SOCとは
SOC（Security Operation Center：そっく）とは、企業や組織のネットワーク、サーバー、パソコンなどを24時間365日体制でリアルタイムに監視し、サイバー攻撃などのセキュリティ脅威を早期に発見・分析する専門組織のことです。
現代の企業システムには、ファイアウォールやIDS/IPS、ウイルス対策ソフトなど、多数のセキュリティ機器が導入されています。これらが出力する大量のログ（通信の記録）を人が一つずつチェックするのは困難です。SOCの専門エンジニアは、専用の監視システムを活用してログを統合的に監視し、不審な通信やサイバー攻撃の予兆をいち早くキャッチします。なお、攻撃の検知と分析に特化している点が特徴で、インシデント（事故）が発生した後の具体的な復旧作業や組織内の調整は、CSIRT（インシデント対応チーム）と連携して行われます。
具体例
夜間に会社のWebサーバーに対して外部から急激なアクセス試行（パスワードを総当たりで突破しようとする攻撃）が行われた場合のSOCの対応例です。
- システムから出力された「短時間での大量のログイン失敗ログ」をSOCがリアルタイムで検知。
- ログを分析し、これが悪意あるブルートフォース攻撃（総当たり攻撃）であると特定。
- ただちに該当の攻撃元IPアドレスからのアクセスをブロックするようセキュリティ機器を設定し、被害を未然に防いだ上で、その結果を会社のCSIRTチームに報告する。
もう少し詳しく
SOC（Security Operation Center）は、サイバー攻撃の予兆や進行中の攻撃を早期に発見するため、組織内のあらゆるITデバイス（サーバー、クライアント端末、ネットワーク機器、セキュリティ製品など）から出力されるログやイベントデータをリアルタイムで収集・監視・分析する拠点です。
SOCの業務を支える中核的な技術として「SIEM（Security Information and Event Management：シーム）」があります。SIEMは、異なる機器から収集した膨大なログを相関分析エンジンによってリアルタイムに解析し、「単体では正常に見えるが、組み合わせると不正アクセスの予兆となるパターン」を検出してアラートを発します。
SOCのエンジニアは、SIEMが検知したアラートの内容を調査し、それが本物のサイバー攻撃（真検知）なのか、あるいは正常な通信の誤検知（過検知）なのかを即座に見極めます。もし危険性が高いと判断した場合は、脅威の分析レポートを作成し、インシデント対応チーム（CSIRT）へ即座にエスカレーション（通知・引き継ぎ）を行います。
試験でのポイント
試験では、SOCが「セキュリティ機器やネットワークの監視、およびサイバー攻撃の検知・分析」に特化した組織であることが問われます。
また、同じセキュリティ専門組織である「CSIRT」との役割分担（SOC＝監視・検知・分析、CSIRT＝対応・復旧・事後処理）が正しく区別できているかが重要です。
さらに、SOCで活用されるログ収集・相関分析ツールである「SIEM」の機能や目的についても、SOCとセットで出題されやすいため、その連携の仕組みを押さえておきましょう。
関連する用語
関連する用語には、インシデントの事後対応や調整を行う「CSIRT」、複数のログを突き合わせて脅威を自動検知するシステム「SIEM」、およびPCなどの端末監視を行う「EDR（Endpoint Detection and Response）」があります。