Centerですが、これはIT管理者やセキュリティ管理者が行っていたセキュリティ監視・分析・対応といった基本的なセキュリティ監視を自動化します。Analytics)の機能を中心にご紹介します。アラートを集積しつつ、世界中の脅威情報を集約したデータベースに照らし合わせて分析し、実際に発生している脅威を検出して表示します。クライアント端末上の不審なアプリケーションが、よくある攻撃パターンに合致する挙動だった場合はアラートが表示されます。365といったクラウドサービスはもちろん、outlook.comやBing検索エンジンから収集したデータ、犯罪対策部門などその他さまざまな種類のデータを集約しています。セキュリティパートナーやリサーチャーともパートナシップを通じ、お互いに脅威情報の交換や幅広い脅威を集めています。環境で発生していないかということを参照・比較して分析しているのです。ブラックリストとの比較以外に、膨大な脅威データを機械学習にかけて評価する仕組みを持っているため、手作業や攻撃の進化を予測する手法だけでは特定できない脅威も検出できます。複雑な機械学習アルゴリズムによって、ユーザーやシステムが普段動作している状況を踏まえた上で異常行動を検知します。ユーザーやシステムの動作には相関関係があり、そこから逸脱した攻撃の兆候を見つけ出すことができるのです。スクリプトの実行、送信方向の通信などをもとに、既知の攻撃と一致している異常行動を検出するのです。異常検出ユーザーやシステムが普段動作している統計から基準値を定め、逸脱した動作がある場合に警告します。こちらの例では、「通常稼働率が低い仮想マシンのリソース使用率が急騰している」「通常はスクリプトを実行しない仮想マシンが、多くのスクリプトを実行している」といったケースが挙げられます。した脅威情報を検知するためには、常日頃からチューニングを行うことが必要です。これまでできなかったような脅威の検出が毎日のように改善されて検出の精度が向上していますが、こうした即応性もクラウドサービスのメリットと言えるでしょう。サイバーキルチェーン攻撃者は、組織への攻撃にさまざまな仕掛けを行います。一つのアラートが上がったからといって、それがどういった攻撃なのか、それが小規模なものなのか、大きな攻撃の一部なのかという全体像はなかなか見えません。実際に起きているセキュリティ侵害を正確に把握するためには、いくつかのログを重ね合わせて分析する必要があり、専門的な知識と時間が必要です。組織を狙ったサイバー攻撃では、偵察から武器化、デリバリ、エクスプロイト、感染、C2通信、目的の実行といったように、一連の攻撃の「流れ」が存在します。米ロッキード・マーティンが提唱した「サイバーキルチェーン」と呼ばれるこの一連の攻撃を、どこかで切断できるように多層防御することが、実際の攻撃に沿ったより現実的な効率の良い対策とされています。チェーンのパターンに一致するアラートを、インシデントとして集約し表示する機能が新しく備わり、現在プレビューとして提供しています。イベントにあわせてインシデントが表示されます。インシデントをクリックすると、「一連の攻撃の流れ」と疑わしい各アラートが表示されます。この例では仮想マシン「VM1」に対し、リモートデスクトップ接続を総当たりで試行している様子が検出されています。Centerでは行動分析や脅威からの機械学習を通じて、今回の接続試行が「通常動作」ではなく「攻撃の前段階」と判断しています。その後、リモートデスクトップ接続への試行は、同じIPアドレスからの接続が成功していると確認できます。これは、実際に隠れやすい「SVCHOSTプロセス」として攻撃コードを実行し、外部へ通信している流れで攻撃が行われていることが分かります。ログセキュリティのアラートは収集するだけでなく、正しく分析して緊急度を判断する必要があり、具体的な対策の検討には専門知識が必要となります。Centerの検出機能を活用することで対応可能になります。Suite、他ベンダーのSIEMとも簡単に連携できますので、より効率の良いアラートやセキュリティインシデントへの対応を検討してみてください。本記事は掲載時点の情報であり、最新のものとは異なる場合がございます。「攻め」のセキュリティ体制「NTTDATA-CERT」とは?NTTデータにおいて「攻めのセキュリティ」を実践するのが、同社が組織するCSIRT「NTTDATA-CERT」である。人気記事をお届けしますダウンロードBOXに入れる記事をダウンロードBOXに追加します。よろしいですか?ブックマーク記事をブックマークに追加します。Corporation。