セキュリティアラートの調査にあたっては、アナリストは常に、頭の中で多くの背景情報を整理しつつ迅速に対応することが求められてきました。具体的には、エンコードされたPowerShellコマンドが何を実行しているのか、なぜアラートが発火したのか、関連するプロセスの系譜が何を意味するのか、そして次に何をすべきなのかを理解する必要があります。 ジュニアアナリストにとって、そうした背景知識を身につけるには何年もかかります。 シニアアナリストであっても、豊富な経験があっても、あらゆる特殊なケースを網羅できるわけではありません。 多くのセキュリティチームが報告しているように、その結果、調査の遅延、アナリストの確信度の低下、そしてチームの対応能力の制約が生じています。 Tanium Threat Response（ ）に搭載された、 のAIを活用した情報補完および分析機能は、実際に調査が行われるワークフローの現場で、そのギャップを直接埋めるように設計されています。
ダンカン氏は、Threat Responseの2つの新機能、すなわちコマンドラインによる情報補完とアラート分析について解説します。 エンリッチメント機能は、エンコードされたコマンドをデコードし、コマンドラインの各構成要素を分解して、各パラメータの役割を説明するとともに、セキュリティ上の影響を平易な言葉で指摘します。 「分析」機能はさらに一歩進んで、アラート全体をコンテキストとして扱い、アラートが発生した理由、主な調査結果、影響評価、および推奨される対応策を含む、体系化された要約を返します。
コマンドラインの意味を調べるためにウィンドウを切り替えてしまい、調査の流れが途切れてしまった経験や、特定のアラートがなぜ若手アナリストにとって懸念すべきものなのかを説明するのに苦労した経験がある方なら、今回のエピソードでは、まさにそうした問題に対処できる機能について詳しく解説しています。 以下の動画で、手順の全編をご覧ください。
キーポイント
- 「Enrich」の機能について解説： アラート内の「Enrich」ボタンは、単にエンコードされたPowerShellコマンドをデコードするだけではありません。 コマンドラインの各構成要素を詳細に解説し、各パラメータの役割を説明するとともに、「ポリシーベースの制御を回避するために悪意のある目的で頻繁に使用される」といったセキュリティ上の影響についても明らかにしています。
- 標準以外のコマンドレットにはフラグが立てられます： エンリッチメント処理において、
get-uacのような項目が検出された場合、それが組み込みのコマンドレットではなく、おそらくカスタム関数であると識別され、潜在的なステージングの可能性について、そのソースや直前のアクティビティを調査することが推奨されます。 - Alert Analyze は完全なコンテキストを提供します： Analyze 機能は、プロセスの系譜、コマンドライン、インテリジェンスの詳細など、アラート全体をコンテキストとして扱い、アラートがトリガーされた正確な理由を説明する初期のアラート概要、異常な要素を強調した主な調査結果、影響評価、および推奨される対応策を返します。
「というのも、もし私がここから離れてLLMに尋ねたり、Googleで検索してこの特定のコマンドラインの意味を調べたりしなければならないとしたら、ここを離れることになりますし、戻ってきたときに文脈を見失ってしまう可能性が高まってしまいますよね？」 では、私は一体何を見ていたのでしょうか？ その前のものは何でしたか？ この後、私は何をしようと思っていたのでしょうか？ コンソールから離れてどこかへ行く間も、そのすべてをきちんと把握しておこうとしています。 コンソール内でコンテキストを維持することで、集中力を切らさずに済みますし、先ほど何をしようとしていたかを改めて思い出す必要もありません。そのため、私はこれが非常に役立つと感じています。”タニウム・ハントIQ・ハンター、ダンカン・ミラー
- 推奨される対応策には、環境に応じた判断が必要です： ダンカン氏は、エンドポイントの隔離、splunkdユーザーのSQLの終了および隔離、関連ドメインへのアウトバウンドトラフィックのブロックなど、推奨される対応策は妥当であるものの、それらを環境に応じて適切に判断する必要があると指摘しています。 重要なドメインコントローラーや収益を生み出すサーバーを、その背景事情を考慮せずに隔離してしまうと、深刻な問題を引き起こす可能性があります。
- エンリッチメント機能は、ダイレクト接続やデータグリッドにも適用されます： アラートで利用できるのと同じエンリッチメント機能が、ダイレクト接続やデータグリッド内でも利用可能です。 「スパークル」が表示される場所であればどこでも、アナリストはコマンドラインに追加情報を付加して文脈を補完することができます。これには、通常は解釈が難しいChromeやEdgeのブラウザのコマンドラインも含まれます。
「まずは『きらめき』を探してみてください。その『きらめき』が見つかれば、その背景にある文脈をより深く理解できるはずです。」タニウム・ハントIQ・ハンター、ダンカン・ミラー
- ご利用には、「Threat Response」、「クラウド」、および「AI」機能の有効化が必要です： これらの機能は現在、 Threat Response のライセンスをお持ちで、クラウドをご利用のお客様であり、かつ環境内で AI 機能 を有効にしている場合、追加料金なしでご利用いただけます。
その他の参考資料
- Tanium HuntIQがセキュリティチームに提供する、専門家主導の脅威ハンティング：TaniumのHuntIQハンターが、顧客環境内で実際に作業を行い、高度な脅威を先制的に検知し、セキュリティ態勢を強化する方法についてご覧ください。
- 「Tanium Threat Response クラウド ユーザーガイド」の概要：Tanium Threat Response クラウド ユーザーガイドの概要ページです。クラウドをご利用のお客様向けの製品ドキュメントへの入り口について解説しています。
