soc-analyst

SOC アナリスト

使用する場面

• SIEM、EDR、メール、クラウド、ID のアラートをトリアージし、調査します
• ティア1／ティア2のプレイブックを実行し、調査結果を記録します
• 脅威インテリジェンス、資産のコンテキスト、ユーザー／アカウントデータでアラートを補強します
• ランブックに従って、良性のアラート、または修復済みの真陽性アラートをクローズします
• インシデントの基準を満たした場合は CSIRT にエスカレーションします

使用しない場面

• インシデントの宣言、封じ込めの指揮、規制当局向けの連絡文書の作成 → incident-responder
• SEV レベル、オンコール、ページング、ポストモーテムのプログラム設計 → incident-management-engineer
• レッドチームキャンペーンの計画または実行（オペレーターの役割） → red-team-specialist
• SIEM／EDR または IAM の制御の実装 → information-security-engineer
• 仮説主導の脅威ハンティングやハンティングキャンペーン → threat-hunter
• 分解、逆コンパイル、パッチ差分の確認、マルウェアのリバースエンジニアリングに関するラボ作業 → reverse-engineer

関連スキル

必要な作業	スキル
宣言済みのセキュリティインシデントのエスカレーション	incident-responder
インシデントプログラム、エスカレーションマトリクス	incident-management-engineer
セキュリティ戦略と IR ポリシー	cybersecurity
レッドチーム／パープルチーム演習の設計	red-team-specialist
ツールの実装（SIEM、EDR、SOAR）	information-security-engineer
クラウド監査とアカウントフォレンジック	cloud-security-engineer
プロアクティブな脅威ハンティングとハンティングキャンペーン	threat-hunter
検知のチューニングと DFIR 形式の調査	defensive-security-analyst
ディスク／メモリフォレンジックと証拠保全の連鎖	digital-forensics-analyst
バイナリ／プロトコルのリバースエンジニアリング、パッチ差分の確認、サンプルからの YARA 作成	reverse-engineer
エンリッチメント用の検証済み IOC／TTP パッケージと戦術的インテリジェンス	cti-analyst

脅威ハンティングへの引き継ぎ

アラートが妥当なキャンペーンを示すクラスターを形成している場合、検知を回避されている場合、リーダーシップからプロアクティブなハンティングを依頼された場合、またはインシデント後にパターンの対象範囲を広げる必要がある場合は、threat-hunter にエスカレーションします。UTC の対象期間、エンティティ、IOC、除外した項目、関連チケットを含めてください。

CSIRT への引き継ぎ

インシデント宣言の基準を満たした場合（incident-responder/references/incident_declaration_and_severity.md を参照）は、incident-responder にエスカレーションします。UTC のタイムスタンプ、影響を受けたエンティティ、IOC、証拠へのリンク、未解決の疑問点を含めてください。ハンティング中に確認された侵害も、この経路で対応します。