SHIFT SECURITYがSOC事業に進出、MITRE ATT&CKをもとにSOCオペレータ業務標準化に挑む

脆弱性診断サービスを提供する株式会社SHIFT SECURITYが来春2021年からSOC事業に進出することが関係者への取材で明らかになった。北米とアジア及び宮崎県にSOCを設けて「Follow the Sun体制」で24時間不休のTier1サービスを提供する。第一号顧客に対してすでにサービス提供を開始しており、一般に向けたサービスは2021年1月スタート予定だという。

後発のSOCサービスとして同社が考える差別化ポイントは「適正価格」「サービスの均質性」のふたつ。

地価の高い都内近郊ではなく宮崎県に日本の拠点を置き、海外拠点も活用する。また、同社の得意とする、熟練技術者が保有するノウハウの標準化を通して、オペレーターの熟練度の違いによるアウトプットのバラツキを排除するという。

同社執行役員中村丈洋工学博士によれば、現在のSOCサービスでは、同じシグニチャあるいは同じシチュエーションなのにも関わらず、オペレーターの経験年数や知識水準の差によってアラートタイトルが「偵察」だったり「イニシャルアクセス」だったりと異なる場合があり、アラートのディスクリプションも千差万別。同社サービスはそれを排除する。

2016年に創業したSHIFT SECURITY社が最初に取り組んだのが、脆弱性診断士の能力差による成果物のバラツキを、診断作業を標準化し排除することだったが、今回はそれをSOCサービスに展開する。

脆弱性診断業務の標準化の際に同社が基準としたのはOWASP ASVSだったが、今回SOC業務の標準化ではMITRE ATT&CKを基準として参照するという。

脆弱性診断の標準化では、脆弱性診断士と、対象となるWebアプリケーション等の一対一の関係であるため、熟練の脆弱性診断士が脳内で行っていることを棚卸しして単に整理すればよかった。

しかしSOC業務の場合、まず監視対象のネットワーク内に多種多様な機器やセンサーが存在し、それぞれが、例えるならスペイン語ギリシャ語フランス語等構造は似ているもののめいめい勝手な言葉を話しており、それをSplunk等のSIEMが、言語のたとえをつづけるとしたら、ざっくり英語にまとめ、その結果を人間のオペレーターが見てシステム管理者向けの報告を行う。

SHIFT SECURITYは現在のSOC業務の、人間のオペレーターによる報告記述プロセス部分を、MITRE ATT&CKを基盤にして標準化に取り組む。前回の脆弱性診断業務標準化の比ではない繁雑さとなるだろう。

標準化はアウトプットの均質化以外に採用障壁の低下とそれにともなうサービスの安定適宜供給という副産物を生み出す。手作業で自動車を製造しようとすると熟練の職人の存在が欠かせず製造台数も限られるが、標準化され高度にロボット化された工場なら一定の訓練さえ受ければ誰でも自動車製造に携わることが可能になるばかりか大量生産による価格低下とサービスの大衆化が実現する。多くの雇用も生み出す。SHIFT SECURITYは創業から4年で現在約200名の脆弱性診断士を直接雇用しているが、200名のほとんど全員がそれまでセキュリティ技術者としての経験を持たず、それどころか技術者やプログラマーとしての教育を受けた経験すら持たないものも多い。洋菓子職人やコンビニ店長だった人物が診断士として活躍している。

SOC等のネットワーク監視事業の日本国内の市場規模は脆弱性診断市場よりも大きく、スポットで行われることも多い診断と異なりSOCは一定期間の契約となるため、企業にとっては事業規模拡大の大きなチャンスとなる。脆弱性診断で一定の成果を挙げつつある同社だが、果たして2匹目のドジョウをSOCサービス領域でつかまえることができるのか。