セキュリティオペレーションの具体的な対応イメージを、EDR製品が導入されている場合を例に説明します。パソコンなどのエンドポイントのログを収集し、サイバー攻撃の徴候を機械的に検知し、IT管理者に通知します。管理者はその通知をトリガーとして、エンドポイントのネットワーク隔離などの対処を実施し、サイバー攻撃の進行を食い止めます。

　従来のパターンマッチング型のウイルス対策ソフトでは検知できなかったゼロデイ攻撃や標的型攻撃でも、エンドポイントの「振る舞い」を監視することによって重大なセキュリティインシデントに至らないようにしています。

　ただし、企業規模にもよりますが、１日に数十～数百件のサイバー攻撃の挙動を検知する場合もあるようです。中には業務で使っている通信を「悪性」と判断してしまうこともあります。

「機械的に検知した数多くのイベントをすべて対処することは現実的でないため、それらの“危険度”を見極めることがIT管理者に要求されるわけですが、アナリストが攻撃の進行状況に応じて危険度の判定を行うサービスもあります。弊社でも、『WideAngle』というサービスを提供しており、エンドポイントやファイアウォールやプロキシなどのログを収集し、機械的に検知したイベントを総合的に分析し、４段階の危険度（Critical、Serious、Medium、Informational）に分類して、お客さまに通知しています。」（小泉氏）

　NTT Comの河野文則氏は、多くの企業でこのことが課題になっていると指摘します。

「アナリストによる分析サービスを導入して、危険度の高いインシデントの発生が通知される環境がある場合であっても、自社の社員だけではリアルタイムに対処できないことを課題として感じている企業は少なくありません。特に海外拠点を持つ企業では、日本の深夜にセキュリティインシデントが発生することもあり、自社リソースだけでの対応には限界があるでしょう」（河野氏）

　河野氏はこうしたリソース不足を解消するツールとして、冒頭で触れた「SDOC（Security Demand Operation Center）」の存在を挙げました。