顧客サポート業務から不正請求の処理に至るまで、あらゆる業務を管理するためにデジタル自動化への投資を進める企業が増える中、IT部門の責任者たちは、いくつかの難しい問いについて検討しています。アルゴリズムによって、最終的にはチームが職を失うことになるのか、それとも別の役割へと移行することになるのか、ということです。
しかし、IT部門の中でも、自動化を大いに歓迎しているグループが一つあります。それは、深刻な人手不足と過重な業務負担に直面しているサイバーセキュリティチームです。 10年以上にわたり、セキュリティアナリストの供給は需要に大きく追いついていません。 In 2021, more than 3.5 million cybersecurity jobs will go unfilled, according to Cybersecurity Ventures.
一方、これらのチームが直面する脅威の数は急増しています。 の調査によると、 2020 におけるランサムウェア攻撃は、 2019 の水準に比べて7倍に急増しました。。 一方、ポネモン研究所の調査によると、 60% のセキュリティオペレーションセンター（SOC）の担当者のうち、転職やキャリアチェンジさえも検討していると回答しています。
もう少しだけ頑張ろうと考えているセキュリティの専門家の皆様には、まもなく助けがやってきます。 反復的な低レベルのタスクを処理するように設計された のセキュリティ自動化ツール （新しいタブで開きます） は、サイバーセキュリティ業務の多くに求められる単調な作業の大部分を解消できるだけでなく、ますます増えている高レベルの機能も処理できるようになっています。
「SOCのバーンアウトは単なる流行語ではなく、現実の問題です」と、ニューヨークに拠点を置くサイバーセキュリティ企業、 Cywareの脅威インテリジェンス専門家、ニール・デニス氏は述べています。 「自動化を導入すれば、SOCアナリストが直面している問題の大部分は解消されるでしょう。」
自動化は、サイバーセキュリティチームに単なる負担軽減以上のメリットをもたらします。 これにより、サイバー犯罪によるコストを削減し、解決までの時間を短縮します。 IBMとポネモン研究所が実施した「 2020年7月 」に関する調査 によると、自動化ツールはデータ侵害によるコストを削減する上で重要な要素であることが明らかになりました。 Deploying software that automates the process of identifying and mitigating threats is saving organizations an average of nearly $3.6 million per breach (against an average total cost per breach of just over $6 million) and reducing resolution windows by roughly 25% (from an average of 308 days to 234).
当然のことながら、何らかの形でセキュリティの自動化を導入している組織の割合は、 2018以降、 49％から 59％へと増加しました。 そこで、最大の疑問は明らかです。なぜ、もっと多くの組織がこれを実践していないのでしょうか？
非人間的要因
IT-Harvestのチーフリサーチアナリスト、リチャード・スティノン氏は、その理由の一つとして、多くのセキュリティ対応チームには、自動化を十分に活用できるほどの高度な能力が備わっていないことを挙げています。
「パスワードのリセットを自動化するのは簡単です」とスティエンノン氏は述べています。 「しかし、脅威の検知やネットワーク接続の自動遮断は、より高度な活用例となります。」 「これを実行できる企業は少なくなっています。」
これまで、SOCでは、アラートへの対応、脅威の分析、およびそれに対応するためのルールの作成やコーディングを、人間のオペレーターが行う必要がありました。 今日では、アクセス権限の管理、ログの分析、あるいは低レベルの脅威への対応など、必要ではあるものの反復的なセキュリティ業務の多くを、機械やアルゴリズムが担っています。
[関連記事：今こそ、ツールを増やすのではなく、エンドポイントの可視性を高めるべき理由]
パンデミックの初期段階において、リモートワークを行う人が急増したことで、セキュリティチームにおける「アクセス管理」という側面を自動化する必要性が一層高まりました。 データクラウドセキュリティ企業 Cyral（）のCEO、マナヴ・ミタル氏によると、従業員の認証と承認を行う手動のチケット発行システムは需要に追いつくことができず、処理の遅延やミスの発生を招いていたとのことです。
「Cyralでは、セキュリティの自動化に多大な力を注いでいます」とミタル氏は述べています。 「当社の基本的な運営原則は『セキュリティ・アズ・コード』です。」
ミタル氏はさらに、手動によるプロビジョニングを、スクリプトやマシンによって管理される設定ファイルに置き換えることで、SOC管理者は人為的なミスを最小限に抑え、適切なリソースへのアクセス権を適切な担当者にのみ確実に付与できると付け加えています。
「パスワードのリセットを自動化するのは簡単です。」 しかし、脅威の検知やネットワーク接続の自動遮断は、より高度な活用例となります。”IT-Harvestのチーフリサーチアナリスト、リチャード・スティエンノン氏
のCTOであるジョー・パートロー氏によると、自動化ツールは、複数の情報源からの脅威情報を統合することで、インシデント対応の向上にも寄与しているとのことです。のReliaQuest（）は、セキュリティスタック全体にわたる可視化を実現するSaaSプラットフォームです。 また、不審なIPアドレスのブロックやパスワードの自動リセットなど、軽微な脅威に対しては、あらかじめ設定された対応を実行することも可能です。
「すべてを自動化することは決してできないでしょう」とパートロー氏は述べています。 「しかし、アナリストがさまざまなツールへのログインや、ノイズの多いアラートや影響の小さいアラートへの対応に費やす時間を削減できれば、重要な事象の実際の分析により多くの時間を割くことができるようになります。」
さあ、羽ばたきましょう
自動化のメリットをさらに拡大しようとしている組織では、「セキュリティ・オーケストレーション、自動化、および対応（SOAR）」プラットフォームと呼ばれる、より幅広いツール群の利用が始まっています。 Cyware社のデニス氏によると、これらにより、SOCは、ファイアウォールや、競合他社の エンドポイント検出・対応（EDR）ツール など、本来であれば連携できない可能性のあるリソースを統合できるようになるといいます。
SOARを活用することで、オペレーションセンターのアナリストは、セキュリティアラートに基づいてチケットを作成し、他のインテリジェンスフィードからの情報を追加して内容を充実させ、リスク分析エンジンを通じて脅威スコアを算出した上で、その脅威を誤検知としてフラグを立てるか、あるいはさらなる調査のために人間のアナリストに引き継ぐことができます。
「ティア1のSOCアナリストなら 10 分あるいは15 分かかる作業も、オーケストレーション・プラットフォームなら数秒で済む可能性があります」とデニス氏は付け加えます。 「これにより、アナリストはより重要な事案について本格的な調査に専念できるようになります。」
[関連記事：Taniumがセキュリティのオーケストレーション、自動化、および対応をどのように実現するか]
ROIはかなりのものになる可能性があります。 国土安全保障省や米軍などの連邦機関は、SOARプラットフォームを戦力増強手段として活用しており、人員不足に悩むSOCが脅威分析に要する時間を大幅に短縮できるようになっています。 SOARソリューションプロバイダーであるSwimlane社が発表した「 」のケーススタディ（ ）によると、1日あたり10,000 件以上のセキュリティアラートを手作業で処理していたある政府機関では、人員数を維持しつつスタッフの士気を高める一方で、脅威の分析と是正に必要な時間を75％以上短縮することに成功しました。
とはいえ、どの組織であっても、自動化できるセキュリティ業務の種類には当然ながら限界があります。 脅威の巧妙さや規模が拡大するにつれ、セキュリティチームは難しい判断を下す際、常に人間の判断に頼ることになるでしょう。
「誤検知があったからといって、CEOのPCをネットワークから切り離すようなことはすべきではありません」と、ReliaQuest社のパートロー氏は述べています。 「そのようなことをする前に、複数の信頼できる情報源を確認しておくべきです。」 「機械を次々と停止させ始めた途端、その自動化プロジェクトはすぐに頓挫することになります。」
明後日はゼロデイです
外部の人材や再教育を受けた従業員だけでチームの体制をまだ十分に整えきれていないITリーダーにとって、自動化されたワークフローは、リスクが確実に増大し続けるという状況に対する重要なリスクヘッジとなるでしょう。
今後数年の間に数千万台もの新しいデバイスがインターネットに接続され、あらゆる組織の攻撃対象領域が大幅に拡大するにつれ、自動化された対応の必要性は劇的に高まると、グローバルなセキュリティコンサルティング会社である Guidepost Solutions（）のシニア・マネージング・ディレクター、ケネス・メンデルソン氏は指摘しています。
「ネットワークにおけるIoTデバイスの存在感が高まるにつれ、ネットワーク上のすべてのデバイスを特定し、それらのデバイスの脆弱性を評価し、弱点を修正するという作業を自動化することが不可欠となるでしょう」と彼は述べています。
まだ自動化を導入していないセキュリティ組織は、新たなリスクを招きかねません。その一因として、ハッカー自身も自動化ツールを利用していることが挙げられます。 「 の『NotPetya』ワーム（）のように、自動的に拡散するエクスプロイトはすでに確認されています」とスティエノン氏は述べ、「また、 の『Stuxnet』（ ）のように、自律的に動作する事前プログラムされた攻撃もあります」と付け加えました。
これから事態はさらに悪化するでしょう。 さらに同氏は、今後のランサムウェア攻撃では、何らかの形でAIを活用してネットワークを解析し、エンドポイントから認証情報を抽出し、データを盗み出す可能性が高いと述べています。 「攻撃は数分で実行されるようになり、いつの日か数秒で実行されるようになるでしょう」と彼は付け加えます。 「それに対抗する唯一の方法は、自動化です。」
