その体制がしっかりしていないと、かえって余計な手間と時間がかかることになる。Plus」の活用によって、効率的なインシデントレスポンス体制を実現できるのをご存じだろうか。});PR複数のツールを使い分けることなく、ITサービス管理とセキュリティインシデント管理を統合さまざまなサイバーリスクの高まりを受け、セキュリティインシデントの防御に取り組むだけでなく、「その後の対応」を適切に進めることで、被害の最小化を図ろうという動きが広がっている。Team)の構築に取り組む企業が増えている。担当者を集めてチームにしただけではCSIRTは正しく機能しない。JPCERTコーディネーションセンター(JPCERT/CC)が公開している「インシデントハンドリングマニュアル」では、アラートを受け取って事象を把握したら、優先度を付け、内外の関係者に連絡し、事象を分析し、対応タスクを割り当ててインシデントを解決する。根本的な原因が判明したら、対応のためにインフラを変更していく......、という一連のワークフローを定義している。その中でセキュリティインシデントに関する情報を適切に分類し、共有する仕組みがなければ、仏作って魂入れず、という状況になりかねない。Plusは、もともとはITシステムに関するあらゆる問い合わせに対応し、管理するためのITサービスマネジメントソフトウェアだ。Plusが活用され始めている。事業部長の矢木眞也氏は、「1つの企業が複数のインシデント管理ツールを使い分けながら運用するのは難しい。Plusは、1つのシステムでさまざまな種類のインシデントに柔軟に対応できることが大きな特長です。Plusを評価している。Plusでは、Webやメールで寄せられた問い合わせ内容や、サーバやネットワーク機器が生成するログアラートを集約して、カテゴリー別に分類した上で一元的に管理できる機能を持つ。寄せられた1つのアラートを「1インシデント(事象)」とし、このインシデントを解決するための「リクエスト」と呼ばれる単位にまとめられ、緊急度や重要度、業務への影響などを設定した上で担当者を割り当てて、進捗状況を管理していく。エラーが解消され、インシデントが解決できれば、「リクエストクローズ」に至るという流れだ。Plusでは、Webやメールで寄せられた問い合わせ内容や、サーバやネットワーク機器が生成するログアラートを集約して、カテゴリー別に分類した上で一元的に管理できる機能を持つこの管理の流れは、そのままセキュリティイベント管理にも活用できる。Management:セキュリティ情報イベント管理)」製品を導入する企業も増えている。Plusへ渡し、セキュリティインシデントとして対応していくといった運用も可能だ。Plusが行うという使い分けだ。Plusの最大の特長は、こういった運用フローを、柔軟に、しかもプログラミングなどの専門知識がなくても組み立てられることだ。設定画面上で幾つかの条件に応じたアクションを組み合わせることで、「どんな種類のセキュリティインシデントが発生」したら、「誰」に「どのような手段で伝えるか」といったルールを定義し、重要なものであれば「エスカレーションする」、といった流れを組み立てることができる。Plusでは、プログラミングなどの専門知識なしに「フロー」を構築できる矢木氏は、「ひとたびセキュリティインシデントが発生したら、トリアージと対処を迅速に行う必要があります。CSIRT構築時にそのルールや流れをどうするか、あらかじめ時間をかけて検討した上で設定しておけます。緊急時の“その場判断”は極めて困難ですが、『こういうアラートが上がったら、おそらくこんな事態が発生しているだろうから、脅威レベルはこう設定しよう』という事柄をじっくり考え、その対応フローをツールに落とし込んでおくことで、実際にインシデントが発生した場合の対応をスムーズに開始できます」と述べている。Plusでは、どのインシデントをどの部署、どのグループに割り当てるか、といったルールも作成可能だ。割り当ての分類は自動化することもできる。「それぞれの担当者が関係するインシデントだけを確認できる、つまり、山のようなアラートの中から担当すべきインシデントを探したり、要不要の判断を担当者自身が行ったりする必要がなくなるので、人的ミスも少なくなります」と矢木氏は説明する。いえ、いきなりこうしたツール上のルールを作成するのも知識不足などで不安があったり、ただでさえ業務に追われていたりと難しいというケースもあるかもしれない。Plusの販売パートナーであるネットブレインズでは、こうした体制づくりを支援する構築サービスも提供している。Plusへ集約できるように落とし込んでいきます」(矢木氏)。プログラミング不要の設定しやすいツールであることからも、こうして1回フローを構築しておけば、運用上の小変更や追加作業はユーザー自身で簡単に行えるという。Plusを活用してセキュリティインシデントの管理を行っている。LIONS」で活用している。LIONSでは、顧客に導入されたFireboxシリーズ約1600台を対象に管理を行っている。Plusに集約し、内容に応じてインシデントを自動分類。エンジニアの対応が必要な内容であれば適宜アサインを行い、対処に当たる仕組みだ。Plusでの運用フローに反映しているという。System:侵入防止システム)、アンチウイルス、標的型攻撃対策など複数の機能を備えています。そこで、アラートの件名や内容、発信元を確認し、どの機能で検知したアラートなのかを分類し、自動的にカテゴリー分けしてから対応する仕組みです。アラートを受信した時点で、その装置で検知するだけでなく、どういった防御が働き、どういったアクションが行われたかまで、最初からCSIRTのメンバーが分かる状態になっています。Plusが備える資産管理機能とも連動し、アラートを送ったのがどの顧客のどのネットワークに導入された機器で、バージョンは何かといった情報を簡単に特定できることも、“その後”の対応スピードやサービス品質を高めることに寄与しているという。1つ、CSIRT運用の負荷が高まってしまう理由に「誤検知/過検知への対応」がある。Plusでは、アラートを自動分類できます。年がら年中アラートが出るようなIPスプーフィングについては、記録する程度でエスカレーションはしないように設定できますし、その一方で、深刻な脅威につながる恐れのあるアラートは優先度を高め、きちんとインシデントとして対応するよう確実に通知する、といったように対応できます。その判別の自動化も可能です」と矢木氏は言う。メンバーは人間であるがゆえ、頭では「報告」「記録」が大事だと分かっていても、業務に忙殺されるうちについ忘れてしまうこともあり得る。Plusは、そうした「うっかり」を防止する仕組みも備えている。セキュリティインシデント発生を知らせるアラートを受信してから30分経っても放置されたままになっていると、「誰かが対応するように」というリマインド通知が自動的にやってくる。Agreement)を設定した運用を行いつつも、CSIRTの効果を図る尺度の1つとしても利用できるだろう。LIONSも、以前はグループウェアを用いてサービスを運用していました。しても対応漏れや放置が生じ、クレームとなることがありました。連絡を頂いても、お客さまがどのような状況にあり、過去どのような対応履歴があったかを、一から聞き直さなければ分かりませんでした。Plusならば、何よりそうした事態になるのを防げます。IDさえ分かれば対応オペレーターの誰であっても対応状況が分かるようになっています」(矢木氏)登録したセキュリティインシデントのその後の対応状況も把握できる。インシデントの対応者が誰で、調査中なのか、外部に確認中なのか、対応作業の依頼中なのかといったステータスが一目で分かる他、詳細表示画面では、メールをやりとりした履歴も確認できる。エスカレーションが必要になれば、同じ画面の中から転送や応答などの対応が可能である。Plusを採用するケースが、ここ2年ほどで急増しているという。Center)サービスの基盤として活用するケースもあるそうだ。「発報されたアラートを受け、インシデントに対応するためポリシー変更を提案し、誰が承認して変更を反映したか、全て記録に残しながら対応できる」──このことが今後の企業に必要であることを示す、理解しやすいエピソードといえるだろう。サイバー攻撃に限らず、さまざまなインシデントに強い組織に「インシデントの管理という意味では、小売店ならば各店舗に導入したPOSレジの障害も、ノロウイルスの発生も、ランサムウェアも、企業にとっては全てインシデントです。したインシデントの報告が上がってきたら、共有し、対応していくという流れ自体は同じ。対応する部署が違うだけです。ヘルプデスクが受け付けた報告内容を自動的に分類し、適切な部署に受け渡し、インシデントに関する情報を適切に共有しながら対応を進めていけるようにする“体制”を早期に整えることが重要です」(矢木氏)世界経済フォーラムの『グローバル・リスク報告書2017』によると、世界の企業の経営者が考えるリスクの上位には、気候変動やテロと並んで、サイバー攻撃が上がるようになった。セキュリティ対策は、それだけ「経営そのもの」にインパクトがある項目である。変化の激しい時代において、サイバー攻撃をはじめとするさまざまな「問題」への本質的な対応を考えるならば、こうした情報共有プラットフォームは重要な役割を果たすことだろう。メールマガジンをご購読ください。申し込みページへ利用規約ITmediaはアイティメディア株式会社の登録商標です。