深夜、無視できないアラートでスマートフォンが光った、あの時のことを覚えていますか。何かがお客様の環境の中を動いており、何が起きたのか、どこまで及んだのか、次に何をすべきかを知る必要があります。今すぐにです。ディスカバリーコール、デモ、そして3週間の調達プロセスの後ではありません。
当社のお客様に対する、中国、イラン、北朝鮮の国家支援グループによる攻撃が増えています。彼らは営業時間を待ってくれません。アカウント乗っ取り、セッションやトークンの窃取、ビジネスメール詐欺（BEC）、クラウドアカウントの侵害、SaaSやコードリポジトリを経由したサプライチェーン侵害を通じて、アイデンティティ、クラウド、SaaSを狙います。しかも、マシンスピードで動きます。マシンスピードの攻撃には、マシンスピードの対応が必要です。だからこそ、攻撃を受けている組織のための緊急インシデントレスポンスサービス「Force ER（Emergency Response）」を発表します。営業プロセスを一通り経る必要はなく、Exaforceのお客様である必要もありません。
15分以内に担当者が対応。24時間以内に稼働。
インシデントの真っ最中に最も不要なのは、営業プロセスです。担当者が、時間帯を問わず15分以内に応答します。お客様から状況を伺い、最初の封じ込め手順と、アクションを承認できる担当者を一緒に決めます。24時間以内にお客様のIDプロバイダー、クラウドアカウント、SaaSアプリケーション、VPNを接続し、インシデントが進行している最中にお客様の環境で稼働を開始します。
すでに起きたことから始める
すべてのインシデント対応者がまず求めるのは、事の経緯です。いつ始まったのか。どのアイデンティティが使われたのか。そのアイデンティティは何に触れたのか。それを証明できるのか。
接続が完了するとすぐに、Exaforceは直近30日分のアイデンティティ、クラウド、SaaS、コード、VPNのログを再生します。ここで当社のアーキテクチャが力を発揮します。
Exaforceはすべてのイベントを到着時に一度だけ処理し、セッション、認証チェーン、一人につき一つのアイデンティティ、行動ベースラインを構築します。そのため、アナリストがツールをまたいで経緯をつなぎ合わせる代わりに、Exabotがすでに整ったコンテキストをもとに調査します。アラートがSIEMに表示される前に、重い処理は済んでいるのです。
どこからでも、一緒に対応する
そこから先は、当社の24時間365日のMDRチームが、インシデントが続く限りお客様のチームと並んで対応にあたります。全員が同じWar Roomで作業します。War Roomはインシデントの共有ライブビューで、お客様のチームと当社のチームが同じ証拠を見て、コミュニケーションチャネルはSlackに同期され、個別の調査結果は必要な人に直接届きます。DMやメールスレッドをまたいで対応をつなぎ合わせる必要はもうありません。
しかも、そのどれにもデスクにいる必要はありません。ExaGoを使えば、「影響を受けているか？」と尋ねたり、封じ込めアクションを承認したり、スマートフォンやApple WatchからWar Roomに入ったりできます。通知のタイミングが来れば、それを裏付ける証拠とタイムラインを添えて、侵害通知を支援します。
インシデントの後
封じ込めが完了したら、インシデント対応中に使ったものと同じデータとツールのまま、入れ替えなしでExaforce MDRに移行できます。さらにExaUでカスタムExabotの部隊を自ら構築し、それぞれに役割を与えることで、チームは継続的な最新情報を受け取り、次のインシデントに備えることができます。
今日は攻撃を受けていない？
なら、攻撃を受けるその日に備える最良のタイミングです。インシデントレスポンス・リテイナーがあれば、データソースは事前に接続され、契約と指名担当者はすでに整い、初動対応には契約上のSLAが付きます。調査は最初の電話から始まります。契約、連絡先、ログへのアクセスは、初日に最も時間を奪う工程であり、リテイナーはその3つすべてを取り除きます。
息をつく時間を
セキュリティチームが攻撃に一人で立ち向かうべきではなく、助けを得るために営業トークを聞かされるべき人もいない。私たちはそう考えています。Force ERは、最も重要な局面で私たちが駆けつける方法です。
今まさに攻撃を受けていますか？インシデントホットライン +1 (844) 660-1663 にお電話いただくか、exaforce.com/incident-response で緊急支援を受けてください。
