コンテンツにスキップ

ケース管理

ケース管理は、セキュリティインシデントを追跡し、調査し、対応するための機能です。 検知されたイベントをケースとして登録し、チームで調査を進めます。

画面構成

ケース一覧

ケース一覧画面では、登録されたケースをテーブル形式で確認できます。

ケース一覧画面 図: ケース一覧画面（稼働中ビルドから取得）。ステータス別タブ（All / Open / Progress / Resolved / Ignored / TP / FP）、フィルタ、Status・Class・Time・Content の一覧で構成される。

  • フィルタバー：ステータス、分類、タグで絞り込む。
  • 統計パネル：ケースの件数やステータス別の集計を表示する。
  • ケーステーブル：各ケースの概要を表示する。

ケース詳細

個別のケースを開くと、詳細な調査情報を確認できます。

ケース詳細画面 図: ケース詳細画面（スレッドビューと AI 分析）

  • スレッドビュー：会話形式でインシデントを調査する。
  • メッセージ：個々のアラートやイベント。
  • AI 分析フローグラフ：調査ステップを可視化する。

ケースのステータスと分類

ケースには、対応の進捗を表すステータスと、検知の正否を表す分類の 2 つの軸があります。 ケース一覧では、両方をタブで切り替えて絞り込めます。

ステータス（対応の進捗）

ステータス 説明
Open 新規ケース。未着手
In Progress 調査中
Resolved 対応完了
Ignored 対応不要として除外したケース

分類（検知の正否）

分類 説明
TP（True Positive） 真の検知。実際の脅威・対応対象
FP（False Positive） 誤検知。脅威ではなかったもの
Unclassified 未分類。TP / FP の判定前

誤検知（FP）運用について

検知の TP / FP を記録することは、検知ルールのチューニングや、AI による類似ケース検索・対応推奨の精度向上に役立ちます。 AI 分析の結果も、最終的な TP / FP の判定はアナリストが行います。

ステータス別のケース表示 図: ステータスと分類のタブによるケースの絞り込み

ケースの操作

ケースの作成

ケース作成ダイアログ 図: 新規ケース作成ダイアログ

  1. ケース一覧画面で「新規作成」をクリックします。
  2. ケースの詳細情報（タイトル、メッセージ、タグ等）を入力します。
  3. 保存してケースを登録します。

検知ルール（UEBA、Playbook 等）から自動的にケースが作成されることもあります。

フィルタリング

次の条件でケースを絞り込めます。

フィルタ 説明
ステータス Open / In Progress / Resolved
分類 脅威の分類カテゴリ
封じ込め 封じ込め状況
タグ カスタムタグによる絞り込み
日時範囲 作成日時の範囲指定

タグ管理

ケースにカスタムタグを設定すると、組織独自の分類体系で管理できます。 タグはヘッダー X-SOCEngine-Tags を通じて API からも設定・フィルタできます。

タグ管理の操作 図: ケースへのタグ追加・管理

AI 支援機能

前提

ケースの AI 機能は、検索・分析・提示を支援するものです。 AI がケースを自動でクローズしたり、対応を自動実行したりすることはありません。 詳しい操作は ケース内 AI 機能 を参照してください。

類似ケース検索

ケースの詳細画面から「類似ケース検索」を実行すると、過去の類似ケースが表示されます。 類似ケースはケース本文の類似度で判定します。1 類似度はスコア（%）として提示されます。

類似ケース検索の結果 図: 類似ケース検索結果

対応推奨

「推奨」を実行すると、関連するケースや Dashboard が提示されます。 提示順は類似ケースとアクセス履歴を組み合わせた重み付けスコアで決まります。 過去の類似事例とよく参照される項目を手がかりとして並べる機能であり、独立した AI 推論モデルが最適な対応手順を判断・実行するものではありません。

AI 分析と分析フローグラフ

ケース画面の「AI 分析を実行」では、AI がアラートを PRQL で自律的に調査し、誤検知（FP）と真の検知（TP）の判断を根拠付きでレポートにまとめます。 結果をスレッドへ投稿するのはユーザー操作です。 分析フローグラフは、その AI 分析の推論ステップとツール実行を順に並べた表示専用のビューです。 AI がフローを別途自動生成するものではありません。

ケースからの Playbook 編集と承認

ケース画面のツールバーから、ケースを自動処理する Playbook（SOAR ルール）を編集・承認できます。

ボタン 機能
Playbook Editor を開く ケースに紐づく Playbook をビジュアルエディタで編集する
Playbook 編集申請の一覧・承認 自分や他のメンバーが出した編集申請を一覧し、承認・却下する

Playbook の変更は即時反映されず、編集申請 → 承認 → 反映の流れをとります。 申請時には、その変更が直近のケースに与える影響（自動処理の対象になる件数やサンプル）がプレビューされます。 承認は申請者本人以外が行います。 詳しい流れは Playbook ガイドの「編集申請と承認フロー」 を参照してください。

AI チャットに Playbook の作成・修正を依頼することもできます（ケース内 AI 機能）。

URL によるケース共有

各ケースとメッセージには一意の URL が割り当てられます。 URL をチームメンバーに共有すると、該当のケースに直接アクセスできます。

/user/{userId}/case/thread/{threadId}/message/{messageId}

API からの操作

ケースの操作は REST API からも行えます。 詳細は ケース API リファレンス を参照してください。

  1. 類似度は埋め込みベクトル間の距離計算による線形スキャンで求めます。近似最近傍探索や専用のベクトル索引は使いません。 ↩