MDRがSOCを超える理由：アラートではなく対応
SOC（セキュリティオペレーションセンター）は監視して通知します。MDR（マネージド・ディテクション・アンド・レスポンス）は監視し、通知し、何よりも対応します。この差は言葉の違いではありません。キューに残されたアラートと、封じ込められたインシデントの違いです。MDRはSOCに、マネージドな対応（隔離、根絶、復旧の支援）と、判断する権限を持つアナリストを加えます。通知で止まるのであれば、それはMDRではなくSOCです。
要点
「SOCがある」ことは「守られている」ことを意味しません。SOCは監視し、通知します。しかし、適切な方法とタイミングで誰もアラートに対応しなければ、通知だけでは何も止まりません。MDRは、欠けている要素である対応を加えたSOCです。
アラートで止まることのコスト
午前3時の重大なアラートも、朝までキューに残っていれば価値はありません。深刻なインシデントの多くは業務時間外に進行します。まさにその時間帯に、対応を持たないSOCはすべてをお客様に委ねます。この空白のコストは、検知の見落としではなく、対応の遅れです。
MDRが提供するもの
マネージドな対応です。端末隔離、根絶、C2（コマンド&コントロール）通信の遮断、復旧の支援、そして通知するだけでなく判断する権限を持つアナリストです。Operation Storming Tideのように、シグナルを収束したインシデントへと変えるのがMDRです。
本当に必要な場面（と、より少ない体制で足りる場面）
アラートに対応できる24時間365日体制の社内セキュリティチームがある場合は、そのチームに情報を提供するSOCで十分なこともあります。そのようなチームがない場合、パートタイムの場合、あるいは汎用的なMSP（マネージドサービスプロバイダー）に依存している場合、対応のないアラートは安全であるという錯覚にすぎません。そこでは、MDRが妥当な選択です。テクノロジーとの違いについては、MDR・EDR・XDRの違いをご覧ください。
従来型SOCとMDRの比較
| SOC（検知） | MDR（検知＋対応） | |
|---|---|---|
| アウトプット | アラートと通知 | 収束したインシデント |
| 重大なアラートの発生時 | お客様に通知 | 隔離、根絶、封じ込め |
| 判断 | お客様に一任 | 判断する権限を持つアナリスト |
| 結果 | お客様の対応次第 | 封じ込めまで中央値約11分 |
Operation Storming Tideでは、シグナルを上げたのはテクノロジーでしたが、インシデントを収束させた（封じ込めを行い、データの持ち出しとランサムウェアを阻止した）のはFortgaleのアナリストによる対応でした。これこそが、通知するSOCと行動するMDRの差です。
分析を読む（英語） →よくある質問
SOCだけでは不十分なのですか？
時間と結果の面で、具体的にどのような差がありますか？
SOCが測るのは検知までの時間です。MDRはそれに加えて封じ込めまでの時間も測ります。Fortgaleでは、確認されたアラートから封じ込めまでの時間の中央値が約11分です。通知だけでなく、結果を示す指標です。
まずSOCから始めて、後から対応を加えることはできますか？
可能です。ただし重要なのは継続性です。Fortgaleのモデルでは、SOCと対応は同じ拠点が担い、ベンダー間の引き継ぎはありません。検知した者が、そのまま封じ込めます。
対応のないSOCで十分なのは、どのような場合ですか？
アラートに自律的に対応できる24時間365日体制の社内チームがある場合は、そのチームに情報を提供するSOCで十分なことがあります。そのようなチームがない場合（または24時間365日体制でない場合）、対応のないアラートはリスクになります。そこでMDRが必要になります。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：FortgaleのMDRサービス
関連リソース： MDRとは · SOCとは · MDR・EDR・XDRの違い
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。