見えないものは、止めることはできません。
現在、多くのサイバー攻撃は、数日、数週間、あるいは数ヶ月もの間、発見されないまま放置されています。
その間、彼らは標的のネットワーク内に侵入し、可能な限り多くのシステムやデータを侵害し、標的に多大な損害を与え、その活動を麻痺させるほどの身代金を要求できるだけの十分な足場を築きます。
こうした攻撃を早期に発見できれば、それだけ早く阻止することができ、被る被害も少なくなります。 しかし、多くの組織は、攻撃を迅速に検知・調査・解決するために必要な、環境全体の包括的な把握を確立することに苦慮しています。
この記事では、その理由と、それに対してどう対処すべきかについて探っていきます。
そこで、以下の手順を順を追って説明していきます：
- 組織がセキュリティの可視化に苦戦している理由
- オープン・サイバーセキュリティ・スキーマ・フレームワーク（OCSF）が、セキュリティデータセットをどのように標準化しているか
- Amazon Security Lake が OCSF をどのように活用しているか
- TaniumがOCSFおよびAmazon Security Lakeにエンドポイントの可視性をどのように提供するか
組織が攻撃を迅速に検知できない理由
今や、どの組織も、攻撃を迅速に検知する必要があることを認識しています。
彼らは、攻撃が被害をもたらす前にそれを検知し、調査し、解決するためには、自社の環境に関する統一された正確な全体像を構築する必要があることを理解しています。
彼らは、自社の環境内の複数のソースからセキュリティデータを収集する数十ものツールに投資しただけでなく、セキュリティデータを監視し、潜在的なインシデントを探し出すために24時間体制で活動する、本格的なセキュリティチームを構築しました。
それにもかかわらず、多くの組織では、攻撃が実際に発生する前にそれを検知できていないのが現状です。
その理由は次のとおりです。
どのセキュリティツールも、独自のスキーマに基づいてセキュリティデータを定義・整理しており、同じものに対しても異なる名称や規則が用いられることがよくあります。 つまり、組織が収集するすべてのセキュリティデータは、そのままでは相互に連携できず、その環境に関する包括的かつ統一された全体像を自然に構築することはできないということです。
すべてのデータを統合し、完全かつ実用的なビュー——つまり、あらゆるデータセットを組み合わせて攻撃を迅速に検知、調査、解決できるビュー——を構築するためには、セキュリティチームはあらゆるデータを手作業で標準化された単一の形式に統一する必要があります。
このプロセスは時間がかかり、困難を伴い、ミスが起きやすいものであり、その結果、次のような事態を招きます：
- セキュリティチームは、セキュリティデータの分析よりも、その整理に多くの時間を費やしています
- 周囲の状況について、断片的で不正確な認識に基づいて業務を行っているオペレーター
- 犯罪者たちは、攻撃を進めるにつれて、身を隠すための多くの死角を見つけ出しています
- 攻撃が発見されず、調査もされず、解決もされないまま、手遅れになるまで放置されてしまう
その原因はすべて、組織やベンダーが、セキュリティデータの定義や整理において、それぞれ独自のスキーマに基づいて作業を行っているためです。 幸いなことに、この問題を解決するために、新しいプロジェクトや新しいプラットフォーム、そして業界をリードする多くのベンダーが協力し合っています。
OCSFが標準化の問題をどのように解決するか
「オープン・サイバーセキュリティ・スキーマ・フレームワーク（OCSF）」 （新しいタブで開きます） は、ベンダーや組織間でサイバーセキュリティデータの標準化が欠如しているという大きな課題を解決します。
OCSFは、この問題を解決するために設立されました。 これは、脅威の検知と調査のための共通言語であり、あらゆる組織のサイバーセキュリティチームが、どのようなインシデントにおいても利用することができます。 そのために、OCSFは、サイバーセキュリティの中核となるデータに関する標準的な名称、定義、および分類体系を提供しています。 このスキーマはシンプルで、ベンダーに依存せず、ドメイン固有のサイバーセキュリティデータで容易に拡張できます。
簡単に言えば、OCSFを採用するすべてのベンダーや組織は、サイバーセキュリティデータを記述・整理するために、同じフレームワークを使用することになります。 そうすることで、互いのデータを迅速に取り込み、統合し、分析することが可能になります。 これにより、サイバーセキュリティインシデントを迅速に発見し、範囲を特定し、最終的に解決することが容易になります。
OCSFを採用し、それに準拠したツールを活用することで、セキュリティチームは以下のことが可能になります：
- セキュリティデータの統合に必要な時間と労力を削減します
- サイバーセキュリティデータのサイロ化を解消し、データの正確性を向上させます
- さまざまなツールや情報源にわたるサイバーセキュリティデータの全体像を把握する
- セキュリティ運用を効率化・迅速化し、インシデントをより速やかに解決します
どなたでもOCSFのプロジェクトを引き受け、貢献することができます。 これは、あらゆる環境、アプリケーション、ソリューションに対応し、既存のセキュリティ基準やプロセスに適合するオープンスタンダードを提供するオープンソースプロジェクトです。 OCSFを採用する組織やベンダーが増えるにつれ、セキュリティデータの統合プロセスはますます容易になっていくでしょう。
また、OCSFを採用した大規模なプロジェクトがすでにいくつか登場しており、その中には、AWSが最近発表したセキュリティ・データレイク・ソリューション「Amazon Security Lake」も含まれています。
Amazon Security Lake が OCSF をどのように活用しているか
OCSFは、Amazon Web Services（AWS）とSplunkによって共同設立され、Taniumを含むごく少数の企業が参画しています。
最近リリースされた「Amazon Security Lake」は、クラウドおよびオンプレミスの統合データソースや、自社のプライベートアプリケーションから収集されたデータを、Parquet形式のOCSFスキーマを用いて格納するセキュリティデータレイクです。 Security Lakeは、脅威の検知、調査、インシデント対応など、さまざまなセキュリティユースケースに対応するため、お客様がセキュリティソリューションのデータをアクセス可能にする際の複雑さとコストを軽減します。 Security Lakeは、組織がクラウドおよびオンプレミス上のログやイベントデータを集約・管理し、そこから価値を引き出すことを支援することで、セキュリティチームが組織全体をより可視化できるようにします。 Security Lake を利用することで、お客様はご自身で選択したセキュリティおよび分析ソリューションを用いて、そのデータをその場で簡単にクエリしたり、OCSF 準拠のデータを取り込んだりして、さらなるユースケースに対応することができます。 Security Lakeは、データのパーティショニングを最適化することでパフォーマンスを向上させ、コストを削減し、お客様がセキュリティログデータの保存期間を最適化できるよう支援します。 これにより、アナリストやエンジニアは、一元化されたセキュリティ・データレイクを容易に構築・活用し、ワークロード、アプリケーション、およびデータの保護を強化できるようになりました。
要するに、Amazon Security Lakeは、オープンソースのスキーマを用いて、すべてのセキュリティデータを一元的に管理する基盤を構築します。これにより、すべてのデータが互いに連携して機能することを保証し、発生したあらゆるインシデントについて、単一で統一された、かつ具体的なアクションにつながるビューを容易に構築できるようにします。
Amazon Security Lake を利用することで、セキュリティチームは以下のことが可能になります：
- 複数のアカウント、リージョン、ネットワーク、およびツールからのログを1つのデータレイクに集約します
- 多様なデータセットに対する相関分析や分析の実施プロセスを簡素化します
- 膨大なセキュリティログソースをより効率的に保存・検索する
Amazon Security Lakeは、セキュリティインシデント発生時に活用できる、さまざまなソースからの幅広いサイバーセキュリティデータを収集します。 また、Taniumでは、エンドポイントデータセットに関する当社の経験と専門知識を、OCSFおよびAmazon Security Lakeの両方に提供できたことを誇りに思っております。
TaniumがOCSFおよびAmazon Security Lakeにエンドポイントの可視性をどのように提供するか
Taniumは、 のConverged Endpoint Management（XEM）プラットフォームとしては唯一のものであり、 （新しいタブで開きます） を通じて、単一の軽量で分散型のソリューションにより、可視性、制御、および是正措置を提供します。
Taniumは、管理対象か非管理対象かを問わず、あらゆる規模や複雑さの環境において、すべてのエンドポイントに関する完全かつ正確なリアルタイムデータを生成します。
Taniumのエンドポイントデータを活用することで、組織は以下のことが可能になります：
- 数分で、すべてのエンドポイントの完全かつ正確なインベントリを作成できます
- CMDBやその他のツールでは見落とされがちな、隠れたエンドポイントや発見しにくいエンドポイントを見つけ出しましょう
- 環境内のすべてのエンドポイントにわたる脆弱性、コンプライアンス上の不備、適用されていないパッチや更新プログラム、および設定ミスを、わずか数分で特定します
- 機密データフィールド、設定、アクセス権、またはIoCの変更箇所を特定します
- 機密データを監視し、インシデントが発生した可能性がある際に発動するアラートを設定します
- アセットカタログを充実させ、セキュリティワークフローをよりスマートかつ強固なものにします
- 多くの組織のセキュリティデータプールに見られる、最も一般的な不足点を補う
- 脅威の検知、調査、および是正をより徹底的に推進します
要するに、Taniumは、セキュリティチームや運用チームがインシデントの検知、調査、解決を行うために必要な、すべての重要なエンドポイントデータを収集します。 そして今回、OCSFおよびAmazon Security Lakeとの新たな提携により、各組織はTaniumの経験、専門知識、データセットを容易に活用し、自社のセキュリティリスクに関する包括的な全体像を把握できるようになりました。
TaniumがOCSFおよびAmazon Security Lakeを支援するためにどのような提携を行ったか、以下にご紹介します。
- TaniumとOCSFの：Taniumは、OCSFの初期からの貢献者の1社でした。 OCSFは、エンドポイントに関するあらゆる分野での経験と専門知識を活かすため、Taniumに参画いたしました。また、 のエンドポイントセキュリティデータに関する包括的かつ標準化された分類体系の策定において、重要な役割を果たしました。 当然のことながら、当社のエンドポイントデータはOCSFのスキーマに準拠しています。
- TaniumとAmazon Security Lake：当社は長年にわたりAWSと強固なパートナーシップを築いており、Amazon Security Lakeとの正式な技術的連携を提供しております。 この連携により、当社の包括的な可視性を貴社のデータレイクに簡単かつスムーズに追加し、最新かつ正確なエンドポイントデータを他のデータソースと組み合わせることで、より完全かつ効果的なインシデント調査を推進することが可能になります。
OCSFイニシアチブおよびAmazon Security Lakeと連携することで、私たちは、さまざまな関係者が協力し合う大規模なサイバーセキュリティ・エコシステムの構築を支援しています。 当社のデータセットを統合することで、セキュリティチームに対し、インシデントを迅速に検知・調査・阻止するために必要な、環境全体の統一された一元的なビューを提供することができます。
しかし、私たちだけではできません。
この取り組みにご参加ください：OCSFの採用、およびAmazon Security LakeやTaniumとの連携
OCSFは設立されたばかりですが、すでにいくつかの大手企業から多大な支持を得ています。
このプロジェクトを推進する2つのパートナー企業、AWSとSplunkは、市場でも最大手のデータベンダーの2社です。 OCSFの初期の貢献者の多くは、SalesforceやPalo Alto Networksなど、世界最大級のソフトウェアベンダーです。
当社は、セキュリティ製品間のデータ相互運用性やデータ正規化に関するお客様の課題解決に役立つオープンソースのスキーマの開発に取り組んでまいります。
ここでの要点は明らかです。 OCSFについてさらに詳しくご確認いただき、組織内での導入を真剣にご検討ください。 そうすることで、セキュリティ運用における大きな複雑さを簡素化・効率化できるほか、主要なサイバーセキュリティベンダーとシームレスに連携できるようになり、セキュリティ体制の将来的な対応力も高まるでしょう。
そのためには、次の手順に進んでください：
- OCSFの「」について詳しくはこちらをご覧ください：技術的な詳細については、 こちら （新しいタブで開きます） をご覧ください。 また、Taniumコミュニティの記事「 」（ （新しいタブで開きます））でも、さらに詳しい情報をご覧いただけます。
- Amazon Security Lake について詳しくはこちらをご覧ください：Amazon Security Lake をこちらからお試しください （新しいタブで開きます）。
- Tanium について詳しくはこちらをご覧ください：詳細をご覧になるか、チャットやデモのご予約はこちら （新しいタブで開きます）。
