デビッド・ダマト氏とクリス・マッコンキー氏へのQ&A
Taniumの最高セキュリティ責任者であるデビッド・ダマト氏と、PwC UKのサイバーセキュリティ・パートナーであるクリス・マッコンキー氏は、世界最大手の企業や機関のネットワーク内において、サイバー犯罪者との闘いの最前線でキャリアを積んできました。 、Tanium、PwCが提携し、 を通じて、セキュリティおよびIT運用チームによる侵入の検知と対応のあり方に革命をもたらす中、私たちはデイブさんとクリスさんにインタビューを行い、業界の話題や、この新たな提携が業界にどのような変革をもたらすかについてお話を伺いました。
なぜTaniumなのか？ PwCのお客様は、Taniumの機能からどのようなメリットを得られるのでしょうか？
クリス・マッコンキー：弊社では、セキュリティ侵害への対応のため、クライアントの環境へ定期的に呼び出されますが、具体的なデータを要求するたびに、クライアント側には可視性がなく、エンドポイントから特定の証拠を実際に抽出し得る手段もない、と言われることがよくあります。 そのような場合、侵入者が環境内のどこに潜んでいるかを特定するのに役立つデジタル上の痕跡を収集するには、しばしば数時間から数日かかることがあります。 私たちは、他の事件に加え、複数の大陸にまたがるスパイ活動の侵入事件に対処していましたが、概して、あらゆる問題に対処するために現場へ急行するチームを派遣するという考え方から脱却する必要があると感じていました。 当社は、世界最大級の組織を顧客として抱えているため、大規模なインシデント分析に対応できるツールが必要でした。 私たちは、企業環境に対する遠隔調査やリアルタイム分析を、これまで以上に徹底的に行えるようなソリューションを求めていました。
そこで、エンドポイントの脅威検知分野において、解決策を探し始めました。 いくつか検討した結果、Taniumこそが、私たちが環境内で実現したいことをすべて可能にするほど柔軟性のある唯一のソリューションであることがわかりました。具体的には、環境からすべてのテレメトリデータを抽出して、自社で開発した他のソリューションで分析したり、エンドポイント上で実際に何が起きているかを監視したりできること。さらに、私たちが生成した脅威インテリジェンスやシグネチャをIT環境全体に配信し、エンドポイント側で実際に分析や検索を実行させることができる点です。
私たちはすぐに、Taniumプラットフォームの柔軟性に魅力を感じました。 私たちは概して自分たちを「パワーユーザー」だと考えており、さまざまなカスタマイズを行うことができます。 他のソリューションの多くは、私たちの希望するほどオープンではありませんでした。
デビッド・ダマト：過去10年間にわたり、コンサルティング業務に従事し、その指揮を執ってきた経験から、コンサルティング案件は一つひとつが独特であることを理解しております。 その結果、コンサルタントは、顧客ごとに異なる課題に対処できるよう、極めて高い柔軟性を備えたツールを身につけておく必要があります。 Taniumは、こうした柔軟性を提供しています。幅広い標準規格への対応、カスタムコンテンツの開発、そして詳細なドキュメントが整備されたAPIを介した他のツールとの連携が可能です。 PwCのクリス氏とそのチームは、すでにこの柔軟性とアーキテクチャを活かし、クライアントに最適なソリューションを提供しています。
私は、PwCとそのクライアントが直面している課題に共感いたします。 各組織は、複雑なインシデントの調査に関する支援を求めており、自社の環境内のリスクをより明確に把握する方法を模索しています。 Taniumプラットフォームにより、PwCの専門家は、これまで利用できなかったエンドポイントのアーティファクトを迅速に取得できるようになります。 この新たな可視性と、重要なデータを迅速に入手できるようになったことで、クリス氏とそのチームは、旧世代のエンドポイント技術に依存している他のコンサルティング会社に対して競争上の優位性を得ています。
これまでのキャリアを通じて、脅威の状況はどのように変化してきたとお考えですか？ 夜、何が気になって眠れなくなってしまうのでしょうか？
デイブ：正直なところ、脅威の状況はそれほど大きく変わっていません――そこが問題なのです。 攻撃者の戦術は5年前や10年前に確認された侵害事例と比較的似通っているにもかかわらず、現在では3～4年前よりも多くの侵害事例が見受けられます。
最も懸念されるのは、今日の攻撃者が行動するスピードです。 ほとんどの攻撃者は、環境内に迅速に足場を築き、ごく短時間で横方向に移動する方法を理解しています。 今では数時間で済むことが、以前は数日や数週間もかかっていました。 その結果、組織は攻撃を迅速に検知し、解決できる能力が求められています。これが、Taniumのスピードとエンドポイントでの迅速な対応能力が、お客様から高く評価されている理由の一つです。
クリス：APT攻撃の経緯を振り返ってみると、これは米国と英国の両国にとって、実に 10 年以上にわたり問題となっており、その間、問題の規模は著しく拡大し、他の多くの国々にも影響を及ぼしてきました。 非常に興味深く、そしておそらく意外だったのは、このゲームに参加するプレイヤーがますます増えているのを見ることです。 『 2014年11月』では、 12 カ国に分散しているグループを追跡していました。 ここ 9 ヶ月だけで、そのリストにはさらに8 カ国が加わりました。
市場に新規参入するプレイヤーによって、こうした動きが実際にますます活発になっている様子を見るのは興味深いですね。 ベテランのプレイヤーがたくさんいて、デイブがおっしゃる通り、彼らは今でも昔ながらの手法で成功を収めています。しかし、本当に高度なテクニックの中には、その全容を目の当たりにすると、かなり恐ろしいものもあります。
データ漏洩対策の最前線で仕事をする際、最も驚かされることは何ですか？
クリス：そうですね、私たちの仕事で最もワクワクする点の一つは、追跡のスリルです。 クライアントが、自社のネットワークに侵入者がいることは分かっているものの、その居場所が特定できない場合――例えば、政府機関から情報を得たような場合――、見知らぬネットワーク内で、侵入者が潜伏している場所の証拠を見つけ出し、どの脅威アクターによるものかを特定するための、最初の数時間あるいは数日間は、目まぐるしく激しい展開となります。
驚くのは、こうした連中をどこかで発見するたびに、彼らがどのような反応を示すかということです。 一部の脅威アクターは、自分たちが発見されたことに気づくと、その行動に全面的な変化が見られます。 デイブも、彼らが「一体どうやって自分たちの居場所を突き止めているのか」を突き止めようとし、何らかの回避策を講じようとしている事例を、何度も目にしてきたことでしょう。 これは、私たちが取り組んでいることが、いわばデジタル版の手合わせのようなものだということを、改めて思い起こさせてくれます。 文字通り、人間対人間の戦いなのです。
Dave：攻撃者が検知されることなく、これほど容易にネットワークに侵入できてしまうことに、今でも驚かされます。 多くの組織では、攻撃を検知するために、ウイルス対策ソフトやネットワークセンサーなどのソリューションに依存しています。 アンチウイルスはあまり効果的ではないということは、皆さんお気づきのことだと思います。 しかし、組織側は、ネットワークセンサーではエンドポイントで実際に何が起きたかを特定できないこと、また、インターネットトラフィックの 20％から 50％にも及ぶ可能性がある暗号化されたトラフィックを解析するようには設計されていないという点を、十分に認識できていないと思います。
組織はエンドポイントに注力する必要があります。 ここには、必要な情報がすべて揃っています。 その情報を迅速かつ大規模に取得できれば、事実上どんな質問にも答えることができます。 私のネットワークには、ホストがいくつありますか？ それらは修正済みですか？ 彼らのセキュリティ対策の状況はどうなっているのでしょうか？ エンドポイント上で不審な動作は見られますか？ もしそうであれば、何が起きたのでしょうか。また、どのような対応が必要でしょうか。 だからこそ、多くの組織がTaniumの価値を認識しているのです。
オリオン氏（タニウム社の共同創業者兼CTO）は最近、次のように述べました。「ネットワークの周囲に境界線があるという考え方は、完全に消え去りました。」 そう思いますか？
クリス：まったく同感です。 組織に関して言えば、これは過去 5 年間でさえも、最も大きな変化の一つです。 彼らが資産をどのように守っているかを見ると、 5 年前には明確な境界線があったことがわかります。 すべては組織の「四つの壁」の中にきちんと収まっており、悪意のある者を外に締め出し、適切なアクセス権を持つ者を中に入れるためには、その「四つの壁」を守らなければなりませんでした。 しかし、リモートワークやモバイルワーク、BYOD（個人所有端末の持ち込み）などが普及している現在、組織が資産の所在を完全に把握することは、実のところ困難となっています。
Dave: 確かに、5年や10年前は、すべての資産が企業所有で固定されていたため、ネットワークや境界線を定義するのは容易でした。 今日では、携帯電話やタブレット、クラウドサービス、そして安価で持ち運びやすいストレージがあります。 デバイスやデータは、もはや壁に囲まれた、明確に定義されたネットワークという枠組みに縛られることはありません。 だからこそ、組織が自社のネットワーク上のデバイスの数や種類、セキュリティに関する単純な質問に答えるのに苦労しているのです。 物事があまりにも急速に変化しているため、彼らはただそのことを知らないだけなのです。 これはまさに、当社独自のアーキテクチャを活用して、お客様が課題を解決できるよう引き続き支援している分野です。
IT部門がサイバーセキュリティに対する回復力を高めるためには、どのような取り組みが必要でしょうか？
デイブ：サイバーセキュリティにおいてレジリエンスを持つということは、インシデントに対して適切に対応し、迅速に適応する能力を持つことを意味します。 ほとんどのインシデントに対して、IT部門は是正措置の実施を担当することになります。是正措置とは、環境から攻撃者やセキュリティ上の脆弱性を迅速に排除することを目的とした一連の措置のことです。 これには、脆弱性へのパッチ適用、ローカルの管理者アカウントのセキュリティ強化、ホストベースのファイアウォールの設定変更、あるいはマルウェアの削除などが含まれます。 Taniumプラットフォームを活用することで、これらの対応を迅速化でき、セキュリティ上の不測の事態に対してより強靭な対応が可能となります。
IT部門は、積極的に、いわゆる「セキュリティ・ハイジーン」に注力すべきです。 これには、最新のパッチの適用、セキュリティ設定に対する不正な変更の特定、および資産の追跡が含まれます。 多くのセキュリティ侵害は、設定ミス、管理対象外の資産、あるいはパッチが適用されていないシステムに起因しています。セキュリティの回復力を高める上で極めて重要なこれらの領域について、IT部門が適切な可視性を確保できれば、インシデントの防止に多大な効果をもたらすことができます。 実際、多くのお客様企業のIT部門が、セキュリティチームと連携しながら、Taniumを活用してこれらの課題に取り組んでいる様子を目にしております。
クリス：IT全般において――特にセキュリティに関しては――いくつかのことを非常に高い水準で遂行できる能力が求められます。 その場しのぎのようなやり方で済ませられることもたくさんありますが、絶対に欠かせない核心となる部分もあります。 具体的には、組織内で起きていることをリアルタイムで可視化する機能、組織内で過去に何が起きたかを把握する機能（つまり「Tanium Trace」）、そして是正措置を講じ、リアルタイムでポリシーを適用する機能などが挙げられます。 つまり、例えば特定の脅威アクターを特定できた場合、その脅威アクターが特定のプログラムの脆弱性を悪用していることが分かれば、どのプログラムがその脆弱性の影響を受けるかをほぼリアルタイムで特定し、実際にパッチを適用することができるようになります。
これら3つか4つの異なる分野にわたるほとんどの組織では、それぞれの分野ごとに数日あるいは数週間を要するでしょう。 Taniumのようなプログラムを導入すれば、こうした作業をすべて数分単位に短縮できるため、ほとんどのIT運用部門が切望していることでしょう。
侵入の事実をお知らせした際、お客様はどのような反応を示されますか？
クリス：中には、これを技術的な問題として扱い、マルウェアを駆除し、ユーザーアカウントをリセットすればそれで一件落着だと考えている人もいます。 実際に、これを本来あるべきビジネス上の課題として捉える組織がますます増えてきています。具体的には、どのようなデータが失われたのか、それが今後の事業計画にどのような影響を与えるのか、誰にそのことを報告すべきか、そして、もし何かを失った場合、その事実を関係者に伝えることに関して、法的・規制上および倫理上の義務は何か、といった点です。
経験豊富なクライアントの皆様は、特に新たな侵入への対応を支援する際、私たちが「攻撃者が成功した」とみなす状況と、攻撃者自身が「成功した」とみなす状況との間には、多少の違いがあることに気づき始めていると思います。 つまり、攻撃者がネットワークに侵入した時点では、実際には目的のものをまだ手に入れていないのです。 おそらく、彼らは特定のデータを収集するよう指示されていたのでしょう。 つまり、侵入者が侵入してから、目的のものを手に入れるまでの間に、組織が彼らを見つけ出し、ネットワークから排除する機会があるのです。 そのような時期こそ、Taniumが提供する可視性が非常に役立つのです。 いったん侵入に成功すると、彼らはネットワーク内を移動する際、可能な限り目立たないように行動しようとします。 そのステルス性を奪うと、敵の動きがはるかに鮮明に把握できるようになります。 つまり、侵入時の「滞留時間」が大幅に短縮されるということです。
Dave：インシデントに対する反応は、クライアントごとに異なります。 その対応が計画的なものであることを願っています――つまり、組織にはIR計画が策定されており、関係するすべてのステークホルダーを迅速に集めることができるということです。 万全の体制を整えている組織では、調査中に必要となる可能性のあるエンドポイント、ネットワーク、ログ、その他の情報にも、すぐにアクセスすることができます。 準備が整っていない組織は、多くの場合、自社の環境やログデータ、主要なステークホルダーについて十分に理解できていません。 その結果、準備が整っていない組織では、インシデントが長期化するケースがしばしば見られます。 Taniumは、すべてのエンドポイントに対する比類のない可視性を活用して、クライアントがインシデントに備えるお手伝いをしています。これにより、インシデントが発生してから原因を突き止めようと慌てるような事態を未然に防ぐことができます。
Taniumは、企業のセキュリティ確保において、競合他社に比べてどのような点で優れているのでしょうか？
Dave：多くのセキュリティベンダーは、マルウェアの検出やシステムのパッチ適用など、単一の課題の解決に注力しています。 セキュリティに関する課題は、唯一の解決策が存在しないという点にあります。 限られた数の有能な人材によって遂行され、確立されたプロセスによって管理されるべき業務が数多くあります。
こうした単機能のソリューションとは異なり、Taniumはプラットフォームです。 最大規模の組織であっても、すべてのエンドポイントにわたって 15 秒単位の可視性を提供します。 このスピードと柔軟性により、組織は単一の課題にとどまらず、多くのセキュリティ上の課題を解決することができます。 このプラットフォームは、さまざまな形式のIOCの検索、異常な動作の監視、エンドポイントへのパッチ適用、設定の監視、管理対象外の資産の検出、あるいはインシデントの調査および対応などに利用できます。
また、このプラットフォームの迅速さと簡便さにより、小規模なチームでも、必要な情報へのアクセスを迅速化し、主要なタスクを自動化し、一般的なハブ・アンド・スポーク型アーキテクチャに伴う複雑なアーキテクチャの保守に費やす時間を削減することで、業務効率を高めることが可能になります。 利用可能なAPIや新しいコンテンツを開発する機能により、組織はこのプラットフォームを既存のプロセスやその他のポイントソリューションと統合することも可能です。
PwCがこのプラットフォームを活用して、競合他社との差別化を図っている事例が、すでにいくつか見受けられます。 クリスとそのチームは、当社のIRツールとTraceモジュールを活用して、証拠の収集や攻撃者の活動の監視を、これまで以上に迅速に行っています。 ファイルの検索や、実行中のすべてのプロセスの収集にかかる時間は、以前は数日かかっていましたが、今では数秒で済むようになりました。 同様に、PwCも脆弱性、設定ミス、ユーザー権限に関する情報を即座に把握できるため、攻撃への迅速な対応が可能となります。
もし、大手多国籍企業のCEOに対して、サイバーセキュリティに関して一つだけアドバイスをするとしたら、どのようなことをお伝えしますか？
クリス：組織が根本的にどのようなデータに依存しているか、そのデータが組織内でどのように流れているか、どのようなシステムが関与しており、それらがどこにあるかを把握してください。 その段階で、脅威アクターがそれらのシステムやデータへのアクセスをどのような目的で求めているのか、またどのようにしてアクセスを得ようとする可能性が高いのかについて、包括的な全体像を把握し始めることができます。そうすることで、防御策やセキュリティへの投資を適切に調整することが可能になります。
デイブ：私が話を伺うCEOのほぼ全員がセキュリティについて懸念を抱いていますが、組織内のセキュリティ状況について部下に対して適切な質問をするための専門知識を必ずしも持っているわけではありません。 私は、CEOや取締役の皆様には、自社のセキュリティ状況を把握するために、以下の基本的な質問を投げかけることを常にお勧めしています：
- 組織が保持しているデータの中で最も重要なものは何であり、それはどこに保存されているのでしょうか？
- 攻撃者が、前述の重要なデータを盗み出す可能性のあるシナリオを、少なくとも3つ挙げてください。
- 前述のシナリオにおいて、攻撃者による重要なデータの盗難を防ぐために、どのような対策を実施しましたか？
- 最後に社内ペネトレーションテストが実施されたのはいつですか？ 前回、ネットワークに対して実施された内部侵入テストの結果はどうでしたか。また、その結果に対してどのような対応がなされましたか。
- 机上でのインシデント対応演習が最後に実施されたのはいつですか？ どのような調査結果が得られ、それらはどのように対処されたのでしょうか？
PwCの「Tanium Accelerators」について、詳しく教えていただけますか？
クリス：概して、Tanium Acceleratorsプログラムは、私たち［PwC］がクライアントとの業務においてTaniumを実際に活用する方法に合わせて設計されており、その方針と非常に密接に整合しています。
最初のアクセラレータは、実質的に脅威インテリジェンスのフィードです。 弊社では、自社で行っているあらゆる調査や、インシデント対応業務を通じて得た新たな情報をすべて活用し、Taniumがそれらを自動的に利用・展開できるようにしています。
2つ目は、PwCがTanium向けに作成したコンテンツに効果的にアクセスできることです。 当システムは主に、脅威の検知と調査に活用されています。 弊社では、Tanium向けに数多くのカスタムパッケージを開発しており、これにより、調査の際にアクセスが必要となるほぼすべてのフォレンジック証拠を抽出することが可能となっています。 また、ユーザーは顧客からのリクエストに応じて、独自のコンテンツを作成することも可能です。
3つ目は、インシデント対応における遠隔ハンティングチームのサービス利用を可能にするものです。 組織に成熟した脅威ハンティングチームやインシデント対応チームがなく、その機能を外部委託したい場合、弊社はTaniumと連携して環境をスキャンし、既存のセキュリティ技術では見逃されている脅威を特定することができます。
第四に、やや伝統的なコンサルティングサービスと言えるもの――プロセス設計、ワークフロー管理、さまざまなチームやシステムとの連携などです。これには、CMDBシステム、脆弱性管理システム、あるいはシームソリューションなどが含まれます。
最後に、PwCが市場において実にユニークな強みを持っている分野といえば、PwCが独自に運営する法律事務所です。 世界有数のデータプライバシーおよびデータ保護の専門家の方々にも、このサービスをご利用いただいております。弊社では、クライアント様に法的アドバイスを提供し、データプライバシー影響評価を効果的に実施することで、Taniumのライセンスを最大限に活用していただけるよう支援いたします。 各国のプライバシーや保護に関する規制に抵触することなく、Taniumをご利用いただけます。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
