都内のセキュリティ企業でSOCアナリストとして働く三年目の悠斗は、最近、仕事に行くのが辛くなっていました。SOCアナリストの仕事は、企業のセキュリティ監視センターで、サイバー攻撃の兆候を24時間体制で監視・分析する専門職です。
なお、SOCと類似した組織にコンピュータ・セキュリティ・インシデント・レスポンス・チーム（CSIRT）があります。こちらは、重大なセキュリティ・インシデントに対処し、その余波を管理するために設立する組織です。CSIRTの目的は、インシデントを封じ込め、被害を最小限に抑え、組織が可能な限り迅速かつ効率的に攻撃から回復できるようにすることです。SOCとは異なり、CSIRTは通常、24時間体制で脅威を監視するのではなく、インシデントに対応して起動されます。
悠斗は大学で情報工学を学び、卒業研究では侵入検知システム（IDS）の精度向上に取り組みました。
初めて自分のプログラムが不正アクセスを検知したときの高揚感を、覚えています。
「デジタル社会を守る」。その使命感が、彼をこの道へ導きました。
だが現実は、理想とは程遠いものでした。
画面を埋め尽くす赤い警告。「不正ログイン試行検知」「異常通信」「権限昇格の疑い」。
毎日三百件を超えるアラートの七割は誤検知です。それでも、一件ずつ確認しなければなりません。
「また誤検知か」
ため息をつきながら、悠斗はマウスを動かします。深夜三時の管理者ログイン——それは、海外出張中の社員でした。
大量ダウンロード——それは、新人が資料をまとめていただけでした。
大学で学んだ脅威分析の知識は、実はほとんど役に立ちません。
「機械でもできる仕事を、人間が続けている」——そんな無力感が悠斗の胸に積もっていきました。
それでも悠斗は、300件目のアラートを確認します。
「最後の一件だけは、人間にしか見抜けないかもしれない」
そう自分に言い聞かせながら・・・。
昼休み、スマホを開けば「疲労回復」「メンタルケア」「孤独を癒す方法」といった記事ばかりが並びます。
アルゴリズムは、悠斗の不安を学習していました。ネガティブな情報ばかりが表示されるエコーチェンバー現象が、彼の心をさらに閉ざしていきます。
同僚たちもどこか距離を置きます。「あの人、私たちのログ全部見られるんでしょ？」——そんな視線を感じます。
大学時代から付き合っていた恋人の麻衣とは半年前に別れました。「最近、全然笑わなくなったね」という言葉が最後でした。
「自分はこの仕事に向いていない」
そう思い始めた頃、同僚の佐々木さんが提案を出しました。
「MITRE ATT&CK準拠の自動検出システムを導入すれば、誤検知を半減できるかも」
悠斗は、そのフレームワークを知っていました。MITRE ATT&CKは、サイバー攻撃者の手口を体系化した、セキュリティ業界の標準的な知識ベースです。
MITRE ATT&CKの目的は戦術ごとに分類され、攻撃のライフサイクル全体にわたって提示されます。
- 偵察：攻撃を計画するために標的の情報を集める
- 初期アクセス：スピアフィッシングなどのテクニックで標的へのアクセスを試みる
- 実行：標的へのアクセスが完了した時点で不正なコードを実行
- 権限昇格：脆弱性を悪用してより高いレベルの権限を取得
- 防御回避：検知、防御を回避
- ラテラルムーブメント（水平展開）：さらにアクセス権限を取得しようとしてシステム内を移動。多くの場合、正規の資格情報を使用
- 収集：攻撃目標に関係するデータを収集
- 持ち出し：さらなる攻撃のためにデータを窃取
フレームワークに関心が無いわけではありません。しかし手を挙げられませんでした。「どうせ自分には無理だ」と、心の中で呟きました。
結局、佐々木さんの提案は却下されました。
そえから数日が経過したある夜のことです。「USBデバイス接続検知」というアラートが上がりました。
「また誤検知だろう！」と、詳細を見ずに閉じました。
翌朝、それが実際のマルウェア感染だったと知ります。MITREで言えば「初期アクセス」です。
幸い被害は最小限に抑えられましたが、悠斗の心は折れました。
自動化すべき仕事に心をすり減らし、守るべきものを見逃しました。
やがて悠斗は出勤できなくなりました。
医師の診断は「適応障害」。悠斗はメンタルヘルスの理由で休職になりました。
家のベッドの上で、かつての研究ノートを開きます。
そこには、大学教授が授業で教えた一文がありました——
「技術は人を孤立させるためでなく、人をつなぐためにある」
その言葉を見た夜、スマホに佐々木さんからのメッセージが届きました。
「無理しないでね。これ、読んでみて」
添付されていたのは、同じ悩みを抱えるSOCアナリストのオンラインコミュニティの記事でした。
MITRE ATT&CK準拠の自動化ツールを導入し、仲間と共に支え合う人々の話です。
「知識を共有できるだけで、こんなに楽になるとは」
悠斗は思い切って佐々木さんのLINEにチャットしました。
「記事、読んだよ」
「よかった。実はわたし、もう一度ツールの導入を提案するつもりなの。今度は一緒にプレゼンしましょう。あなたの研究、知ってるわ。わたしは、あなたの知識が必要なの」
