組織は、攻撃を検知するために、画一的なデータフィードという「命綱」に全面的に依存し続けるわけにはいきません。 Taniumのチーフ・セキュリティ・アーキテクトであるライアン・カザンシヤン氏が、組織固有のニーズに対応するための最適な脅威データの選び方についてアドバイスしています。
CISOに最優先事項を挙げてもらうと、そのリストのトップに必ず挙がる項目が一つあります。それは、「脅威データをより有効に活用すること」です。 実際、脅威インテリジェンスは、サイバーセキュリティ業界において数十億ドル規模の市場へと発展し、 「サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act of 2015）」など、数多くのサイバーセキュリティ政策や立法措置の焦点となっています。
しかし、ある重要な問題が見過ごされがちです。限られたリソースと膨大な数の脅威インジケーターがある中で、組織は自社のネットワークに関する最良の情報をどこから入手すればよいのでしょうか？ 先週、ワシントンD.C.で開催された戦略国際問題研究所（CSIS）の「サイバー・ディスラプト・サミット」において、このテーマ「 」について講演いたしました。
脅威データの共有には価値と限界があります。組織や政策立案者は、それらが何であるか、どのように考慮すべきか、そしてどのような追加戦略を優先すべきかを理解することが重要です。
脅威データの限界
組織間で共有される脅威データには、相互に関連した3つの重要な制約があります：
- 攻撃者がデジタル上の「足跡」を変えるのは簡単です。 組織間で一般的に共有される脅威の指標――ネットワークアドレス、ファイルのハッシュ値、DNS名、URLなど――は脆弱であり、すぐに変更されてしまう可能性があります。 攻撃の手口や手法といった最も価値の高い情報は、セキュリティベンダーによって「閉鎖的な環境」に保管されていることが多く、異なる組織や技術間で互換性のない形式で管理されていることがよくあります。
- の脅威データの品質を検証するのは困難です。 脅威情報共有プログラムは、その情報の妥当性を検証することよりも、関連する利用者へできるだけ迅速にインジケーターを届けることに重点を置いています。 しかし、取り込んでいる脅威データや、ネットワークおよびエンドポイント監視ツールがそのデータをどのように取り込み、解析しているかについて、継続的な定性的な評価を行う能力やリソースを備えている組織はほとんどありません。 その結果、偽陰性率や偽陽性率が高くなり、大規模な判断を下すための十分な文脈情報が得られず、脅威の帰属を誤るリスクが生じます。 攻撃者が自らの活動を隠蔽するために、正規のネットワークやエンドポイントのリソースを悪用するケースが増えているため、これは特に困難な課題となっています。
- さん、あなたはいつも後手に回っていますね。 新しい技術や検知手法を学ぶことはできるかもしれませんが、それは常に、攻撃者がすでにその戦術を実戦に投入した後になってからのことです。
社内の状況を分析することで、外部の脅威データを補完する
どのような組織においても、セキュリティ対策の基盤となるのは、自社のネットワークを十分に理解し、「正常な」状態と真に悪意のある異常を的確に見分けることです。 実際には、大規模で異種混在のネットワークの多くでは、バックグラウンドノイズの影響により、これが極めて困難になる場合があります。 この問題に対処するための第一歩は、保護対象となるすべての資産を継続的に特定できる技術やプロセスを導入することです。 次のステップは、これらの資産を、その攻撃対象領域を定義する数十もの重要な属性に基づいて、自動的に列挙し、グループ分けすることです。
多くの組織は、この取り組みの前半部分について、依然として苦戦しています。 例えば、連邦政府の分野では、「継続的診断・緩和（CDM）」プログラムの第1フェーズを実施しているいくつかの機関が、 デバイス数を 200％～300％過小評価していたことが判明しました。。 公共部門・民間部門を問わず、古いシステムインベントリや、古いデータが登録された変更管理データベースに依存しているケースがよく見られます。 こうした旧式のシステムやデータベースでは、リスクを適切に評価・監視するために必要なシステム上の背景情報を十分に提供することができません。
システムの侵害を受けやすさに影響を与える要因としては、インストールされているアプリケーションやサービス、システムへの認証を行うユーザーやシステムから認証を行うユーザー、ネットワークインターフェース、保存されているデータ、および構成や主要なセキュリティ設定などが挙げられます。 絶えず変化する属性に基づいてシステムのグループを自動的に分類することは、検知・対応活動の真の基盤となり得る動的なインベントリの基礎を成すものです。
脅威検知におけるハイブリッドアプローチ
現代の脅威検知には、バランスの取れたアプローチが必要です。 さまざまな制約はあるものの、外部から取得した脅威データは、環境全体にわたって十分な範囲と可視性をもって適用されれば、悪意のある活動の一部を自動的に特定し、その文脈を把握することが可能です。 エンドポイントおよびネットワークセキュリティ専用の監視ツールを利用することで、より広範な攻撃パターンに対応するための検出メカニズムを追加することができます。 こうしたツールは、自身の環境から情報を導き出し、異常を引き起こしたり資産のリスクプロファイルに影響を与えたりする変化を自動的に検知する取り組みを補完する役割を果たします。
過去 20 年間にわたって歩んできた道、すなわち、攻撃を検知するためにセキュリティベンダーからの画一的なデータフィードという「命綱」に全面的に依存し続けることは、もはやできません。 幸いなことに、政策立案者も企業も、このことに気づき始めており、組織が自社の資産を真に理解し、守ることができるようになるためのプロセスや技術の導入を進めています。
このトピックについてさらに詳しく知りたい方は、ワシントンで開催された戦略国際問題研究所（CSIS）の「サイバー・ディスラプト・サミット」での私の講演の全文を、 こちら （ 6:28～6:48 の部分）でご覧ください。
著者について：Taniumのチーフ・セキュリティ・アーキテクトを務めるライアン・カザンシヤン氏は、インシデント対応、フォレンジック分析、およびペネトレーションテストの分野で、 14 年以上にわたる豊富な経験を有しています。 ライアン氏は、Taniumの脅威対応ソリューションの設計とロードマップを統括するとともに、Taniumのエンドポイント検出・対応（EDR）チームを率いています。 Taniumに入社する前、ライアン氏はMandiantにおいて、標的型攻撃の被害を受けたフォーチュン 500 にランクインする数十社の企業と連携し、調査および対策業務を統括していました。 ライアン氏は、Black HatやFBIのサイバー対策チームのインストラクターとして、数百人のインシデント対応担当者を育成してきました。 同氏は、『Incident Response and Computer Forensics 第3版』（McGraw-Hill、 2014）の寄稿者の一人です。 また、ライアン氏はテレビシリーズ『Mr. Robot』の技術コンサルタントも務めており、脚本家や制作チームと協力して、劇中で描かれるハッキングの手法を考案しています。
