SOCアナリストのフリーランス案件で求められるスキルと経験｜分野別・段階別に整理

SOCアナリストの案件で求められるのは、ログと通信の基礎、端末の動きを読む力、SIEMでの検索と検知ルールの作成、EDRでの調査、攻撃の手口の知識、そして引き継ぎと報告の力です。どこまで求められるかは、一次分析・二次分析・検知の改善のどの段を担うかで変わります。

製品の操作は現場ごとに覚え直すことが多い一方、「このログは何を意味するか」「この動きは普段と違うか」を見分ける力は、製品が変わっても持ち運べます。この記事では、分野ごとに求められるスキルを、経験の段階に合わせて整理します。

分野と段階の早見表

案件の段の違いと報酬の関係はSOCアナリストの報酬の記事で扱っています。

ログと通信の基礎

アラートは、ログの一部を切り取ったものにすぎません。元のログが何を記録しているかが分からないと、誤検知かどうかを判断できません。

• 通信の基礎：IPアドレス、ポート、DNS、プロキシ、ファイアウォールの許可と拒否の記録が読める
• 認証の記録：ログインの成功と失敗、どこから、どのアカウントで、どの方法で入ったかを追える
• クラウドの操作記録：クラウドの管理画面やAPIの操作が、誰によって行われたかを確かめられる

ネットワークの基礎に不安がある方は、ネットワークエンジニアのスキルの記事を参考に、通信の流れを先に固めておくと判断が速くなります。クラウドの認証やログの扱いは、Azureエンジニアのスキルの記事も参考になります。

端末の動きを読む力

EDRの検知の多くは、端末の上で起きたプロセスの起動、ファイルの作成、通信の記録から生まれます。

• プロセスの親子関係：文書ファイルを開いたアプリからコマンドの実行が起きるなど、普段は起きない組み合わせに気づける
• 持続化の痕跡：起動時に動く設定や、予定された処理の追加など、居座るための仕掛けを見分けられる
• 管理者の正しい作業との区別：運用の担当者が使うツールと、攻撃者が悪用する同じツールを、文脈で見分けられる

最後の点は、SOCで最も判断が分かれるところです。普段の運用の動きを知っているほど、誤検知を早く見抜けます。

SIEMでの検索とルールの作成

一次分析では、用意された画面や保存済みの検索で確認できれば足りることが多くあります。二次分析や改善の段では、検索言語で自分で条件を書けることが求められます。

• 期間、端末、アカウントで絞り込み、関連する記録を集める
• 集計して、普段と違う量や組み合わせを見つける
• 誤検知の原因になっている条件を見つけ、除外や条件の追加でルールを直す
• 直したルールで、本来見つけたい事象を取りこぼしていないかを確かめる

製品ごとに検索言語は違いますが、「絞る・集める・比べる」の考え方は共通です。製品の変化にも目を配りましょう。たとえばMicrosoft Sentinelは、2027年3月31日以降はAzure portalでサポートされず、Defenderポータルでの利用に一本化されるとMicrosoftが案内しています（2026年10月時点のMicrosoft Learnの記載）。画面や運用の流れが変わる現場では、新しい画面での調査の経験が問われます。

EDRでの調査と対応の判断

EDRは、検知の内容を読むだけでなく、端末の隔離やプロセスの停止といった対応の操作ができる製品が多くあります。SOCアナリストが自分で操作してよいのか、提案にとどめるのかは、契約や運用の決まりで決まります。

• 検知の前後の記録をさかのぼり、最初の入り口を推定する
• 同じ痕跡がほかの端末にもないかを横に広げて確かめる
• 隔離による業務への影響を考え、判断の材料を添えて上に上げる

対応の権限の範囲は、参画前に確かめておきたい点です。業務への影響が出る操作を、誰の承認で行うのかを決めておきましょう。

攻撃の手口の知識

アラートを単発で見るのではなく、攻撃の流れの中のどこに当たるかで判断できると、優先順位がつけやすくなります。実際の観測に基づいて攻撃者の戦術と技術を整理したMITRE ATT&CKは、検知ルールや報告で共通の言葉として使われることが多い知識ベースです。

• 侵入、権限の取得、横への広がり、情報の持ち出しといった流れを理解する
• 検知した事象が流れのどこに当たるかを説明できる
• 外部の脅威情報を読み、自分の監視環境に当てはめて確かめる

引き継ぎと報告

SOCは交代で動く仕事のため、次の担当者が同じ判断を続けられる記録を残す力が欠かせません。

• 記録：何を見て、何を確かめ、なぜその判断をしたかを短く書く
• 引き継ぎ：対応中の事象、待っている返事、次に確かめることを漏れなく渡す
• 報告：顧客や管理者には、技術の詳細より「何が起きたか・影響・次の手」を先に伝える

自動化と道具づくり

SOCでは、同じ確認を何度も繰り返す場面が多くあります。送信元の評判を調べる、関連する端末の一覧を出すといった作業を、スクリプトや製品の自動化の機能でまとめられると、判断に使える時間が増えます。

• 繰り返しの確認を手順に分け、自動化できる部分を見つける
• 自動化した処理が誤った結果を返したときに、気づける仕組みを入れておく
• 自動化の内容を手順書に残し、ほかの担当者も使えるようにする

自動化の仕組みは、作った人しか分からない状態になると、かえって運用の負担になります。道具をつくる力と、それを説明して引き継ぐ力は組で見られます。

段階ごとに伸ばしたいスキル

一次分析の段階

ログと端末の動きの基礎を固め、判断の根拠を記録に書く習慣をつけます。攻撃の流れの言葉で事象を説明できるようにすると、二次分析への入り口になります。

二次分析の段階

検索言語で自分で条件を書き、複数のログをつないで流れを再現する練習を重ねます。EDRでの深掘りと、対応の判断の材料のまとめ方も、この段階で身につけます。

検知の改善の段階

ルールの作成と見直し、手順書の整備、自動化の仕組みづくりに関わります。監視の仕組みそのものを良くする経験は、SOCアナリストの将来性で扱う広げ方にもつながります。

資格の位置づけは資格の記事で扱います。知識の裏付けとしては情報処理安全確保支援士やCompTIA Security+の記事が参考になります。セキュリティ全体のスキルの広がりはセキュリティエンジニアのスキルの記事をご覧ください。

よくある質問

プログラミングはどの程度必要ですか？

一次分析では必須ではない案件も多くあります。ただ、SIEMの検索言語で条件を書くことや、繰り返しの確認を簡単なスクリプトで自動化することができると、二次分析や改善の段に進みやすくなります。

使ったことのないSIEMの案件にも応募できますか？

検索の考え方とログの意味が分かっていれば、製品の違いは参画後に埋められると見てもらえることがあります。面談では、使ったことのある製品で何をしたかを、絞る・集める・比べるの流れで具体的に説明できるようにしておきましょう。

攻撃の手口はどうやって学べばよいですか？

MITRE ATT&CKのような公開の知識ベースで攻撃の流れを押さえ、自分が扱ったアラートがどこに当たるかを当てはめてみるのが近道です。公的機関や製品の事業者が公開する脅威の情報を、自分の監視環境に当てはめて読む習慣も役立ちます。