Security from Zero 第1週：ブルーチームの仕事と、最初に学ぶこと

最初から大量のサーバーや資格をそろえる必要はありません。まず、自分のPCが何をしているか、根拠を示して説明できるかを考えてみてください。ジュニアアナリストは、ほかの人のPCやアカウント、アプリケーションについて、日々この問いに向き合います。

この第1週は、SOCアナリスト、ジュニアセキュリティアナリスト、セキュリティ運用の研修職などを目指す人のための入門編です。仕事の内容を知り、身近なツールで練習し、面接でも説明できる短い成果物を作ります。

用意するもの： 自分のWindows 11 PC、ChromeまたはEdge、メモを取る場所。図は注釈付きの教材用イメージで、実際のインシデント画面ではありません。名前、IPアドレス、PID、時間は説明用です。macOSやLinuxでも考え方は学べますが、ここでのコマンドとタスクマネージャーの手順はWindows用です。1週間で合計5時間ほどを目安にしてください。

第1週のワークブックをダウンロードして、手元で書き込みながら進めましょう。

1. ブルーチームとは

ブルーチームは、組織に対する攻撃を防ぎ、見つけ、対応する役割を担います。セキュリティ運用、検知ルールの開発、インシデント対応、脅威ハンティング、セキュリティ基盤の構築などを含む広い呼び方です。最初の仕事に応募する前に、すべてを習得する必要はありません。

SOC（Security Operations Centre） は、問題の兆候を監視するチームです。ジュニアのSOCアナリストは、アラートを確認し、関連情報を集め、正確な記録を残し、チームの手順に沿って上位担当者へ引き継ぐことが多くあります。シフト勤務のチームもあります。脆弱性管理やアクセス権の点検、啓発活動を含む職種もあるため、職種名だけで判断せず、求人票の業務内容を読みましょう。

求人で見かける言葉	日々の仕事での意味
監視	入ってくる情報を見て、注意が必要なものを見つける。
アラートのトリアージ	何を意味するか、どれほど急ぐか、何の根拠が足りないかを判断する。
調査	ログ、アカウントの操作、PCの動きから問いに答える。
エスカレーション	対応権限のある人に、必要な事実と未解決の問いを引き継ぐ。
インシデント対応	計画に従って調査、封じ込め、復旧、振り返りを進める。

イベントは、サインインの失敗など、発生した出来事です。アラートは、ツールやルールが確認を求める通知です。インシデントは、セキュリティを脅かすと判断され、組織の対応手順で扱う事象です。アラートは判断の入口であり、侵害が確定した証拠ではありません。

アナリストの流れ。アラートを受け取り、ユーザー・端末・時刻の状況を確認し、根拠を集め、意味を判断する。その後、理由を記録して終了するか、未解決の問いとともに引き継ぐ。すべての段階で記録を残し、アラート名だけで判断しない。

図1：アナリストの仕事の流れ。引き継ぎでは、分かったことと、まだ確認が必要なことを伝えます。

たとえば、サインインの失敗が続いた後に成功したというアラートが出たとします。アカウント、時刻とタイムゾーン、接続元、端末、MFAの結果、普段の操作を調べます。パスワードを忘れた利用者と攻撃者は、最初は似た記録を残すことがあります。両者を見分けるには、どの根拠が必要かを考えましょう。ジュニア担当者は手順に従い、必要に応じて引き継ぎます。アカウントの停止や端末の隔離を行う権限は、役割によって異なります。

2. 採用につながる順番で学ぶ

最初に、働ける地域で最近出された初級職の求人を5件集めてください。「SOC analyst L1」「junior security analyst」「セキュリティ運用未経験」などで探します。URLと確認日を保存し、共通する技術、言語、シフト、勤務地、就労資格、資格が必須か歓迎かを記録します。すべての会社が同じ条件を求めると考えず、自分の応募先の傾向を確かめるためです。

学習の段階。PCとネットワークの基礎、ログと認証、アラート調査と記録、応募と面接の順に進む。観察メモ、タイムライン、トリアージ記録、調査事例という成果物を各段階で残す。

図2：基礎を学び、使いながら、スキルを説明できる成果を残します。

先に学ぶこと	仕事で必要な理由	示せる成果
IPアドレス、ポート、DNS、HTTP、HTTPS	どのPCがどのサービスに接続したかを説明する。	Webリクエストの注釈、通信とプロセスの対応。
WindowsとLinuxのファイル、ユーザー、権限、プロセス、サービス	何が、どのアカウントと権限で動いたかを理解する。	時刻と限界を記したプロセスの観察。
ログ、時刻、サインイン、MFA、最小権限	操作を時系列に整理し、不足情報を見つける。	出典とタイムゾーンのある短いタイムライン。
SIEMとEDRの基礎	集めたイベントを検索し、端末の動きを確認する。	範囲を絞った検索と、判断理由のある調査メモ。
分かりやすい文章と引き継ぎ	ほかの人が判断できるようにする。	事実、解釈、次の確認を分けた1枚のメモ。

SIEMは複数のシステムからログを集め、検索する仕組みです。EDRはPCやサーバーなどの端末の動きを記録・分析します。今週は用途を理解すれば十分で、どちらも導入する必要はありません。PowerShellやPythonは、自動化したい作業を手動で理解した後に役立ちます。

応募したい求人で同じ資格が繰り返し挙がるなら、公式の出題範囲、自分の不足分、費用、受験時期を比較しましょう。資格の要件は会社によって異なります。資格は評価された学習範囲を、演習は実際の進め方を示します。それぞれ正確に説明してください。

3. 演習A：PCに4つの質問をする

スタート →「cmd」と入力 → コマンドプロンプトを開きます。通常ユーザーのままで構いません。1つずつ実行してください。

whoami
hostname
ipconfig
nslookup example.com

コマンド	答えられる問い	記録すること
`whoami`	この操作はどのアカウントで行っているか。	ドメインまたはPC名と、ユーザー名。
`hostname`	このPCの名前は何か。	端末名。
`ipconfig`	端末はどうネットワークにつながっているか。	使用中のアダプターのIPv4アドレスとデフォルトゲートウェイ。
`nslookup example.com`	どのDNSサーバーが答え、どのアドレスが返ったか。	DNSサーバー、返ったアドレス、確認時刻。

$コマンドプロンプトの説明用画面。whoamiはlab\learner、hostnameはLAB-PCを表示。ipconfigではIPv4が192.168.1.27、デフォルトゲートウェイが192.168.1.1。アカウント、端末、ネットワークを別々の事実として読む。自分のPCで同じ値になるという意味ではない。$

図3：出力を、問いへの答えとして読みます。自分のPCでは名前やアドレスが異なります。

IPアドレスは、ネットワークの状況の中でインターフェースを識別するもので、人そのものを識別する情報ではありません。図の192.168.1.27はプライベートアドレスです。デフォルトゲートウェイは、より具体的な経路がない宛先への通信に使うルーターです。DNSは名前をレコードに対応づけ、アドレスを返すことがあります。自分のPCのアドレスと、Webサイトについて返ったアドレスは別の情報です。

アダプターが複数あれば、実際に使用しているものを確認します。VPNや仮想マシンで追加される場合もあります。DNSの問い合わせが失敗したら、その事実を記録して接続状況を調べてください。名前が解決できても、サイトの安全性やHTTPSで接続できることまでは分かりません。

確認ポイント： PCのアドレス、ゲートウェイ、サイトの名前解決結果の違いを、自分の言葉で説明しましょう。実際のアカウント名やネットワーク情報は非公開にし、公開用のメモには一貫した置換値を使います。

4. 演習B：アプリとプロセスを結びつける

プログラムはディスクに保存されたソフトウェア、プロセスは実行中のインスタンスです。Windowsはプロセスに**PID（プロセスID）**を割り当てます。ブラウザーがタブの表示などのために複数のプロセスを使うのは通常の動作です。

Ctrl + Shift + Escでタスクマネージャーを開きます。Windows 11では左側のプロセス、古い画面ではプロセスタブを選びます。
自分でメモ帳を起動し、一覧から見つけて時刻とメモリ使用量を記録します。普通に閉じて、変化を確認します。
詳細を選び、ブラウザーのプロセス名とPIDを記録します。PID列がなければ、列見出しを右クリックして表示します。
コマンドプロンプトでプロセス一覧を表示します。以下のPIDは例なので、自分が確認した値に置き換えます。

tasklist
tasklist /fi "PID eq 4280"
netstat -ano

タスクマネージャーの詳細画面にchrome.exe、PID 4280を表示。隣のnetstatの例では192.168.1.27:53144から203.0.113.20:443へのTCP通信がESTABLISHEDで、PIDは4280。同じ時刻付近のPIDを照合すると、通信とプロセスを対応づけられる。宛先は説明用アドレスで、実際のサイトや攻撃指標ではない。

図4：2つの画面でPIDを照合します。203.0.113.20は文書用に予約されたアドレスで、この図は模式例です。

netstat -anoの**-aは接続と待ち受けを含め、-nはアドレスとポートを数値で表示し、-o**はPIDを追加します。ポートはサービスや接続に使う番号付きの通信端点です。443はHTTPSでよく使われますが、番号だけではプロトコルや安全性は確定しません。LISTENINGは接続を待ち受けている状態、ESTABLISHEDはTCP接続が成立している状態です。

両方の出力にあるPIDを探しましょう。ブラウザーに対応するTCP行がなければ、別のブラウザープロセスを調べるか、「一致を観測できなかった」と記録します。ブラウザーはUDP上のQUICも使い、接続は短時間で変化し、キャッシュから表示する場合は新しい接続が不要なこともあります。netstatでは完全なURLや暗号化通信の中身は分かりません。

確認ポイント： 時刻とタイムゾーン、プロセス名とPID、通信について観測したことを1つ記録します。終了したプロセスのPIDは再利用されるため、近い時刻で比較します。見慣れた名前、複数のブラウザープロセス、高いCPU使用率だけで悪意の有無は判断できません。今回は観察の練習です。自分で起動したテスト用アプリは通常の方法で閉じます。

5. 演習C：ブラウザーでWebリクエストを調べる

開発者ツールの**Elements（要素）**はページの構造、**Network（ネットワーク）**はリクエストとレスポンスを見る画面です。今回はNetworkを使います。

新しいタブでhttps://example.comを開きます。ログイン不要の公開デモページです。
右クリックして検証を選ぶか、Ctrl + Shift + Iを押します。Networkを選びます。
Networkを開いたままページを再読み込みします。記録は開いている間に行われるため、最初は空でも問題ありません。
通常example.comと表示される主なリクエストを選び、HeadersでRequest URL、Request Method、Status Codeを確認します。Response Headersのcontent-typeも探します。
実際に表示された値を記録します。キャッシュが使われることもあり、ステータスや時間は図と異なる場合があります。

ブラウザーのDevTools Networkの模式画面。https://example.comへのdocumentリクエストに200を表示。HeadersにはRequest URL https://example.com/、Request Method GET、Status Code 200 OK、content-type text/html。注釈は要求したもの、サーバーの返答、返答の形式を示す。時間や表示値は説明用。

図5：検証 → Network → 再読み込み → リクエストを選択 → Headers。細かい項目は画像を拡大して確認してください。

HTTPは、クライアントがリソースを要求し、サーバーが返答する方法を定めます。HTTPSはその通信をTLSで保護します。GETはリソースの取得要求、200はHTTPリクエストの成功、404は対象が見つからないことを示します。401は認証情報の不足や無効、403はサーバーが要求を拒否することに関わります。これらのコードだけで攻撃の有無は分かりません。HTTPSを使う悪意あるサイトもあります。

アナリストにとっては、「何が、いつ要求され、どの返答があったか」が役立つ問いです。DevToolsは自分のブラウザーの表示であり、組織全体の監視ツールではありません。ログイン中のCookie、認証ヘッダー、トークン、エクスポートしたHARファイルなどは公開しないでください。

確認ポイント： IPアドレス、ポート、URL、HTTPステータスコードの違いを説明しましょう。ブラウザーがURLを要求し、ホスト名からアドレスを調べ、サービスに接続し、HTTPの返答を受け取る、という流れにつなげて説明できれば十分です。

6. 最初のポートフォリオ用メモを作る

「自分のWindows PCで普段の動きを観察する」という題で、1枚にまとめます。採用担当者が手順を推測せずに理解できるよう、ワークブックで次の要素を分けてください。

問い： 何を理解しようとしたか。
環境と方法： Windowsとブラウザーのバージョン、日付、タイムゾーン、手順。
根拠： 注釈付きの観察を2〜3点。一貫した置換値で個人情報を伏せる。
解釈： 観察から言えることと、その理由。
限界と次の確認： 分からなかったことと、次に調べること。

例：「14:10 UTCにタスクマネージャーでPID 4280を確認し、netstatでも同じPIDのTCP接続を観測した。その時点の通信とプロセスを対応づけられるが、宛先の安全性は判断できない」。この例を、自分が実際に観測した内容に置き換えます。一致がなかった場合は、そのまま正確に記録してください。

これは学習演習であり、業務でのインシデント対応経験ではありません。「マルウェアを検知した」「企業を守った」とは書かないでください。実施と記録を終えた後なら、「Windowsの基準動作を観察し、PID・通信・ブラウザーのリクエストを関連づけ、根拠と情報の伏せ方、調査の限界を文書化した」と説明できます。

7. 7日間の学習プラン

日	取り組むこと	目安	残すもの
1	1〜2節を読み、関連求人を5件集める。	45分	共通する技術と実際の応募要件。
2	演習Aの出力を説明する。	35分	非公開のアカウント・端末・ネットワークのメモ。
3	演習Bでプロセスと通信を比較する。	45分	時刻付きの観察と、その限界。
4	演習Cで1つのリクエストを調べる。	40分	注釈付きの要求と返答。
5	1枚の調査メモを書く。	45分	実施内容と学んだことの説明。
6	求人要件と成果を照らし合わせる。	30分	次に学ぶ3つの優先事項。
7	以下の質問に声に出して答え、メモを直す。	30分	原稿を読まずにできる説明。

8. 説明できるか確かめる

まずは答えを見ずに、自分の言葉で説明してみましょう。

面接の練習	答えに含めたいこと
ジュニアSOCアナリストは何をするか。	アラートの確認、関連情報の収集、記録、チームの手順に従った引き継ぎ。
アラートは確定したインシデントか。	いいえ。根拠と組織の基準による評価が必要。
プログラムとプロセスの違いは何か。	保存されたソフトウェアと実行中のインスタンス。PIDはある時点のプロセスを識別する。
PIDの一致から何が分かるか。	その時点の観察をプロセスに対応づけられる。意図や安全性までは証明できない。
HTTPSなら安全なサイトか。	TLSで接続は保護されるが、サイトの意図までは保証しない。
観察を説明できないときはどうするか。	不確かな点を明示し、情報を集め、手順に従って相談・引き継ぎを行う。

これらを説明でき、演習を再現でき、事実と推測を分けたメモを示せれば、次のテーマに進めます。分からない手順は繰り返しましょう。質問を受けても使える理解を作ることが目標です。

出典と次の学習

コマンドの動作とNetwork画面の手順は、2026年10月21日に次のベンダー資料と照合しました。図のデータは教材用です。読者の端末での動作を検証したものではありません。

Microsoft Learn：whoami、hostname、ipconfig、nslookup、tasklist、netstat。
Chrome DevTools：Inspect network activity。
Security from Zeroの全体プラン。続きは第2回のネットワークと第3回のOSへ進んでください。

2026年10月21日： 初版公開。第1週は基礎と個人の学習演習を扱います。求人の条件や画面構成は環境によって異なります。

2026年10月21日・講座リンク更新： 公開した第2・3回へ進むリンクを追加しました。第1週の演習内容は変更していません。

30秒でわかる要点