エンドポイントセキュリティのライフサイクルにおける調査段階の再考：Tanium Trace を詳しく見てみましょう

インシデントの検知と対応の現状を検証する際、よく引用される指標として「ドウェルタイム」があります。の調査によると、システムへの侵入が発生してから被害者が最終的にその侵入に気づくまでの間に、しばしば数ヶ月にも及ぶ大きなタイムラグがあることが一貫して指摘されています。

このギャップが、セキュリティプログラムの成功度を測る有用な指標となること、また、この期間を短縮することが、攻撃がビジネスやインフラに及ぼす潜在的な影響を軽減するために極めて重要であるという点については、皆さんもご同意いただけるでしょう。しかし、その前に、「滞留時間」の時間枠を再定義し、その範囲をインシデントが検出された時点を超えて拡大する必要があります。実際、滞留時間はその後の調査の全過程を含み、最終的には是正措置が成功するまで続きます。

調査の成功とは、どのようなものなのでしょうか？

調査では、情報漏洩が事業に与えた実際の影響を特定し、何が起きたのかという「経緯」を明らかにしなければなりません。調査担当者はまず、環境全体にわたる影響を受けたすべてのシステムやデバイスを特定し、それぞれにおける攻撃者の活動の範囲を把握することから始めます。しかし、スコープの特定は、ユニークなマルウェアのサンプル数や感染したホスト、盗まれた認証情報を単に集計するだけにとどまらない重要な意味を持っています。調査の結果は、短期および長期の修復計画にとって不可欠な情報であり、理想的には、調査開始当初から調査と並行して策定されるべきものです。感染したシステムが1つでも見落とされたり、バックドアのコマンド＆コントロールアドレスや、侵害されたユーザー認証情報が見落とされたりすると、攻撃者が容易に再びアクセス権を取得し、是正措置の成果をすべて無に帰してしまう可能性があります。同様に、インシデントの際に悪用されたより根本的な脆弱性を特定・対処できなければ、被害者のセキュリティ態勢は実質的に改善されないままとなります。

残念ながら、多くの組織が、インシデントライフサイクルのこの重要な段階で、適切な対応を行うことに苦労しています。コンサルタントとして、外部の支援を必要とする組織に対し、特に短期間での実行が求められる場合を中心に、6年間にわたり調査および是正措置の取り組みを主導してまいりました。調査の結果には多くのことがかかっていますが、是正への道のりは依然として険しいものです。これほど重大な事態であるにもかかわらず、なぜ捜査当局は依然として苦戦しているのでしょうか？その答えは、通常、「人」「プロセス」「テクノロジー」という定番の領域の中にあります：

People：コンピュータフォレンジクスには、高度な技術的スキルと訓練が求められます――特に、企業ネットワークやActive Directoryなどの一般的な技術、さらには一般的な侵入手法のパターンや特徴を理解する必要がある場合はなおさらです。こうしたスキルは、当面の間、不足している状況にあり、今後もその状態が続く見込みです。。
プロセス： 多くの組織では、標的型侵入に実際に遭遇するまで、その対処に関する明確な手順を策定することはありません。
技術： 調査、特にエンドポイントの「ハンティング」やフォレンジックに使用されるツールの大半は、処理速度が遅く、過度に複雑であり、大規模で分散した環境では拡張性が乏しく（あるいは、進行中の侵入に追いつくことができません）。さらに、多くの製品は、インシデントの検出や対応タスクのごく一部のみに対処することを目的としたポイントソリューションから生まれているため、企業規模でその他のインシデント対応（IR）のユースケースに後付けで適用しようとすると、その性能が急速に低下してしまいます。

私は、あらゆる規模の攻撃に対処できるよう、既存のセキュリティチームのスキルやリソースを強化し、その効果を倍増させる「力の増幅器」となるようなテクノロジーを企業に提供できることに、強い情熱を抱いております。そこで、Taniumの最新機能である「Tanium Trace」をご紹介できることを大変嬉しく思います。これにより、セキュリティチームやインシデント対応チームが、侵入の検知、調査、対応にかかる時間と労力を大幅に削減できるよう支援してまいります。

Tanium Trace を詳しく見てみましょう

Tanium Trace（Trace）は、Tanium Endpoint Platformにすでに組み込まれている数多くのインシデント検出・対応機能に加わります。これには、すべてのエンドポイントの「現在の状態」に関するデータを迅速に照会・収集する機能、構造化された侵害の兆候（IoC）を検索する機能、および対象システムからメモリイメージやファイルシステムメタデータのダンプといった大規模なフォレンジックアーティファクトを取得する機能などが含まれます。 Traceは、これらの機能をもとに、「Trace Collector」、「Trace Workbench」、そして「Trace Sensors」という3つの主要な機能を備えています。

トレースコレクター

Trace Collectorは、各エンドポイントにおける重要なフォレンジック証拠を継続的に記録する役割を担っています。この機能は、Windowsカーネルやその他の低レベルサブシステムを監視することで、プロセスの実行、ファイルシステムの動作、レジストリの変更、ネットワーク接続、ドライバの読み込み、ユーザー認証など、さまざまなイベントを捕捉します。このデータは急速に蓄積される可能性があります――アイドル状態のシステムであっても、常に何らかのアクティビティが発生しているからです――そのため、Traceは類似したイベントを賢く統合し、ローカルデータベースに効率的に保存します。これらの最適化の結果、デフォルトの設定では、最大で数週間分の履歴データを保持することができます。 Taniumの管理者は、Traceが使用するローカルストレージの容量をさらにカスタマイズしたり、記録される証拠の種類をフィルタリングしたりして、目的のユースケースに合わせて調整することができます。

これに対し、従来のディスクおよびメモリフォレンジック手法では、エンドポイントの活動の一部をうまく再構築することはできますが、その対象は基盤となるオペレーティングシステムによってネイティブに保存されている証拠に限定されます。こうした証拠は、調査対象期間から時間が経過するにつれて急速に劣化してしまう可能性があります。 Traceは、完全かつ理解しやすいイベント履歴を保持しており、これによりアナリストは時間を巻き戻して、システム上で最近発生した事象を再現することができます。

さらに、Traceは記録された各イベントに、追加のコンテキストやメタデータを付加します。たとえば、プロセス実行イベントには、完全なコマンドライン、ハッシュ、親プロセスのコマンドライン、およびユーザーコンテキストが含まれます。ファイル、ネットワーク、およびレジストリのイベントはすべて、それらが発生した関連するプロセスおよびユーザーのコンテキストとともに記録されます。ログオンやログオフなどのセキュリティイベントは、ロールオーバーされた可能性のあるイベントログとは独立して保持されます。これにより、調査の手がかりを基に、エンドポイント上でその事象が発生した状況を非常に簡単に、かつ迅速に把握することが可能になります。

Trace Workbench

Trace Workbenchは、Taniumコンソールに直接統合されたWebベースのユーザーインターフェースです。この機能により、リモートシステムに接続し、Trace Collectorによって収集された豊富なデータセットに対して詳細な分析を行うことが可能になります。すべての分析は、ライブ接続を通じて数秒で実行でき、時間のかかるデータ転送や解析は不要です。また、ユーザーはシステムのトレースデータベースのスナップショットを保存し、Taniumサーバー上で保存や共同分析を行うこともできます。また、最大データベースサイズや履歴の保持期間といったトレース設定を、すべてのエンドポイントにわたって簡単に再構成できる機能も備えています。

ユーザーは、キーワードや初期の時間範囲に基づいて、システムのトレース・データベース全体を検索することから始めることができます。検索結果は、従来のグリッド形式で表示され、各列ごとに並べ替えやフィルタリングを行うことで、ユーザーが不要なデータを除外できるようになっています。

検索結果のいずれかをダブルクリックすると、選択したイベントに関連するプロセスの詳細な「プロセス概要」ページが表示されます。これにより、分析の対象が、初期の検索条件に一致するすべてのイベントの範囲から、時間経過に伴う単一のプロセスの範囲へと、本質的に転換されることになります。「プロセスの概要」では、現在調査中のプロセスによって開始された、ファイル、ネットワーク、レジストリ、および子プロセスのすべてのアクティビティが、視覚的なタイムラインとグリッドの両方で表示されます。このページでは、プロセスの完全なパスと引数、ユーザーコンテキスト、ハッシュ、および親コマンドラインも表示されます。また、ユーザーはさらなる分析のために実行ファイルをダウンロードすることもできます。また、ユーザーは、現在のプロセスの親ノード、子ノード、および同階層のノードを表示するインタラクティブなツリービューを操作することもできます。

Trace Sensors

より広範なインシデントの一部である単一のシステムを分析する際、視野が狭くなりがちです。調査担当者は、詳細なフォレンジック調査の過程で明らかになった調査結果や証拠を、企業全体にわたって検索できる必要があります。理想を言えば、その場限りの検索やテストケースのたびに、IOCの構築やデプロイに伴うオーバーヘッドが生じるべきではありません。プロセス、レジストリキー、ファイルなどの単純なアーティファクトに対するクエリは、負荷が軽く、即座に結果が得られるものであるべきです。これは単に「不良品」を探すためだけではなく、「良品」を識別し、評価するのに役立つためです。フォレンジック分析を行ったことのある方なら、不審に見える証拠に遭遇した際の感覚をご存知でしょう。しかし、その証拠は、侵入者の行動と同時刻に発生した、システムの通常の動作によるものかもしれないのです。環境全体において「この『事象』はどれほど一般的か」を即座に評価できる能力は、システムの調査に必要な労力を大幅に削減し、将来の使用に向けた、より正確で堅牢な指標を構築することを可能にします。

Traceは、Taniumの中核機能である「Ask a Question」を支えるセンサーを通じて、この機能を実現しています。 Traceによって各エンドポイントで収集されたすべてのデータは、他のTaniumのクエリと同様の15秒という応答時間で、大規模に検索することができます。同様に、同じトレースデータは、定期的な検索やSOAP APIを通じて取得することができ、その結果を保存したり、時間軸に沿って集計したり、Tanium Connectを介してSIEMなどの他のセキュリティ分析ソリューションやストレージソリューションに転送したりすることができます。

Trace Workbench内でプロセスの詳細を確認する際、アクティビティのどの行でも、ワンクリックでコンテキストに応じた検索に切り替えることができます。たとえば、CreateProcess 操作の行を選択すると、パス、 MD5 ハッシュ、または完全なコマンドラインに基づいて一致するプロセスを検索するよう求められます。また、ファイルやレジストリの行を選択すると、操作の種類と項目のパスに基づいて検索するよう求められます。また、ユーザーは、トレースデータセット全体を活用し、時間範囲の制限や正規表現による一致といった高度なオプションを備えた、より精巧なクエリを手動で作成することも可能です。

トレースセンサーは、特に定期的な保存済み検索を支援するために使用される場合、環境内の異常な活動を積極的に監視するための効果的な手段ともなります。ユーザーが簡単に作成・カスタマイズし、他のセキュリティソリューションと連携させることができるTrace検索の例としては、次のようなものがあります：

選択された一連のアカウント、ソースシステム、および／またはターゲットシステムによる、タイプ 3 （ネットワーク）およびタイプ10 （リモートインタラクティブ）のログオン
正規表現によるマッチングを用いて、特定のディレクトリ（攻撃者がよく使用する準備場所など）での活動や、特定のファイル形式（RARアーカイブなど）の作成を監視するファイル作成イベント
マルウェアを永続化するために頻繁に使用されるレジストリキーや値（Windows サービスの ServiceDLL パラメータや、「Run」キー下の値など）の作成または変更
「svchost.exe」のような非典型的な親プロセスによってコマンドシェルが生成されるなど、コマンド＆コントロール活動を示唆する可能性のある、親プロセスと子プロセスの特異な組み合わせ
一般のエンドユーザーにはあまり使用されませんが、攻撃者が偵察や横方向の移動に頻繁に悪用する、Windowsのネイティブコマンド（「net.exe」、「at.exe」、「wmic.exe」など）の実行
異常なネットワークトラフィック。例えば、隔離された内部ドメインコントローラーからインターネット上のHTTP/Sサーバーへのアウトバウンド接続の試み、あるいは通常とは異なる送信元サブネットから、特権管理者用ワークステーションや重要なサーバーへのSMBやRDPトラフィックなどが挙げられます。

Traceの追加により、Tanium Endpoint Platformは、インシデント対応のライフサイクル全体にわたる真に包括的なソリューションを提供します。そして、そのソリューションは、どのような規模であっても、高速で信頼性が高く、管理しやすい状態を維持することができます。 Traceは、Taniumプラットフォームを使用すれば数分で導入可能です。また、既存の環境にTraceのすべての機能を追加する場合でも、追加のハードウェアは必要ありません。数回のクリックで、ユーザーはTraceを一部のエンドポイントまたは環境全体にインストールし、インストール状況を監視し、Traceワークベンチやセンサーの利用を開始することができます。

ライアン・カザンシアン氏、 元チーフ・セキュリティ・アーキテクト

Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。「」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。