CompTIA Security+（SY0-701） 無料問題 8 / 10 ・ 分野4: セキュリティ運用
SIEM が多数のアラートを出している。NIST SP 800-61 Rev. 3 が、有害な可能性のある事象をインシデントとして宣言する（declare）ときの考え方として述べるものはどれか。
- 宣言の判断は組織の外部の機関に委ね、組織は、その機関から通知を受けてから初めて対応計画の実行を始める運用にする
- 定めた基準を、分析した活動の既知の特性と推定される特性に当てはめ、既知の誤検知も考慮して宣言を判断する
- アラートが1件出た時点で、内容を分析する前に一律にインシデントとして宣言し、対応計画の実行をすぐに始める運用にする
- 重大度の高いアラートだけを対象にして、既知の誤検知かどうかは考えずに、アラートの重大度の数値だけで宣言するかを決める
正解と解説を見る
正解: B
正解の理由
「定めた基準を、分析した活動の既知の特性と推定される特性に当てはめ、既知の誤検知も考慮して宣言を判断する」SP 800-61 Rev. 3 は、継続的な監視が集めた有害な可能性のある事象を分析し、事象がインシデントの基準に合致したときに、インシデントを宣言するという流れを述べる（DE.AE-08）。宣言のときは、分析した活動の既知の特性と推定される特性に、インシデントの基準を当てはめ、既知の誤検知も考慮して、宣言するかを判断する。宣言によって、対応計画が関係する第三者と連携して実行される（RS.MA-01）。
違う選択肢
「アラートが1件出た時点で、内容を分析する前に一律にインシデントとして宣言し、対応計画の実行をすぐに始める運用にする」…宣言は、事象を分析して基準に合致したときに行う。分析の前に一律に宣言するのではなく、既知の誤検知も考慮して判断する。
「重大度の高いアラートだけを対象にして、既知の誤検知かどうかは考えずに、アラートの重大度の数値だけで宣言するかを決める」…基準を当てはめるときは、既知の誤検知を考慮する。重大度の数値だけで決めると、誤検知の多いアラートで宣言を誤る。
「宣言の判断は組織の外部の機関に委ね、組織は、その機関から通知を受けてから初めて対応計画の実行を始める運用にする」…宣言は、組織が自分の基準に事象が合致したと判断して行う。宣言によって、対応計画が関係する第三者と連携して実行される。
押さえどころ
事象の量は一般にとても多いので、大きなデータセットを絞り込む技術的な手段（SIEM や SOAR など）に頼るよう勧めている。複数の情報源のデータを相関させること、脅威インテリジェンスを使うことも、分析の精度を上げる方法として挙がっている。