SOCを機能拡張し能力を高める著者紹介MITREについて高度なサイバー敵対者からデジタル企業を守るには、戦略、タイムリーな情報、そして24時間365日の警戒が必要です。イノベーション・エコシステムと連携し、サイバーシステムの安全確保に取り組んでいます。60年以上にわたり、パートナーシップを通じて変革を促してきた私たちは、複雑なシステムや革新的なソリューションの背後にある人間の要素を決して見失うことはありません。MITREは、豊富で深い技術的専門知識を駆使して、進化し続けるサイバーセキュリティの課題に取り組んでいます。プライバシーにとって極めて重要であることを理解しています。私たちがサイバーディフェンダーコミュニティと共有するガイダンスは、この分野の科学と実践を進歩させ続けています。商業的な利益相反を排除し、ネットワーク侵入者を阻止するための重要な情報で世界中のサイバーディフェンダーコミュニティーを武装化するために活動しています。公益のためのサイバーセキュリティ研究の一環として、MITREはSTIXTM、TAXIITM、CVE®など、幅広いサイバーセキュリティ・コミュニティに使用される標準やツールを開発してきた長い歴史があります。当社の専門スタッフは、多くのサイバーセキュリティリソースやイノベーションにおいて、パートナーやコラボレーションを続けています。世界最高水準のサイバーセキュリティオペレーションセンターの11の戦略」は、SOCオペレータのためのデジタル防御強化の実践的なガイドであり、より安全な世界のために問題を解決するというMITREのミッションを体現しています。SOCとは何か、なぜ重要なのか?本冊子は、「世界最高水準のサイバーセキュリティ・オペレーションセンターの11の戦略」の概要を紹介するものです。読者が自由に利用できる完全版のダウンロードや、電子書籍または印刷版の入手につながることを期待して、本書で議論されている11の戦略への入口を提供します。確保することは大切な仕事です。堅牢なシステムエンジニアリングから効果的なサイバーセキュリティ施策、包括的な人材育成まで、多くの並行・関連した取り組みが含まれる。するための重要な要素の一つです。インシデントの検出、分析、および対応に関する運用の中心は、サイバーセキュリティ運用センター(CSOC、または単にSOC)です。この本は誰のためのものですか?本書は、SOCの一員、サポート、煩雑な共同作業、管理、またはSOCを立ち上げようとしている方々のためのものです。エンジニア、アナリストなどが読者です。11の戦略」の一部は、セキュリティ運用をよりよく理解しサポートするために、日常的にSOCと接している人が参考文献として使用することもできます。学生や他の分野からサイバーセキュリティの運用に移行する人々にも有用です。SOCの基礎知識インシデントの検出、分析、および対応のための運用上の中心は、サイバーセキュリティ運用センター(CSOC、または単にSOC)です。SOCは、構成員のために一連の機能を実行することで、構成員のサイバー監視および防御のニーズを満たします。SOCツール、アーキテクチャ、エンジニアリング状況認識、コミュニケーション、トレーニングリーダーシップとマネジメントSOCは、セキュリティに関連する膨大な量のデータを収集・管理することで、その使命を果たしています。SOCは、適切なデータを適切なタイミングで、適切なコンテキストで収集し、理解することができなければなりません。し、SOCメンバーに提示しています。サイバーセキュリティの運用は、組織のミッションをサポートするために存在するため、彼らが見るデータや取るべき行動にはコンテキストが必要です。保護する対象とその理由を知る時間をかけて5つの領域で状況認識を深める:時間をかけて5つの領域で状況認識を行うビジネス/ミッション:この分野は、構成員の存在理由とその運営方法を理解することに重点を置いています。この領域は、報告要件やプライバシー規制など、サイバーセキュリティ業務に関連する政府の法律や業界の規制を含みます。アップ/ダウン状態など)を理解することが含まれます。構成員の重要なシステムとデータ、そのデータのビジネスへの接続と価値、そのデータの場所(オンプレミスシステム、クラウド、パートナーITなど)を把握することも含まれます。ユーザー、ユーザーの行動、サービスの相互作用:この領域には、ユーザーとサービス、サービスとサービスの相互作用など、典型的な行動パターンを理解することが含まれます。脅威:この領域には、その構成員が特に懸念する可能性のあるさまざまな種類の脅威(ハクティビスト、犯罪者、国家など)を理解することが含まれます。課題:SOCは、構成員のサイバー資産を防衛する最前線にいる。SOCの組織構成や資金調達方法は、SOCが使命を果たす能力に直接影響します。SOCに仕事をする権限を与えるSOCの設立趣意書(SOCの存在、資源の調達、変革の実行の権限を与える指針)は、SOCを構築・運営するための重要な要素です。他の構成要素との連携に関する期待事項が含まれている必要があります。SOCは、他のサイバーセキュリティおよびITガバナンスによる支援と実現が必要です。SOCは、その権限、予算、およびミッションの焦点を、所属する組織から引き出します。SOCは、組織内の様々な場所に設置され、それぞれに長所と短所があります。一般的な配置は、最高情報責任者(CIO)または最高情報セキュリティ責任者(CISO)の下である。その他にも、最高業務責任者(COO)の下、最高セキュリティ責任者(CSO)の下、IT業務の下、特定のビジネスユニットの中などがあります。効果的なSOCは、そのミッションを遂行するために必要なリソースを確保し、協力を得ることができるよう、構成員の幹部が署名した憲章と一連の権限を持っています。組織構造を決定する上で重要な要素です。構成員の中でどのように位置づけられるか、その全体的な目的を示す包括的なモデルの両方が含まれます。機能領域の一部または全部を取り入れることになる。SOCSOCは、さまざまな組織モデルにより、規模や形態が大きく異なる中で一貫性のあるサポートをします。主なSOCの組織モデルには以下のようなものがあります。恒常的なインシデントの検知や対応する能力はない。SOCの正式な組織はない。リソースを様々な構成員が分担している分散型プール。セキュリティ業務のリソースを一つの権限と組織の下に集約している。1つ以上の他のSOCと親会社を共有しているが、一般的に独立して運営されているSOC。その下にある他のSOCの活動を調整する責任を負うSOC。コーディネートSOCの構成と似ているが、親組織がより積極的な役割を果たす。国全体のサイバーセキュリティ態勢を強化する役割を担っている。外部組織に対して、ビジネス/フィーフォー・サービス型の関係でSOCサービスを提供する。課題:世界トップレベルのSOCを運営する上で、最も重要なのは人です。トレーニングや採用を通じて、有能なスタッフを確保することが重要です。戦略4:質の高いスタッフの雇用と育成SOCにとって人材確保は最大の課題の一つですが、SOCのミッションを成功させる上で最も重要な要素の一つでもあります。採用の際には、その役割に対する情熱が成功の重要な指標となります。サイバーセキュリティの専門家が不足している。各SOCは、社内で人材を育て、キャリアアップを支援することも必要です。SOCは、適正な市場価格を支払い、SOCチーム間のコミュニケーションと共有を通じて帰属意識を高め、多様で包括的な職場環境をサポートすることによって、スタッフが留まるような環境を作らなければなりません。ほとんどのSOCでは、スタッフの離職が現実のものとなっています。この問題に対処し、SOCプロセス全体の実行を支援するために、組織的なナレッジをあらためて把握することで、離職の事前計画を立てます。SOCキャリアパス課題:コンピュータとネットワークが存在する限り、サイバーインシデントは存在する。一般的に、SOCの有効性は、いつ、どのように対応するかで決まります。戦略5:インシデントレスポンスの優先順位付けインシデントのカテゴリー、対応ステップ、エスカレーションパスを定義し、それらを標準業務手順書(SOP)やプレイブックに成文化することで、インシデント対応の準備をする。組織におけるインシデントの優先順位を決定し、対応するためのリソースを割り当てる。バイアスの除去などの期待に応えるための十分な構造が与えられると同時に、直感と経験に基づいて行動する自由が与えられていなければなりません。お客様のミッションやビジネスに対して、的確かつ丁寧に対応する。NISTインシデントレスポンスライフサイクル課題:悪意のある活動や敵対者の痕跡を見つけることは困難なことです。SOCはプロアクティブに行動し、脅威がその構成員の環境に入り込む前に特定する必要があります。サイバー脅威のインテリジェンスで敵を明らかにする敵の情報、組織の関連性、技術環境の交わりを分析し、防御、監視、その他の行動の優先順位を決めることで、サイバー脅威情報の収集と活用を調整すること。ATT&CKを使用して、敵の戦術、技術、手順(TTPs)の情報と分類を支援することを検討する。実用的なサイバー脅威インテリジェンス(CTI)には、敵の情報、構成員の技術環境、ビジネスやミッションのコンテキストを統合的に分析することが必要です。SOCは、敵対者の関連付けを行わなければ攻撃を予測することができません。敵対者の関連付けとは、特定の人物やグループがその活動を行ったという絶対的な確実性を必要とせず、防御の目的で悪意のある活動を敵対者と思われる人物や既知の行動集団に関連付ける行為と定義される。CTIの効果的な使用は反復プロセスであり、より多くの情報を理解することで進化していきます。このプロセスには、事象の背景を理解し、分析を行い、行動を起こすことが含まれます。課題:多くの顧客は、SOCが処理・対処しきれないほどのデジタルデータを生成しています。適切なデータの選択と収集ネットワークやホストシステム、クラウドのリソース、アプリケーション、センサーが収集したセンサーデータやログデータなど、異なる種類のデータの価値を相対的に考慮してデータを選択します。データが少なすぎる(そのため関連情報が得られない)、データが多すぎる(ツールやアナリストが忙殺される)というトレードオフを考慮してください。侵入の検出と確認の両方において、エンドポイントからのデータと計測は、ネットワークトラフィックからのデータよりも情報量が多く、より明確であると一般的に考えられています。SOCは、オンサイトのデータセンター、クラウド環境、モバイルインフラ、運用技術など、関連するすべての環境からデータを収集する必要があります。データ量と価値のバランス課題:SOCは、膨大な量の異種データを情報アーキテクチャにまとめます。アナリストは、データを迅速に評価し、データを情報に変換し、その情報を使用して任務を遂行する必要があります。戦略8:アナリストのワークフローを支援するツールの活用ツールやデータにビューを集約し、調和させ、SOCのワークフローを最大化するために統合します。セキュリティ情報およびイベント管理(SIEM)、ユーザーおよびエンティティの行動分析(UEBA)、セキュリティオーケストレーション、自動化および応答(SOAR)など、多くのSOCツールが、クラウドや運用技術環境など、組織の技術環境にどのように適合しているかを検討する。各SOCは、アナリストをサポートするために、異なるツール、機能、および統合をもたらします。この図は、アーキテクチャの一例を示しています。SOCがどれだけ資金や人員を投入しても、組織が直面するサイバー脅威や脆弱性のすべてを把握することはできない。社内外との連携により、貴重な知見を得ることができる。明確に伝える、頻繁に協力する、惜しみなく共有するSOC内、ステークホルダーや構成員、より広いサイバーコミュニティと関わり、能力を向上させ、より大きなサイバーセキュリティのエコシステムに貢献する。コミュニケーション、コラボレーション、シェアリングの向上は、まずSOC内部から始めるべきです。SOCの最も重要な資源である「人」を十分に活用するために、SOCの全員がこれらの分野に積極的に参加する機会を与えられるべきでしょう。SOCが何をしているのか、SOCが何を必要としているのかを明確かつ簡潔に表現することができれば、SOCの構成員と強い関係を築き、組織内でSOCの効果を最大限に発揮することにつながります。あるシフトから別のシフトに情報を渡します。インシデント対応担当者とCTIチームが一緒になって、新しい分析を行う。ステークホルダーやエグゼクティブに対して、リスクサマリーや提言を提供する。インシデントへの対応方法を構成員と事前に計画し、共同でガイダンスを発表する。最新のサイバー脅威と、それがビジネスに与える影響について、ランチ会を開催して学びます。インシデントTTP、IOC、検知戦術を他のSOCに提供し、一部を返送してもらう。ベストプラクティスを比較し、ハンティングなどの共同活動を選択。他のSOCとクロストレーニングを実施し、教訓セッションを組み込む。他者と提携し、共有することで、誰もがより強固なサイバーディフェンスコミュニティを構築することができるのです。課題:SOCは、その使命を果たし、構成員のサイバー資産を保護することで成功する。技術の変化や新たな脅威の出現に伴い、SOCは何がうまく機能しているか、どこを改善すれば最も効果的かを理解する必要があります。何がうまくいっているのか、どこを改善すべきなのかを知るために、定性的・定量的な指標を決定する。行動が含まれています。指標は3つのグループに分けることができます。SOC内部で消費するためのもの。SOCの価値や運用状況をステークホルダーに説明するもの。その他、SOCのミッションから外れた構成員のサイバーセキュリティの状況についてSOCが知るもの。すべての対策が良い結果をもたらすとは限らない。間違った」指標の選択と監視は、時間の浪費や、最悪の場合、有害な慣行に焦点を当てることにつながります。基本的なサービスの提供だけでなく、能力の向上や透明性の文化を重視するために、チームのコンセンサス、代償としての品質チェック、測定基準のバランスを模索すること。配置プログラム課題:サイバー敵は絶えず進化しており、技術も急速に変化しています。SOCはそれに対応する必要があります。SOCを機能拡張し能力を高めるインシデントレスポンスが成熟したら、SOCの能力を高めて、しばしば隠れて静かに活動する、より巧妙な攻撃者を検知し、防御することができます。これらの付加機能には、以下のようなものがあります。スレットハンティングで新たな方法で敵を探す。レッド・チーミング、パープル・チーミング、侵入・攻撃シミュレーションなどを通じて、SOCの敵対者検知能力をテストし、強化します。ネットワークや資産を隠蔽し、不確実性と混乱を生じさせ、および/または欺瞞によって敵の認識と意思決定に影響を与え、誤った方向に導くこと。マルウェアやデジタルフォレンジック分析を通じて、敵対者の行動、技術、ツールに関するSOCの知識を深める。卓上演習を活用したSOCの運用改善。スレットハンティングは、SOCが通常の定期的な検知や警告を受けずに敵を発見するための最良の方法の一つです。Knerler過去20年にわたり、サイバーセキュリティに関する多くの職務を経験し、第一線のサイバー分析、インシデント対応、ネットワークセキュリティ機器の設計・設置・監視を専門としている。MITREのサイバーアセスメントおよび自動化部門をリードしています。関わることで、運用の実地分析からサイバーセキュリティの職務に携わってきました。国土安全保障エンタープライズ部門のチーフエンジニアを務めています。ZimmermanMITREを経て、現在はマイクロソフトに在籍し、約20年にわたり商業および非営利セクターのサイバーセキュリティに携わる。サイバーセキュリティオペレーションセンターのアーキテクチャ、コンサルティング、エンジニアリングの専門家。