10年以上にわたり、私はセキュアなネットワークの設計、セキュリティ対策の検証、そして複雑なセキュリティ侵害の調査に注力してまいりました。 これらの各職務において、セキュリティインシデントをより効果的に予防・検知・解決するために必要な、すべてのエンドポイントに対する可視性と制御機能を備えたツールを見つけるのに苦労しました。 だからこそ、かつてのクライアントからTaniumを紹介されたとき、私はワクワクした一方で、最初は懐疑的でもありました。 デモをご覧になった後、私はすぐにこのプラットフォームの威力を実感し、既存のソリューションでは実現できなかった新たな活用の可能性に気づきました。 また、Taniumの最高セキュリティ責任者に就任して以来、Taniumが顧客に提供する画期的な機能を間近で見てまいりました。そして、この技術の最新の拡張機能をご紹介できることを大変嬉しく思います。
「Tanium Trace（Trace）」は、当社の最新モジュールであり、Taniumプラットフォームのスピードと拡張性をさらに高めます。 It enables the agility to conduct immediate and in-depth forensic investigations on a single endpoint, as well as perform accurate enterprise-wide searches based on captured artifacts across millions of endpoints in 15-seconds — what previously took days or weeks. このレベルのスピードと可視性を実現できない旧式の技術に依存し続ける組織は、攻撃者に大きく後れを取ることになり、次のニュースの見出しを飾るリスクが高まります。
どうしてそんなことがあり得るのでしょうか？ Traceは、短時間のネットワーク接続の詳細、実行されたプロセスのハッシュ、ファイルやレジストリキーの作成・削除・変更など、通常のロギング機能では記録されないシステム関連の情報も含め、エンドポイントのアクティビティを継続的に記録します。 また、Traceは信頼性の高いカーネルレベルの監視機能も備えており、攻撃者が自身の活動を隠蔽するために用いるルートキットやその他の高度なフォレンジック対策技術を検出することができます。 この情報により、セキュリティチームは、通常の状況下では得られない悪意のある活動の全容を直接把握することができます。
Tanium Traceが組織にもたらすメリット
過去の大規模な情報漏洩への対応経験を踏まえると、Traceが提供する機能が、3つの明確な点において、私のインシデント対応チームにとって非常に大きな助けになったことは明らかです。
Traceは、お客様に悪意のある活動を検知する機能を提供します。
以前、インシデント対応業務を統括していた際、私たちは「侵害の兆候（IOC）」と呼ばれる新たな情報を絶えず受け取っていました。 同様に、多くの組織では、さまざまな情報源からIOCを受け取り、さまざまなツールを用いてIOCを検索しています。 ほとんどの場合、IOCは単純なもの（例： MD5、IP、ファイル名など）であり、そのような情報が実際に利用可能であったとしても、検索には数時間から数日かかることがあります。 Traceはこのモデルに変化をもたらし、組織がすべてのエンドポイントにわたる記録データを数秒で検索できるようにします。 また、このモジュールでは、Traceによって記録された指標のあらゆる組み合わせについて、継続的に監視を行うことも可能です。 Taniumプラットフォームを利用することで、Tanium Traceによって生成されたアラートを活用し、VirusTotalへのファイルのアップロード、SIEMへの情報の転送、あるいは後日の分析のためにTraceデータベースのスナップショットを取得するなど、特定のイベントを自動化することができます。
Traceは、組織がインシデントの範囲をより正確かつ迅速に把握するのに役立ちます。
組織では、セキュリティアラートが殺到して対応に追われることがよくあります。 その結果、組織はアラートの分析に多大な労力を費やすか、あるいは侵害の可能性があるすべてのシステムを単に再構築するか、どちらかを選ばざるを得なくなります。 どちらも望ましくない選択肢です。 従来のフォレンジック手法を用いてすべてのインシデントを調査しようとすると、すでに多忙なセキュリティチームに過度な負担がかかる上、Traceが記録するような詳細な情報を把握することはできません。 分析を行わずにシステムを再構築すると、当初のアラートが誤検知だった場合に不必要なコストが発生したり、アナリストがはるかに大規模な侵害を検知できなくなったりすることがよくあります。 Traceは、アナリストにフォレンジック上重要なイベントの豊富な情報へのアクセスを提供し、組織があらゆるインシデントの範囲を迅速かつ完全に把握できるようにします。
また、Traceは、組織がインシデントをより的確かつ効率的に是正できるよう支援することも可能です。
インシデントの範囲が適切に特定された後、アナリストはTaniumの中核プラットフォームを活用して、影響を受けたシステムを修復し、攻撃者の活動による痕跡を排除するための是正措置を開始することができます。 これにより、調査と是正のプロセスが統合され、エンドユーザーへの影響を最小限に抑え、インシデントの解決に必要な時間を短縮することができます。
Traceは、Taniumプラットフォームの他の製品と同様の中核となる原則を遵守しており、これには、数十万台規模のシステムを即座に可視化する機能も含まれています。 その結果、エンドポイントの数にかかわらず、追加のハードウェアやストレージを導入する必要はありません。 同様に、Traceのユーザーも、Taniumプラットフォームのあらゆる機能を活用して、モジュールによって記録されたデータにアクセスし、検索することができます。その処理はわずか数秒で完了します。
この機能によって管理されているような詳細なデータにアクセスでき、そこに含まれる情報を迅速かつ大規模に検索する能力があれば、私や私が率いてきたチームは、調査に費やす時間を数千時間分も節約できたかもしれません。 今後数週間のうちに、お客様がTraceを斬新で魅力的な方法で導入・活用し続けるにつれ、このモジュールに関するさらなる最新情報をお届けする予定です。
Traceについてさらに詳しく知りたい方や、Tanium Endpoint Platformのデモをご覧になりたい方は、 こちらをクリックしてください。
デビッド・ダマト、最高セキュリティ責任者
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
