慶応義塾大学と日立製作所は2018年2月5日、サイバー攻撃に対してSOCやCSIRTなどの複数のセキュリティ対応チームが連携して迅速にインシデント対応を行う「分散型セキュリティオペレーション」構想を策定し、実証環境を構築したと発表した。これまで人手で行っていた「セキュリティインシデントの検知から、専門チームに分析を依頼し、分析データの共有を開始するまでの処理」を自動化し、1秒以内に完了できることを検証したという。
図1：分散型セキュリティオペレーションの概要（出典：慶応義塾大学、日立製作所）拡大画像表示
分散型セキュリティオペレーションでは、特定のセキュリティ対応チームがすべてのインシデントに対処するのではなく、クラウド事業者など各組織にあるセキュリティ対応チームが自律分散的にインシデントに対処し、必要に応じて連携する。
これに対して従来のインシデント対応では、特定のセキュリティ対応チームをハブとして、インシデント情報と分析データ（ログ、不審データ、通信パケット）を集約し、人手作業で複数のセキュリティ対応チームに分析依頼と分析データの送付を行っていた。
分散型セキュリティオペレーション構想の中核技術の1つが、「動的認証認可技術」である。情報収集や分析などのインシデント対応に求められる機能を標準化し、それぞれのセキュリティ対応チームが持つ機能を互いにリアルタイムで確認できるようにした。
動的認証認可技術によって、分析依頼や分析データ共有などの処理をどの専門チームへ委託するかを、機械的に振り分けること（認可）が可能になった。さらに、関与する組織が新たに判明するたびに、認可からデータ送受信組織間の承認（認証）までの一連の処理を自動的に行う。これにより、迅速なセキュリティ対策を実現する。
本技術の効果を検証するため、慶応義塾インフォメーションテクノロジーセンターで監視しているインシデントの分析対象データを、日立製作所の「オープンラボ横浜」にある研究用のSOCに送付し、分析を委託する実証環境を構築し、2017年11月から評価を開始した。
この結果、従来は担当者の習熟度によって数分から数時間とばらつきのあった「インシデント検知から分析を依頼する一連の処理」を1秒以内に完了できることを確認したという。
