ネットワークに根ざしたエージェント型SOC

SOCの責任者に、この2年間で最も大きく変わったことは何かと尋ねれば、その答えは「スピード」です。攻撃者は偵察活動を自動化し、認証情報を窃取し、環境内の正規ツールを悪用します。そして、ラテラルムーブメントを行いながら、わずか数分で一連の攻撃を完遂します。かつて防御側には、侵入者を検知するまでに数日から数週間の猶予がありました。しかし、攻撃者が検知されずに環境内へとどまる「滞留時間（dwell time）」を前提とした従来の考え方は、すでに過去のものとなりつつあります。さらに、多くのSOCを支える既存ツールは、人間の調査担当者が複数のコンソールを行き来しながら調査することを前提に設計されています。画面、API、データサイロの間でツールやデータソースを切り替えるたびに、時間が費やされ、調査に必要なコンテキストも失われます。しかし現在の防御側には、もはやそのような余裕はありません。

業界が導き出した答えは、Agentic SOCです。つまり、マシンスピードで自ら推論し、自律的に行動するAIです。これは大きな期待が寄せられる変革ですが、十分に語られていない課題があります。AIエージェントの能力は、推論に使用するデータの品質に左右されます。分断されたログを与えれば、そのログにすでに存在する情報の欠落やサイロ化も、そのまま引き継ぐことになります。エージェントが信頼性の高い判断に基づいて行動するために、何よりも必要なのは、信頼できる高精度な情報源です。その情報源こそがネットワークです。これが、エクサフォースとExtraHopが提携した理由です。

ネットワークは嘘をつかない

エンドポイントは無効化されることがあります。ログは改ざんされることがあります。ID情報は窃取されることがあります。しかし、攻撃者が避けて通れないものが一つあります。それがネットワークです。攻撃者が目的を果たすには、必ずネットワークを介して通信しなければなりません。例えば、ドメインコントローラーにアクセスしたり、データを外部へ持ち出したりする場合です。また、ネットワークだけが点在する情報を結び付け、ユーザーとデバイス、デバイスとアプリケーション、さらに操作とその対象となったデータを関連付けることができます。これはまさにAIエージェントが必要とするコンテキストであり、分断されたログでは提供できないものです。この考え方は、ExtraHopが主導し、エクサフォースも参加する企業連合「Project AgentStream」の基本理念でもあります。Project AgentStreamは、ネットワークを自律型セキュリティ運用のコンテキストレイヤーにすることを目的としています。

そのコンテキストを提供するのが、ExtraHop RevealX 360です。RevealX 360はクラウド提供型のNDRプラットフォームであり、ネットワーク検知とレスポンス分野のGartner Magic Quadrantでリーダーに位置付けられています。パッシブセンサーは、データセンター、各拠点、クラウド環境に配置され、SPAN、ネットワークTAP、パケットブローカー、クラウドvTAPを介して、トラフィックに一切影響を与えることなく監視します。さらに重要なのは、ラテラルムーブメントが潜みやすいエンタープライズプロトコルを復号し、解析できることです。高性能センサーは、これらの処理を最大400Gbpsのラインレートで実行します。しかし、RevealX 360がAI時代を見据えて設計されている理由は、生のトラフィックをキャプチャする機能そのものではありません。重要なのは、トラフィックをアイデンティティ情報に紐付けられた構造化レコードへ変換し、数百に及ぶMITRE ATT&CKの攻撃手法にマッピングされた、振る舞いベースの検知を生成できる点です。Premium Investigationオプションを使用すれば、フォレンジック調査に必要なパケットレベルの証拠を保持し、検索可能なレコードを最長365日間保存できます。つまり、AIエージェントに膨大なパケットをそのまま渡すのではなく、推論に利用できる、整理された機械可読なコンテキストを提供します。

2種類のAIがエンドツーエンドで連携

ExtraHopがAIに適したデータを提供する情報源なら、そのデータを活用するAI駆動型SOCがエクサフォースです。エクサフォースは、検出、トリアージ、調査およびスレットハンティング、レスポンスの各タスクに特化した4つのエクサボットにより、SOCのライフサイクル全体を担います。すべてのエクサボットは、環境全体をリアルタイムで統合したビューに基づく、共通の推論コアを使用します。エクサフォースは、SaaSとして利用できるほか、24時間365日体制のフルマネージドMDRサービスとしても利用できます。さらに、エクサフォースはネットワーク情報だけを切り離して分析することはありません。ExtraHopのデータを、アイデンティティ、エンドポイント、SWG、クラウドの各シグナルと統合し、リスクの全体像を構築します。

私たちはこれを、両端をAIで支える仕組みと捉えています。一方では、RevealX 360がネットワーク上で何が起きたのかを解析し、構造化するという複雑な処理をすでに担っています。もう一方では、エクサフォースが数多くのデータコネクターから得られる豊富なテレメトリを組み合わせ、その情報を基に推論して行動します。高精度なネットワークインテリジェンスの真価は、その情報を受け取り、追加のコンテキストと組み合わせられるインテリジェントなシステムがあってこそ発揮されます。

実際の運用イメージ

日常の運用では、ExtraHopの検出情報が他のセキュリティデータとともにエクサフォースへ継続的に送られます。これにより、ネットワークデータは、統合されるデータソースの中でも特に豊富な情報源の一つとなります。重大度の高い検出結果は継続的に取り込まれ、アナリストが処理キューを常時監視することなく、24時間365日体制でトリアージされます。

その後、すべての検出情報に対して、アナリストが時間の制約を受けずに行うような詳細な分析が実施されます。誰が操作を実行したのか、何にアクセスしたのか、どこから実行したのか、そしてなぜ重要なのかという情報が付加され、リアルタイムのナレッジマップと照合してトリアージされます。その結果、判断根拠が明確に示された、平易な英語による評価結果が生成されます。また、簡潔なタイムラインを見るだけで、エクサフォース上での作成から、人手を介さず数分でトリアージが完了するまでの流れを確認できます。

実際の攻撃は、単一のアラートだけでその全容が明らかになるわけではありません。そのため、エクサフォースは、関連するExtraHopの検出情報を分断された個別イベントとして扱うのではなく、関連付けて一つの多段階攻撃チェーンを構築します。以下の事例では、Impacket PsExecによるラテラルムーブメントの検出と、SMB経由のRemComによるコマンド＆コントロールの検出が、ラテラルムーブメント、実行、認証情報アクセスにまたがる一つの調査に統合されました。

これらの分析結果は最終的に、関連する証拠と紐付いた明確な判定結果として提示されます。そこには、一連の攻撃を数文でまとめたサマリーと、判定の信頼度が含まれます。アナリストがさらに詳しく調査する場合、エクサフォースがRevealX 360へ直接照会し、判定を裏付けるレコードを取得して、すぐに調査に利用できるケースノートを作成します。

最後に、ExtraHopコネクターの特長として、エクサフォースのエクサボット検索とのインテグレーションが挙げられます。複雑なクエリ構文を覚えることなく、自然言語でネットワークデータを検索できます。アナリストはエクサボット検索を使用して、侵害されたアカウントに関連するデバイスの特定、特定のポートや名前付きパイプに関するレコードの取得、過去1週間におけるホストのアクティビティの確認を迅速に行えます。検索結果はRevealX 360から直接取得され、わずか数秒で返されます。スレットハンティングや詳細な調査では、環境内でも特に情報量の多いネットワークデータを、チーム全体が対話形式で検索できるようになります。このネットワークデータに対する自然言語アクセスが、本インテグレーションを他のAgentic SOCと差別化する特長です。

導入によって得られる効果

その効果は、日々の運用効率に表れます。RevealX 360は暗号化されたEast-Westトラフィックを可視化し、エクサフォースはその通信をアイデンティティやエンドポイントのコンテキストと組み合わせて分析します。これにより、ラテラルムーブメントやランサムウェア攻撃前のアクティビティを、攻撃者が環境内を移動している段階、つまり暗号化が始まる数時間前、場合によっては数日前に検知できます。検出情報はあらかじめ構造化された状態で取り込まれ、エクサボットがノイズと判断された検出を自動的にクローズし、実際に対応すべきものだけを提示します。これにより、アラート疲れも軽減されます。さらに、スレットハンティングは特別なプロジェクトではなく、必要なときに実行できる日常的な運用になります。1年分のレコードをクエリ一つで検索できるため、担当者が複数のツールを行き来することなく、エクサフォースがオンデマンドまたはプロアクティブに、フォレンジック調査に利用できるケースノートを作成します。

実稼働環境でこの運用モデルを採用しているチームからは、ネットワークに関するすべての検出結果が24時間365日体制でトリアージされ、その約95％が自動的にトリアージおよびクローズされると報告されています。また、アナリストに届く誤検知は最大80％削減され、侵害の可能性を約15秒で除外できるとされています。これらはエクサフォースが公表している実績に基づく数値であり、実際の結果は個別に異なります。

攻撃者は営業時間に合わせて活動するわけではなく、すでにAIを活用しています。マシンスピードで攻撃を仕掛ける相手に対抗する唯一の方法は、マシンスピードの防御です。そして、その防御を信頼できるものにする唯一の方法は、攻撃者が偽装できない情報を基盤とすることです。エクサフォースのAgentic SOCとExtraHop RevealX 360を組み合わせることで、その基盤となるのがネットワークです。