用語集

CSIRT-Pro のドキュメントで使う主要な用語をまとめます。

各用語の詳しい使い方は、リンク先のページを参照してください。

検索とログ取り込み

PRQL：CSIRT-Pro の検索に使うクエリ言語です。パイプライン構文でログを段階的に絞り込み、集計や可視化を行います（詳しくは PRQL リファレンス）。

Pipeline（取り込み定義）：ログをどのソースから受け取り、どう保持するかを定義する設定です。正規表現モードと JSON モードがあり、正規表現を空にすると JSON モードになります（詳しくは Pipeline）。

Parse Settings / Parse Fields：Pipeline の中で、生ログからどのフィールドをどう抽出するかを定める設定です。 Parse Settings がパースのルール、Parse Fields が抽出される個々の項目を指します。

schema-on-read：あらかじめスキーマを固定せず、検索時にフィールドを抽出する方式です。生ログは messages 列にそのまま保持し、必要なときに項目を取り出します。

レート制限：取り込み API などへのリクエスト回数と転送量に設けた上限です。既定では 1 日あたりの上限を超えると 429 を返します。引き上げはサポート窓口へ依頼してください。

HEC：他社 SIEM 互換の HTTP ベースのログ取り込み方式です。 CSIRT-Pro は HEC 互換取り込みに対応します。ただし indexer ACK などの一部機能は非対応です。

ケース（Case）：インシデントや調査の単位です。関連するログやコメントをスレッド形式でまとめ、対応の経緯を追跡します（詳しくはケース管理）。

ステータスと分類（TP/FP）：ケースの状態と判定を表す属性です。ステータスは Open / In Progress / Resolved / Ignored、分類は TP（真陽性）/ FP（偽陽性）/ Unclassified（未分類）を取ります。

AI Investigate：自然言語でログとケースを横断して調べる読み取り専用の AI アシスタントです。対応・修復・クローズなどの変更操作は自動実行しません（詳しくは AI Investigate）。

Threat Hunting（脅威ハンティング）：明確なアラートを待たず、仮説を立ててログを能動的に調べる調査手法です。 PRQL による検索と Dashboard を組み合わせて、未検知の脅威の兆候を探します（詳しくは脅威ハンティング）。

Playbook（SOAR）：検知から対応までの手順をビジュアルフローで定義し、ワークフロー実行基盤で実行する自動化機能です。外部システムへの書き込みを伴う対応は承認制です（詳しくは Playbook）。

UEBA：スケジュール実行する検知 Playbook タスクを管理する機能です。本機能は ML による異常スコアリングエンジンを搭載しません（詳しくは UEBA）。

Integration（連携）：Slack や VirusTotal などの外部サービスとの接続です。サーバが提供するカタログから必要なものを有効化します（詳しくは Integration）。

Dashboard：検索結果やメトリクスをグラフや表で可視化する画面です。セキュリティの状況を一目で把握するために、用途ごとに作成します（詳しくは Dashboard）。

脅威情報：攻撃者の手口や悪性インジケータに関する情報の総称です。 CVE、IOC、MITRE ATT&CK などを CSIRT-Pro 上で検索・参照できます（詳しくは脅威情報）。

IOC：侵害の痕跡を示すインジケータです。不審な IP アドレス、ドメイン、ファイルハッシュなどが該当し、検知や調査の手がかりです。

CVE：公開された脆弱性に付与される一意の識別子です。脆弱性ごとの番号で、影響範囲や対策情報の参照に使います。

KEV：実際に悪用が確認された脆弱性のカタログです。数ある脆弱性の中で、優先して対処すべきものを判断する目安です。

MITRE ATT&CK：攻撃者の戦術と技術を体系化したナレッジベースです。検知や対応を、攻撃のどの段階にあたるかという共通の枠組みで整理できます。

共有アクセス（SharedAccess）：データや画面を組織内の他のユーザーと共有するための仕組みです。共有の範囲は権限に基づいて制御します。

用語の表記について

本ドキュメントでは、画面上の名称（Case、Pipeline など）と日本語の説明を併記しています。新しい用語が出てきたら、このページに追記していきます。