Wire Securityの創業者であるウィム・レメス氏は、自身が管理するチームを、毎日数千万件にも及ぶ「極めて緊急」でありながら、その大半が関係のない警告の雪崩に埋もれさせてしまう状況を、間近で目の当たりにしてきました。
のセキュリティアラートの中でも最も些細なものは、自動化ツールで処理できますが、Remes社のチームの一つは、数千件にも及ぶ のセキュリティイベント の蓄積に苦戦し、対応が追いつかない状況に陥っていました。
「チーム全員が、バックログの解消にフルタイムで取り組んでいたのです」と彼は言います。 彼が見てきたように、時代の流れについていけなかった企業は、自社のデータやシステムを狙ったサイバー攻撃の猛攻を食い止めることは、少なくとも長期的には難しいでしょう。
この問題は、そう簡単には改善されそうにありません。 新型コロナウイルスのパンデミック期間中、企業が業務の大部分をリモート化させたことで、アラートの件数がさらに増加しました。 適切に対処しなければ、絶え間なく鳴り響く警鐘は、アナリストたちをただ疲れさせるだけになってしまいます。
「この1年間、人的な犠牲は甚大でした」と、アトランタ近郊のノースサイド病院の情報セキュリティ部長兼最高情報セキュリティ責任者であるマーティン・フィッシャー氏は述べています。 「私たちは神経質になっています。」 すべてのアラートは、小規模なインシデント対応調査となります。 その程度の努力は、本当に疲れます。 「人々は 燃え尽きてしまい、 といった状態になっています。」
多くの セキュリティツール（ ）は、何が起きているのかを理解するのに十分な背景情報が含まれていないアラートを発行します。 時には、道具のせいであることもあります。 時には、スタッフの研修が不十分であることもあります。 「もしこれが簡単な問題だったなら、とっくに解決されていたでしょう」と、リバティ・ミューチュアルのオフェンシブ・セキュリティ担当ディレクター、クリス・ブロー氏は述べています。
アラートを人間やシステムが管理可能なレベルまで抑えるためには、企業は「アラート疲労」から「アラートへの意識」へと転換を図らなければなりません。 これを実現するには、セキュリティツールやセンサーを微調整し、重要なアラートに焦点を当て、自動化によってアナリストの負担を軽減し、スタッフの研修を充実させ、 のセキュリティ体制を積極的に強化することが有効です。
セキュリティ機器の設定を調整してください
これは当然のステップですが、必ずしも簡単なこととは限りません。 ネットワークやシステムの監視に使用されるセキュリティツールは、扱いが難しいものです。 設定を厳しすぎると、アラートが過剰に発生して煩わしくなってしまいます。一方で、設定を緩すぎると、セキュリティチームが実際の攻撃を見逃してしまうリスクがあります。
リバティ・ミューチュアルのブロー氏は、「一度設定したら、あとは放っておいていいというものではありません」と述べています。 しかし、多くの企業はまさにそのように扱っています。 同氏によると、最も成功している企業では、関連するアプリケーションやシステムの責任者、SOCで働くスタッフを含め、アラートの対応に必要な全員が関与するプロセスが整備されているとのことです。 彼らは、急速に変化する脅威に対応するため、毎週、あるいはそれ以上の頻度で会合を開いています。
「アラートの優先順位を付け、その優先順位を全員が理解できるようにすることは、アラート疲労の解消に大いに役立ちます。」リバティ・ミューチュアルの攻撃的セキュリティ担当ディレクター、クリス・ブロー氏
Remes of Wire Security社は、セキュリティツールが監視する環境と、アラートを発行するツールの設定との間に、緊密なフィードバックループを構築することを推奨しています。 「セキュリティ監視ツールは、確認したいアラートに合わせて調整する必要があります」と彼は述べています。 このため、レメス氏は、企業が保護したいデバイス、アプリケーション、ネットワーク、およびユーザーに対して、 のサイバーリスク評価 に基づく意思決定を適用できる、リスクベースのフレームワークの利用を推奨しています。
アラートの優先順位を設定する
によるイベントの検知は、すべて同じというわけではありません。 未処理の通知は分析する必要がありますが、そのすべてを直ちに調査する必要はありません。 「アラートの優先順位を明確にし、その優先順位を全員が理解できるようにすることは、アラート疲労の解消に大いに役立ちます」とブロー氏は述べています。
優先順位をより適切に設定するためには、アラートの発生源、アラートの件数、インシデントが及ぼしうる影響の規模、攻撃の進行状況、および 過去のインシデントとの類似性といった要素を考慮することが不可欠であると、Blow氏は述べています。 ノースサイド病院のフィッシャー氏は、患者の安全や体験といった重要な分野に加え、事業運営を脅かすマルウェアやランサムウェアにも重点を置いています。
適切なアラート対応を自動化します
一部のアラートは、機械によって対処することができます。 例えば、ログインの失敗が繰り返された結果、アカウントにアクセスできなくなり、パスワードのリセットが必要になったユーザーの場合、担当チームへの優先度の高いアラートを送る必要はありません。 しかし、ログインの失敗が1回や2回程度であれば、それほど優先度を高くする必要はないとブロー氏は述べていますが、「1日のうちにアラートが複数回発動した場合は、その件を上位に報告する必要があるかもしれません」と付け加えています。
[関連記事：企業がニュースの見出しに載らないようにするための 5 の方法]
その他、自動化が可能な分野としては、 フィッシング攻撃や 分析などが挙げられます。 「誰かがフィッシングメールを通報した場合、そのデータを分析し、メールインフラと連携して、他のユーザーの受信箱から同様のメールを削除することができます」とレメス氏は述べています。
しかし、不適切なプロセスを自動化することには注意が必要だと、レメス氏は助言しています。 「避けたいのは、自動化されたプロセスが理解されないことです」と彼は言います。 「何が起きているかを理解することから、チームが何をすべきかを理解することへ、そしてそれらのプロセスを自動化することへと至る道のりは、決して短くはありません」と彼は言います。
最新のセキュリティツールについて、スタッフに研修を行ってください
「ツールの数は飛躍的に増えています」とブロー氏は述べています。
あまりにも多くの企業が、製品を導入するだけでセキュリティ上のリスクが解消されることを期待しています。 これらのツールは、 適切に管理されず、、そもそも使われることさえなければ、結局は無駄になってしまいます。 その代わりに、組織は、ツールを効果的に稼働させるために必要な専門サービスに投資し、セキュリティ担当者に適切なレベルのトレーニングを確実に受けさせる必要があるかもしれません。
「あまりにも多くの組織が、サービスや適切な研修を軽視しており、そのことが導入の成果に如実に表れています」とブロー氏は述べています。
脅威に先手を打つ
アラートの未処理件数が減り始めた今、セキュリティ運用チームは、アラートが発生する前に、ネットワークを積極的にスキャンし、侵害の兆候がないかを確認することが極めて重要です。 特定の犯罪グループが貴社の業界を標的にしている場合（例えば、 による最近の医療業界への攻撃 など）、そのグループがすでに自社のIT環境内に侵入している兆候がないか確認する必要があります。
[関連記事：ツールの乱立がパンデミック後のセキュリティを脅かす]
「検知に成功すれば、相手がどのような手法を使っていてもブロックできるため、アラートなど必要ありません」とブロー氏は述べています。
アラートに先手を打つというのは、達成不可能な目標のように思えますが、適切なトレーニングやサービス、プラットフォームがなければ、おそらくそれは実現不可能なことでしょう。 しかし、それは掲げる価値のある目標です。
レメス氏のチームは、多忙を極める中で、どのようにして最終的に溜まっていた業務を処理し終えたのでしょうか？ 環境を可能な限り最適化し、バックログを時間をかけて分割して処理していきました。 「当社にはアナリストが5名います」と彼は言います。 「各アナリストは、週に1日、未処理のアラートに集中して対応しています。」 「つまり、各アナリストは週に4日間、他の業務に集中できるということです。」
うまくいきました。 チームのバックログは、 3,000 件から80 件に増加しました。 しかし、他の皆さんと同じように、未処理案件を減らすことは、絶え間ない戦いとなっています。
