Alert Triage

アラートトリアージ（Alert Triage）とは、セキュリティ運用センター（SOC）において、セキュリティ機器やシステムから発生する大量のアラートを優先度に基づいて分類・評価し、対応の優先順位を決定するプロセスです。SIEM、EDR、IDS/IPSなどのセキュリティツールは日々膨大なアラートを生成しますが、その多くは偽陽性（False Positive）であり、限られたアナリストのリソースを効率的に配分するためにトリアージが不可欠です。

アラートトリアージの核心は、真陽性（True Positive）と偽陽性を迅速かつ正確に判別し、真に脅威となるアラートに対して適切な対応を行うことにあります。トリアージでは、アラートの重要度、影響範囲、攻撃の段階（キルチェーン上の位置）、対象資産の価値などを総合的に評価し、即時対応・調査・監視継続・無視の判断を行います。

近年、セキュリティアラートの増加に伴いアラート疲れ（Alert Fatigue）が深刻な課題となっています。SOCアナリストが過剰なアラートに圧倒され、重要なアラートを見逃してしまうリスクが高まっており、自動化やエンリッチメント技術の活用、検知ルールの継続的な最適化が求められています。

アラート優先度の分類フレームワーク

アラートトリアージでは、一般的にCritical（緊急）・High（高）・Medium（中）・Low（低）・Informational（情報）の5段階で優先度を分類します。Criticalは即時対応が必要な確認済み侵害、Highは高い確信度で攻撃が進行中のもの、Mediumは調査が必要だが即時の脅威ではないもの、Lowは監視を継続するもの、Informationalは記録のみ保持するものとして扱います。

優先度の判定には、アラートの信頼度スコア、対象資産の重要度（クラウンジュエル分析）、攻撃の進行段階（偵察・初期アクセス・横展開・データ窃取など）、脅威インテリジェンスとの相関などを総合的に考慮します。

真陽性・偽陽性分析の手法

効果的なトリアージの鍵は、True Positive（TP）とFalse Positive（FP）を迅速に判別することです。アナリストは、アラートのコンテキスト情報（送信元IP、ユーザー、時刻、関連イベント）を確認し、脅威インテリジェンスフィード（IoC）との照合、対象ホストの通常のベースライン動作との比較、関連するネットワークフローやログの分析を行います。

偽陽性率の低減には、検知ルールのチューニングが不可欠です。正規の業務活動やメンテナンス作業を除外するホワイトリストの作成、検知条件のしきい値調整、コンテキスト条件の追加（例：営業時間内の管理者操作は除外）などの手法が用いられます。

アラート疲れ（Alert Fatigue）の実態と影響

調査によると、一般的なSOCでは1日あたり数千から数万件のアラートが発生し、そのうち70〜90%が偽陽性とされています。この膨大な量のアラートに対処し続けるアナリストは、やがて注意力の低下や疲弊を経験し、重要なアラートを見逃す「アラート疲れ」に陥ります。

アラート疲れの結果、対応時間の遅延（MTTR：Mean Time to Respond の増加）、重大インシデントの見逃し、アナリストの離職率上昇といった深刻な問題が発生します。このため、アラートの量と質のバランスを最適化することがSOC運用の最重要課題となっています。

アラートエンリッチメントと自動化

アラートエンリッチメントとは、生のアラートに対して追加のコンテキスト情報を自動的に付与するプロセスです。具体的には、IPアドレスのジオロケーション・レピュテーション情報の付加、ユーザーの所属部署・権限レベルの紐付け、対象資産の重要度ランクの表示、過去の類似アラートの発生履歴の参照などがあります。

SOAR（Security Orchestration, Automation and Response）プラットフォームを活用することで、これらのエンリッチメント処理や初期トリアージの判断を自動化し、アナリストは高度な判断が必要なアラートに集中できるようになります。

エスカレーションワークフロー

トリアージの結果、対応が必要と判断されたアラートは、定められたエスカレーションワークフローに従って上位のアナリストやインシデント対応チームに引き継がれます。一般的な階層構造として、Tier 1（初期トリアージ）→ Tier 2（詳細調査）→ Tier 3（高度分析・フォレンジック）の3段階モデルが採用されます。

各階層での対応時間目標（SLA）を明確に定義し、エスカレーション基準を文書化しておくことが重要です。また、エスカレーション時には、実施した分析内容・収集した証拠・暫定的な判断を的確に引き継ぐことで、対応の重複や遅延を防ぎます。

検知ルールの継続的最適化

アラートトリアージの品質を向上させるには、検知ルール自体の継続的な見直しが必要です。偽陽性率の高いルールの特定と改善、新たな脅威に対応するルールの追加、廃止された攻撃手法に対するルールの削除、Sigmaルールなどの標準フォーマットを活用した検知ルールの共有と管理を定期的に実施します。

検知エンジニアリングチームとSOCアナリストが密に連携し、トリアージ結果のフィードバックを検知ルールの改善に反映するサイクルを確立することが、成熟したSOC運用の要となります。

• 01
  アラート優先度の自動スコアリング導入：資産の重要度、脅威インテリジェンスとの一致度、攻撃のキルチェーン段階、ユーザーのリスクスコアなどを組み合わせた自動スコアリングシステムを導入し、アナリストが高優先度のアラートから順に対応できる仕組みを構築してください。
• 02
  偽陽性率の継続的な測定と削減：検知ルールごとの偽陽性率を定期的に測定し、閾値（例：偽陽性率50%以上）を超えるルールについてはチューニングまたは廃止を行ってください。トリアージ結果を検知エンジニアリングにフィードバックするプロセスを確立しましょう。
• 03
  アラートエンリッチメントの自動化：SOAR・SIEM連携により、アラート発生時に脅威インテリジェンス照合、資産情報の紐付け、関連ログの収集、過去のアラート履歴の参照などを自動的に実行し、アナリストの調査時間を短縮してください。
• 04
  段階的エスカレーション基準の明文化：Tier 1・Tier 2・Tier 3の各階層での対応範囲・判断基準・SLA（対応時間目標）を明確に文書化し、定期的に見直してください。エスカレーション時の引き継ぎテンプレートを整備し、情報の欠落を防ぎましょう。
• 05
  アラート疲れ対策としてのローテーション管理：アナリストのシフトローテーションを適切に管理し、長時間連続でのアラート監視を避けてください。また、アラートの集約・相関ルールを活用して類似アラートをグループ化し、個別対応の負荷を軽減しましょう。
• 06
  トリアージ品質のKPI管理：MTTD（平均検知時間）、MTTR（平均対応時間）、偽陽性率、見逃し率（False Negative Rate）、アナリスト一人当たりの処理件数などのKPIを定義・測定し、トリアージプロセスの継続的な改善に活用してください。