セキュリティの自動化 (新しいタブで開きます) は、言うは易く行うは難しです。
国土安全保障省の「継続的診断・是正（CDM）」プログラムの事例について考えてみましょう。 2012年に開発されたこのプログラムは、脅威、脆弱性、データ漏洩、およびセキュリティポリシーに準拠していないセキュリティツールについて、システムの継続的な評価と是正措置を通じて、連邦政府機関のセキュリティを向上させることを目的としています。
行政機関の失策や事情の複雑さのため、このプログラムは立ち上がりが遅れました。 のDHS報告書（ ）によると、監察総監室の報告書によれば、DHSは当初、このプログラムの第1段階を2017年までに導入することを目指していましたが、それが 2022年に延期されました。 2023年4月 によると、連邦政府の民間機関は、毎週自動的にセキュリティ評価を実施し、発見されたセキュリティ上の欠陥について正確な把握を行うことが義務付けられることになります。
これは、セキュリティの自動化を推進するために連邦政府が講じている、 の新たな取り組みの一つです。 しかし、このような停滞した進捗が、連邦政府機関において――ひいては民間企業においても――当然のことである必要はありません。 業界の主要なベストプラクティスから学ぶことで、組織は適切な方法でセキュリティを自動化することができます。
[関連記事：セキュリティと自動化が密接に関連している理由] (新しいタブで開きます)
自動化の課題
長年にわたり、セキュリティの自動化は「聖杯」として称賛されてきました。 これまでの取り組みとしては、IBMが業界を「オートノミック」コンピューティングの自己修復機能へと移行させようとした試みや、その後、ネットワーク業界が「ネットワークアクセス制御」の自動修復機能を推進したことが挙げられます。 どちらも、支持者たちが期待していたほど人気は伸びませんでした。
「自動化により、反復的な運用業務の大部分を削減または排除することが可能となり、ITチームは戦略的なセキュリティ対策により多くの時間を割けるようになります。」
それ以前の取り組みに比べ、状況は大幅に改善されました。 主に、新しいセキュリティ自動化標準の普及、コンピュータプログラム間をつなぐアプリケーション・プログラミング・インターフェース（API）、および のクラウドシステム の導入が進んだことにより、多数のセキュリティプロセスを自動化することが可能となっています。 自動化により、煩雑でしばしば反復的な運用業務の大部分を軽減または排除することが可能となり、ITチームは戦略的なセキュリティ対策により多くの時間を割けるようになっています。 のセキュリティスキル不足が依然として続いていることを考えると、これは極めて重要なことです。 実際、 による国家主体の脅威、 ランサムウェア グループ、およびその他の 悪意のあるアクター による脅威が継続している状況下では、企業はあらゆる手段を講じてサイバーセキュリティの支援を求める必要があります。
のフォーカルポイント（ ）が取材した専門家によると、これらの課題に対処するには、以下の措置を講じる必要があるとのことです。
DevSecOpsを取り入れましょう
企業が採用できる最もシンプルな戦略の一つは、ソフトウェア開発ライフサイクルにセキュリティテストを組み込むことであり、このプロセスは「DevSecOps」として知られています。 そうでなければ、ソフトウェアの欠陥が製品やサービスに混入してしまい、他のシステムを攻撃するために悪用される恐れがあります。 本番環境に導入されてしまうと、これらの脆弱性を修正するにはより多くのコストがかかります。
とはいえ、DevSecOpsの分野には、まだまだ改善の余地がたくさんあります。 暗号化およびデジタル証明書セキュリティベンダーのVenafiが実施した「 」調査（ ）によると、IT部門の上級幹部の97％が、ソフトウェア開発プロセスのセキュリティが不十分であることに同意していることが明らかになりました。 さらに、GitLabが実施した「 2022 Global DevSecOps Survey」によると、回答者の半数未満（42％）がDevSecOpsを導入していることが明らかになりましたが、これは 2021年の 36％から増加しています。
「アプリケーションセキュリティは、間違いなく自動化すべき分野です。特に、継続的な開発およびデリバリー・パイプライン内でセキュリティチェックを自動化するためのツールが数多く利用可能になっている現在においてはなおさらです」と、セキュリティサービスプロバイダーであるNCC Groupのシニアセキュリティコンサルタント、ケネス・スウィック氏は述べています。 「これらの分野では、自動化の機能が広く活用されています。」
インフラストラクチャをコードとして管理する
「インフラストラクチャ・アズ・コード（IaC）」というトレンドにより、物理システムおよび仮想コンピューティングシステムの両方を、物理的なプロセスや手作業によるプロセスではなく、あらかじめ定義された機械可読な定義ファイルを通じて、自動的に展開・管理することが可能になります。 これにより、システム設定とセキュリティ設定 が統一された状態を維持できるようになります。
システムが設定から外れた場合、自動的に希望の設定に戻すことができます。 また、このアプローチにはもう一つの利点があります。「組織がワークロードのライフサイクル全体を通じて自動化とセキュリティ対策を実施できれば、攻撃対象領域を大幅に縮小できるのです」とスウィック氏は述べています。
[関連記事：統合エンドポイント管理（XEM）により、企業はリアルタイムのデータを活用してエンドツーエンドの自動化を実現できます]
NetOpsも関連するトレンドの一つです。 これは、ネットワークのセキュリティ、管理、およびパフォーマンスの自動化を総称する言葉です。 IaCと同様に、ネットワーク設定、パフォーマンス許容範囲、およびセキュリティはコード化されており、可能な限り自動的に適用されます。
「ネットワーク分野では、ネットワーク機能の自動化がようやく始まろうとしているところです」と、ネットワーク技術企業Opengearの社長、ゲイリー・マークス氏は述べています。 組織では、ネットワーク接続されたシステムを展開し、自動的に設定・管理を行う「ゼロタッチ・プロビジョニング」といった手法の導入が進み始めています。
Open Web Application Security Project（OWASP）は、 の「Infrastructure as Code Security Cheat Sheet」（）において、IaC環境が、優れたイベントロギングや、インフラストラクチャの「不変性」および継続的な監視をどのように実現するかを解説しています。 インフラストラクチャの構成要素は、正確な仕様通りに構築し、逸脱や変更は一切行わないでください。 仕様の変更が必要となった場合、更新された要件に基づいて新しいインフラストラクチャが構築され、以前のインフラストラクチャは運用から外されます。
ID管理の自動化
アイデンティティ管理（）とは、ユーザー、デバイス、およびシステムが、権限のあるリソースやデータにのみアクセスできるようにすることを指します。具体的には、対象が自称する通りであるかどうかを認証し、その上で当該対象へのアクセスを許可するプロセスから構成されています。 認証と認可は極めて反復的なプロセスであるため、ID管理は自動化の機会が数多くある分野です。 しかし、企業はオンプレミスおよびクラウド環境やアプリケーションの複雑化が進んでいることに加え、 に関する厳しい規制圧力 に直面しているため、ユーザーへのリソースの割り当てやアクセス権限の管理は、ますます困難になってきています。
「組織がワークロードのライフサイクル全体を通じて自動化とセキュリティ対策を実施できれば、攻撃対象領域を大幅に縮小することができます。」NCCグループのシニアセキュリティコンサルタント、ケネス・スウィック氏
IDに関連する多くのプロセスは、各事業部門ごとに分断されています。 したがって、ID管理システムを一元化し、人事システムと統合し、特定の職務役割に応じてアクセスレベルやユーザー権限を定義すること（いわゆる「役割ベースのアクセス制御」）により、プロビジョニング、継続的な管理、およびプロビジョニング解除の自動化がはるかに容易になります。
「セキュリティに配慮した自動化されたワークフローを適切に構築すれば、多くの組織におけるアカウント管理の慣行に取って代わり、事前に合意された許容リスクレベルに基づいて、企業が自社のユーザーベースを自主的に管理できるようになる可能性があります」と、テクノロジーソリューションプロバイダー「 e360」のエンタープライズソリューションアーキテクト、ジェイソン・シエロティ氏は述べています。 「その結果、効率的で再現性の高いプロセスが実現され、従業員はより早く、かつより安全な方法で生産性を発揮できるようになります。」
SOARプラットフォームを導入する
SOAR（セキュリティ・オーケストレーション、自動化、および対応の略）とは、セキュリティチームがセキュリティ運用、インシデント対応、および脆弱性管理の各側面を自動化できるようにする、一連のセキュリティツールおよびプロセスのことです。
「多くのセキュリティオペレーションセンターではSOARを採用しており、インシデントへの対応のために、自動化または部分的に自動化されたプレイブックを構築しています。」451 Researchの情報セキュリティ研究責任者、スコット・クロフォード氏
例えば、脅威インテリジェンスのフィードやセキュリティアラートは、検知された内容に応じて、 のインシデント対応「プレイブック」 を自動的に起動させることができます。 また、SOARでは、可能な限り、 の人工知能 および の機械学習 を活用し、セキュリティアナリスト 、脅威ハンター、およびセキュリティ運用チームを支援しています。
セキュリティオペレーションセンター（SOC）内の一部の業務は自動化が可能です。 SOCチームは、セキュリティインシデントの予防、監視、検知、および対応に取り組んでいます。 例えば、セキュリティアラートを脅威インテリジェンスや脆弱性管理データと関連付けることができれば、システムは特定のアラートが低リスクであると自動的に判断したり、脅威の度合いが高いと判断された場合には対応レベルを引き上げたりすることが可能になります。 こうした基本的な業務は、通常、いわゆる「レベル1」のセキュリティアナリストによって行われます。
[関連記事：セキュリティオペレーションセンターを迅速に拡大する方法はこちら]
「レベル1のアナリスト業務の多くは自動化が可能です」と、S&Pグローバル・マーケット・インテリジェンス傘下の 451 リサーチで情報セキュリティ研究責任者を務めるスコット・クロフォード氏は述べています。 「多くのセキュリティオペレーションセンターではSOARを活用しており、インシデントに対応するための自動化または半自動化されたプレイブックを構築しています。」
障害を一つずつ乗り越えていきましょう
もちろん、セキュリティの自動化は容易なことではありませんし、すべての組織、あるいは大多数の組織でさえ、すべてを自動化できるほど成熟しているわけではありません。 課題としては、社内セキュリティポリシーに対する理解不足や、ツールの標準化が不十分であることなどが挙げられます。
「多くの組織では、セキュリティプログラムへの取り組みに一貫性が欠けています。こうした組織にとって、まず着手すべき最善の方法は、セキュリティプログラムの標準化を行うことです」とスウィック氏は述べています。 「次に、成功の可能性が高い分野を特定し、それらのプロジェクトを管理しやすい単位に分割してください。」
クロフォード氏はさらに、セキュリティチームが成功の可能性が高い領域を選んで自動化を行うことに加え、組織は自動化を試みる前に、自組織で導入されているプロセスを十分に理解しておく必要があると付け加えています。 「最適とは言えない、あるいは不十分なプロセスを自動化してしまうと、『状況をさらに悪化させてしまう可能性が非常に高い』」と彼は述べています。 例としては、役割が不十分に定義されたユーザーを自動的にプロビジョニングしたり、適切に構成されていないクラウドワークロードを自動的にデプロイしたりすることが挙げられます。
[関連記事：クラウドワークロードを適切に運用することはあくまで始まりに過ぎません。企業はマルチクラウド環境全体にわたって資産を保護する必要があります]
また、経営陣も政府の支援を活用すべきです。 2021年6月において、米国国立標準技術研究所（NIST）は、民間企業と連携し、「 」オープン・セキュリティ・コントロール評価言語（OSCAL）の開発を発表しました。これは、セキュリティの自動化、継続的な評価、および監査を促進するマルチフォーマット・フレームワークです。 NISTは、OSCALがセキュリティ評価の効率性、正確性、および一貫性を向上させ、機能の継続的な見直しと監視を可能にするものと考えています。
こうした取り組みは、最終的にはすべての組織が、セキュリティ対策の一部をより容易に自動化できるようになる一助となるでしょう。 セキュリティを完全に自動化することはできませんが、自動化できる範囲を広げるのに役立つツールや手法はますます増えてきています。
組織が状況を綿密に分析し、可能な限り業務を自動化することで、スタッフを単調な作業から解放し、セキュリティ運用を大幅に効率化することができます。 攻撃の数や手口がますます巧妙化する一方で、セキュリティ人材の不足が続いているため、セキュリティの専門家たちは、あらゆる手段を講じて業務効率を高める必要があります。
