=100&sysparm_display_value=true

ステップ 4：最近のエスカレーションと優先度の変更を確認する

シフト中の優先度の変更とエスカレーションについて、監査ログを照会します。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sys_audit
  query: tablename=sn_si_incident^fieldname=priority^sys_created_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)
  fields: documentkey,fieldname,oldvalue,newvalue,sys_created_on,user
  limit: 50

REST を使用：

GET /api/now/table/sys_audit?sysparm_query=tablename=sn_si_incident^fieldname=priority^sys_created_onONLast 8 hours@javascript:gs.hoursAgoStart(8)@javascript:gs.hoursAgoEnd(0)&sysparm_fields=documentkey,fieldname,oldvalue,newvalue,sys_created_on,user&sysparm_limit=50

ステップ 5：停滞中または長期化しているインシデントを特定する

最近更新されておらず、フォローアップが必要と思われるインシデントを見つけます。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: active=true^sys_updated_on<javascript:gs.hoursAgo(24)^stateNOT IN6,7
  fields: sys_id,number,short_description,priority,state,assigned_to,sys_updated_on,opened_at
  limit: 50

REST を使用：

GET /api/now/table/sn_si_incident?sysparm_query=active=true^sys_updated_on<javascript:gs.hoursAgo(24)^stateNOT IN6,7&sysparm_fields=sys_id,number,short_description,priority,state,assigned_to,sys_updated_on,opened_at&sysparm_limit=50&sysparm_display_value=true

ステップ 6：重要なインシデントの最近の作業メモを収集する

優先度の高いインシデントの最新の作業メモを取得し、アナリストの状況認識を把握します。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sys_journal_field
  query: name=sn_si_incident^element=work_notes^element_id=[CRITICAL_INCIDENT_SYS_ID]^ORDERBYDESCsys_created_on
  fields: value,sys_created_on,sys_created_by
  limit: 10

REST を使用：

GET /api/now/table/sys_journal_field?sysparm_query=name=sn_si_incident^element=work_notes^element_id=[CRITICAL_INCIDENT_SYS_ID]^ORDERBYDESCsys_created_on&sysparm_fields=value,sys_created_on,sys_created_by&sysparm_limit=10

ステップ 7：現在進行中の脆弱性悪用を確認する

監視が必要な可能性がある、現在悪用されている脆弱性を特定します。

MCP を使用：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_vulnerable_item
  query: stateINOpen,Under Investigation^risk_score>=80
  fields: sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found,last_found
  limit: 20

REST を使用：

GET /api/now/table/sn_vul_vulnerable_item?sysparm_query=stateINOpen,Under Investigation^risk_score>=80&sysparm_fields=sys_id,vulnerability,cmdb_ci,state,risk_score,cvss_score,first_found,last_found&sysparm_limit=20&sysparm_display_value=true

ステップ 8：シフト引き継ぎレポートをまとめて文書化する

収集した情報をすべて、構成された引き継ぎ文書にまとめます。

MCP を使用：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [PRIMARY_INCIDENT_SYS_ID]
  work_notes: |
    === SOC SHIFT HANDOVER REPORT ===
    Shift: Day Shift (06:00 - 14:00) | Date: 2026-03-19
    Outgoing Analyst: J. Smith | Incoming Analyst: A. Johnson

    ACTIVE INCIDENTS SUMMARY:
    Total Active: 12 | Critical/P1: 2 | High/P2: 4 | Medium/P3: 5 | Low/P4: 1

    CRITICAL INCIDENTS REQUIRING IMMEDIATE ATTENTION:
    1. SIR0008901 (P1) - Active ransomware on FILESVR-03
       Status: Containment in progress
       Last Action: Isolated server from network, forensic image initiated
       Next Steps: Complete forensic capture, begin malware analysis
       Assigned: T. Williams

    2. SIR0008923 (P1) - Data exfiltration detected on DB-PROD-01
       Status: Investigation
       Last Action: Identified C2 communication to 198.51.100.45
       Next Steps: Block C2 at firewall, assess data loss scope
       Assigned: K. Chen

    NEW INCIDENTS THIS SHIFT:
    - SIR0008950 (P3) - Phishing email reported by HR dept
    - SIR0008951 (P2) - Unauthorized admin account created on AD
    - SIR0008952 (P3) - Suspicious outbound DNS queries from WS-0456

    ESCALATIONS DURING SHIFT:
    - SIR0008923: Escalated P2 → P1 at 10:30 due to confirmed exfiltration

    STALLED INCIDENTS (no update >24h):
    - SIR0008890 (P3) - Awaiting endpoint scan results from IT
    - SIR0008875 (P3) - Pending vendor response on false positive

    PENDING TASKS:
    - SITASK0012345: Collect memory dump from WS-0234 (Due: today)
    - SITASK0012350: Review firewall logs for SIR0008923 (Due: today)
    - SITASK0012355: Update IOC blocklist (Due: tomorrow)

    HIGH-RISK VULNERABILITIES UNDER WATCH:
    - CVE-2025-44123 (CVSS 9.8) on WEBSVR-01 - Exploit available, patch pending
    - CVE-2025-33456 (CVSS 8.5) on DB-PROD-02 - Under investigation

    NOTES FOR INCOMING TEAM:
    - Management briefing scheduled for 15:00 on SIR0008923
    - New Palo Alto IOC feed integration went live at 12:00 - monitor for issues
    - Analyst M. Davis is OOO tomorrow - redistribute tasks

ツールの使用

ツール	用途
SN-Query-Table	進行中のインシデント、タスク、監査エントリ、脆弱性を取得する
SN-Get-Record	優先度の高い特定のインシデントに関する詳細情報を取得する
SN-Add-Work-Notes	関連するインシデントレコードに引き継ぎレポートを記録する
SN-Natural-Language-Search	インシデントを素早く検索するための自然言語クエリ

ベストプラクティス

• 引き継ぎ形式を標準化し、後任のアナリストが重要項目をすばやく確認できるようにします
• 実行可能な項目をレポートの先頭に配置し、重大なインシデントや時間制約のあるタスクを優先します
• ステータスだけでなく背景情報も含め、重大なインシデントごとに直近のアナリストのメモと次のステップを要約します
• 停滞しているインシデントには明確にフラグを付け、シフト交代時に見落とされないようにします
• シフト中に発生した新しいインテグレーション、ツールの停止、ポリシーの変更など、環境の変化を記録します
• 誰が休暇中か、新しいチームメンバー、カバー体制の不足など、人員に関するメモを記録します
• 重要な詳細を漏らさずにレポートを簡潔に保ちます。箇条書きを使った、ざっと確認できるセクションを目指します
• 後任チームが情報の新しさを把握できるよう、すべての項目にタイムスタンプを付けます

トラブルシューティング

シフト時間帯にインシデントが見つからない

原因： 時間フィルターが実際のシフト時間と一致していないか、タイムゾーンの違いにより結果がずれている可能性があります。 解決策： hoursAgo の値を調整するか、BETWEEN 演算子を使って明示的な日時の範囲を指定します。インスタンスのタイムゾーンが SOC のタイムゾーンと一致していることを確認してください。

監査ログに優先度の変更が表示されない

原因： sys_audit テーブルに保持ポリシーが設定されており、古いレコードが削除されているか、優先度フィールドの監査が有効になっていない可能性があります。 解決策： sn_si_incident テーブルの sys_audit 設定を確認してください。または、sys_journal_field を照会して、エスカレーションに言及している作業メモを検索してください。

作業メモが途切れている、または見つからない

原因： ジャーナルフィールドにはサイズ制限があり、古いエントリがアーカイブされている可能性があります。 解決策： クエリの上限を増やすか、結果をページネーションで取得してください。インスタンスでジャーナルエントリのアーカイブが設定されているか確認してください。

例

例 1：日勤から夜勤への標準的な引き継ぎ

1. シフトが 18:00 に終了する前の 17:45 に、すべてのアクティブなインシデントを照会する
2. 06:00～18:00 の時間帯に更新されたインシデントを絞り込む
3. 期限が今日または明日の保留中タスクを取得する
4. シフト中にエスカレーションがあったか監査ログを確認する
5. 24 時間以上更新されていない停滞中のインシデントを特定する
6. レポートをまとめ、各重大インシデントの作業メモとして投稿する
7. P1 インシデント 2 件について、後任のアナリストに口頭で説明する

例 2：シフト途中の緊急引き継ぎ

1. アナリストがアクティブな P1 インシデントの対応中に、予期せず離席しなければならない
2. 担当するすべてのインシデントの現在の状態をすばやく取得する
3. 状況を把握するため、各アクティブなインシデントの直近 5 件の作業メモを収集する
4. 現在進行中の封じ込め措置を記録する
5. 別のアナリストがすぐに引き継ぐ必要のあるタスクを特定する
6. 簡潔な引き継ぎメモを投稿し、SOC マネージャーに通知する

関連スキル

• secops/correlation-insights - 引き継ぎで言及されているインシデントを関連付ける
• secops/incident-summarization - 引き継ぎ項目の詳細な要約を作成する
• secops/post-incident-analysis - 以前のシフトで完了したインシデントを確認する
• secops/metrics-analysis - シフトのパフォーマンス指標を経時的に追跡する
• security/incident-response - セキュリティインシデント対応手順