チャレンジ
- Guardant Healthが以前使用していたSIEMでは独自のクエリ言語が必要だったため、自社データから必要な情報を取得するには、その言語の専門知識を持つ人材を採用するか、チームにその言語の使用方法を習得させる必要がありました。
- ログ取り込み量に固定の予算上限があったため、どのデータを保持するかについて常に取捨選択を迫られていました。その結果、一部のログはSIEMから完全に除外され、アクセスするにはAWS上で実行される処理速度の遅いAthenaクエリを使用するしかありませんでした。
- そのSIEMは、有効な検出ルールがほとんど実行されておらず、単なる受動的なログ保管場所となっていました。そのため、検出能力を向上させることなく、ストレージコストだけが増加していました。
- インシデント調査時には、チームはSIEMを経由せずにデータソースへ直接アクセスしていました。例えば、Oktaのエクスポートデータをスプレッドシートに取り込み、手作業でフィルタリングしていました。これは、アラートトリアージのたびに調査に必要なコンテキストを把握するため、連携されていない複数のツールを行き来する必要があったためです。
- MDRは別ベンダーから提供されていましたが、その調査結果は表面的で汎用的な内容にとどまり、分析の深さに欠けていました。そのため、少人数のセキュリティチームが必要としていたインシデント対応支援を十分に得られていませんでした。
ソリューション
- エクサボットにより、チームは自然言語でセキュリティデータを検索・調査できるようになりました。これにより、独自のクエリ言語を習得する必要がなくなり、SIEM専任の担当者を配置する必要もなくなりました。
- エクサフォースはすべてのAWS CloudTrailログを取り込み、単一のビューから検索できる状態で保持します。これにより、コスト上の制約によるデータ取り込みの制限が不要となり、その代替手段として利用されていた低速なAthena検索も不要になりました。
- エクサボット検出は、取り込まれたデータに対して継続的に検知を実行します。これにより、受動的なログ保管庫を、実際に価値ある検知結果を生み出す仕組みへと変えます。
- エクサフォースのリアルタイムナレッジグラフは、アイデンティティ、エンドポイント、クラウドのテレメトリを単一のビューで相関分析します。これにより、チームはSIEMを迂回したり、Oktaのエクスポートデータを手作業で確認したりすることなく、一か所でトリアージを実施できます。
- エクサフォースのエージェントとMDRアナリストは、第1レベルから第3レベルまでのトリアージに加え、詳細な調査対応まで担当します。これにより、従来のベンダーでは得られなかった高度な分析を提供するとともに、SIEMとMDRを単一のパートナーへ集約できます。
ログ保管庫から数秒で答えを得られる環境へ
Guardant Healthは、血液を用いたがん検出技術を提供する企業であり、「データでがんを克服する」ことを使命としています。そのデータとは患者のゲノム情報や臨床情報であり、セキュリティは患者ケアの一環として位置付けられています。同社はHIPAAおよびSOC 2の準拠要件を負っており、自社に求めるものと同じ基準をベンダーにも求めているため、それらの要件はあらゆるベンダー選定の判断に反映されています。Guardant Healthの事業規模では社内SOCを運用する合理性が低いため、24時間365日の対応体制を確保するためにマネージドパートナーを活用しています。
エクサフォース導入前、Guardant Healthは別のSIEMを利用していましたが、その製品は運用負荷を軽減するどころか、むしろ増やしていました。独自のクエリ言語が必要だったため、そのスキルを持つ人材を採用するか、既存メンバーを教育する必要がありました。また、ログ取り込みコストの制約から、どのデータを保持するかを常に取捨選択しなければならず、CloudTrailログはその対象から外れていました。そのためCloudTrailログはSIEMに取り込まれておらず、調査のたびにAWS上でAthenaクエリを実行する必要がありましたが、その処理は非常に時間がかかるものでした。
より根本的な問題は、そのデータに対して有効な検知が実行されていなかったことでした。SIEMは、インシデント発生後に参照する過去ログの保管庫となっており、必要な情報が残っていることを期待して利用されていました。実際の調査では、チームはSIEMを経由せずに元データを直接確認し、Oktaのエクスポートデータをスプレッドシートへ取り込んで手作業でフィルタリングしていました。また、MDRは別ベンダーが提供していましたが、その調査結果は表面的かつ画一的で、支援よりもノイズを増やしていました。
エクサフォース導入後、最初に変わったのは、チームが必要な答えを得る方法でした。Guardant Healthのチームは、クエリを記述する代わりに、エクサボットへ自然言語で質問するだけで、従来のSIEMよりも迅速に結果を得られるようになりました。現在ではCloudTrailログが完全に取り込まれ、Okta、CrowdStrike、その他のセキュリティスタックのデータと単一のビュー上で相関付けられています。そのため、以前はAthenaの低速なクエリを経由しなければ参照できなかったデータにも即座にアクセスできます。また、そのデータに対してリアルタイムで検知が実行されており、エクサフォースのMDRチームが一次および二次トリアージを担当するため、Guardant Healthへ通知される前に事前の選別が行われています。
「従来のSIEMでは、すべてのAWSログを保存し、検索可能な状態で維持するだけの予算がありませんでした。そのため、私はAWSにアクセスしてAthenaクエリを実行していました。実際に使ったことがある人なら分かると思いますが、非常に時間がかかります。現在では、すべてのログに即座にアクセスできるようになり、EDRやOktaをはじめとする各種セキュリティツールのデータと1か所で相関付けられるようになりました。」と、Guardant Healthのセキュリティエンジニアリング担当ディレクターであるMike Shannon氏は述べています。
その効果が明確に表れたのは、チームの人員が不足していたある日のことでした。EC2に関するアラートが発生し、Guardant HealthのITチームは内容を確認するためAWSサポートへ問い合わせました。AWSは、関連するアカウントが侵害されていると回答しました。そこでMike氏は、AWSが侵害されたと判断したアカウントが、問題となっているEC2インスタンスと実際に関連しているかどうかをエクサフォースに照会しました。約15秒後、エクサフォースは根拠となる証拠へのリンク付きで回答を返しました。結果として、両者には関連性がありませんでした。AWSの判断は誤りであり、エクサフォースによって数時間に及ぶ調査を不要にすることができました。
成果は数値として明確に表れています。平均調査時間は12分まで短縮され、過去90日間でエクサフォースのAIエージェントは30人分に相当する業務を遂行しました。その効果は計画面にも及んでいます。チームが第2四半期（Q2）に予定していたエンジニアリング作業は、エクサフォースが構築したことで不要となりました。また、AIエージェントが担う業務範囲を踏まえ、Mike氏の採用計画も見直されています。
Guardantのセキュリティチームの管理層にとって重要だったのは、少人数のチームでも機密性の高い環境を継続的に保護できる体制を実現するために何が必要か、という点でした。
「私たちは今、攻撃者がこれまで以上に強力な能力を持ち、それを実際に活用している時代の入り口にいます」とShannon氏は語ります。「攻撃者に遅れを取らないためには、優秀な人材と優れたツールの両方が欠かせません。そして幸いなことに、今の私はエクサフォースによってその両方を備えられていると感じています。」
Guardant Healthは、データの力でがんを克服することを使命としています。そしてエクサフォースにより、そのデータを保護するチームは、ミッション達成に必要なスピードで対応できるようになりました。
