SOARとは？対応の自動化の種類（単体型・SIEM一体型・基盤組み込み型）と、連携の数・作り方・価格の選び方

この記事の答え

SOARは、セキュリティのアラートへの対応を、手順書（プレイブック）と他社製品との連携で自動にする製品です。製品の組み立てで、単体で入れる型・SIEMと一体の型・セキュリティ基盤に組み込まれた型に分かれます。選ぶときは「今のSIEMを変えるか」「つなぐ製品は何か」「手順を誰が書くか」の3つを先に決めます。

SOARとは

SOARは、セキュリティのオーケストレーション、自動化、対応の略です。アラートが届いたら情報を集め、端末を隔離するといった手順を、プレイブックに沿って自動で流します。検知はSIEMやEDRが受け持ち、SOARはそのあとの対応を受け持ちます。

比較ページには、自社で開発して提供する会社の製品を、各社1製品ずつ載せています。外資は日本語の公式ページで日本法人を確かめた会社だけです。運用を任せるサービスは載せていません。

3つの種類

単体で入れる型：対応の自動化だけを受け持ちます。例は Cortex XSOAR、FortiSOAR、IBM QRadar SOAR、Splunk SOAR ⁠⁠⁠です
SIEMと一体の型：ログを集めるSIEMの中で動きます。例は Google Security Operations、Microsoft Sentinel ⁠⁠⁠です
セキュリティ基盤に組み込まれた型：EDRやXDRの基盤の機能として動きます。例は Falcon Fusion SOAR、Singularity Hyperautomation、TrendAI Vision One Agentic SOAR ⁠⁠⁠です

連携の数

Cortex XSOAR は、900以上の統合パックを標準で備えます
FortiSOAR は、500以上の統合をうたいます
Splunk SOAR は、300以上のツールと2,800以上の自動アクションです
Google Security Operations は、300以上のツールを束ねます
Singularity Hyperautomation は、150以上の組み込み統合です

数が多くても、自社の製品が入っているとは限りません。つなぎたい製品の名前で確かめます。

手順の作り方

コードを書かずに作れると公式に書いているのは、Cortex XSOAR、FortiSOAR、Falcon Fusion SOAR、Singularity Hyperautomation です
Microsoft Sentinel は、Azure Logic Apps のワークフローで作ります
Google Security Operations は、AIチャットで手順を作れます
用意された手順を使うなら、FortiSOAR は組み込みのプレイブックが800、Singularity Hyperautomation はテンプレートが130以上です

導入先

Splunk SOAR は、クラウド、オンプレミス、ハイブリッドから選べます
FortiSOAR は、SaaS、オンプレミス、パブリッククラウドから選べます
IBM QRadar SOAR は、OpenShiftか仮想マシンのオンプレミスの選択肢があります
Microsoft Sentinel は、2027年3月31日以降は Microsoft Defender ポータルだけで使います

価格の見方

今回の製品で、金額を公式ページの文字で確かめられたものはありません。料金の決まり方は製品で違います。

Google Security Operations は、取り込みに基づくパッケージです
Microsoft Sentinel は、従量課金かコミットメントレベルを選びます
IBM QRadar SOAR は、許可ユーザーの数で見積もります

見積もりを取る前に、1日のログの量と、使う人の数を数えておきます。