自動化された検知と対応：アラートと行動のあいだの空白を埋める
検知が午前2時14分に発報します。誰かがそれに手をつけるのは午前9時40分です。そのあいだに壊れたものは何もなく、ツールの障害もなく、スタックのすべての製品が設定どおりに動いていました。この7時間の空白こそ、自動化された検知と対応が解こうとしている本当の問題です。それを埋めると謳う製品を探し始める前に、この空白の中身を正確に押さえておく価値があります。
自動化された検知と対応をめぐる議論の多くは、いきなり製品カテゴリーの話から始まります。しかし順序が逆です。この空白には具体的で地味な原因があり、そのうちソフトウェアで解決できるのは一部にすぎません。
空白の中身
一つ目の原因はキューの滞留です。未対応のアラートが300件たまっているところにその検知が届けば、待ち時間は怠慢ではなく算数の問題です。重大度の判定が粗く、キューの三分の一に「高」が付いているような状態では、そのアラート自体の緊急度は何の助けにもなりません。
二つ目はシフトの引き継ぎです。シフト終了間際に届いたアラートは、次のシフトまで待たされるのが常です。終わらせられない調査を始めたくないという担当者の判断は、理にかなっています。フォロー・ザ・サン体制では、引き継ぎのコストは遅延ではなく文脈の喪失として現れ、そちらのほうが厄介なことも少なくありません。
三つ目は文脈の欠落で、最も高くつく原因です。アナリストがアラートを開いても、検出されたプロセスがそのホストにとって通常のものなのか、関与しているアイデンティティがサービスアカウントなのか人なのか、その送信元アドレスが今週ほかでも現れているのかが分かりません。これらに答えるには三つのコンソールを渡り歩く必要があり、その一つひとつが、作業を後回しにするという判断があり得る分岐点になります。検知コンテンツを追加するよりもアラートトリアージの自動化のほうが測定可能な改善につながりやすいのは、このためです。
四つ目は承認待ちで、自動化された検知と対応が完全には取り除けない唯一の原因です。アナリストは何をすべきか分かっていて、その操作には責任者の承認が要ります。そして承認は、責任者がSlackを読んだときに届きます。自動化は承認そのものをなくせませんが、依頼一式を整えておくことで、承認する側が20分ではなく30秒で済ませられるようにはできます。
略語の全体像を正直に整理する
市場は自動化された検知と対応を少なくとも五つの呼び名で売っています。そしてそれらは、同じ問いに対する競合する答えではありません。異なる層に置かれたセンサーとサービスです。
EDR（エンドポイントにおける検知と対応）はホストを計装します。ノートPCやサーバー上のプロセス実行、ファイル書き込み、レジストリの変更、コマンドラインを監視し、プロセスの停止やマシンの隔離ができます。EDRはどの層よりも豊かなローカルのテレメトリを持ち、同時に視野は最も狭いものです。
NDR（ネットワークにおける検知と対応）はトラフィック、フローレコード、プロトコルのメタデータを分析します。プリンタ、アプライアンス、産業機器など、エージェントを導入できない機器が見え、エンドポイントのエージェントでは片側からしか観測できないホスト間のラテラルムーブメントも見えます。
XDR（拡張された検知と対応）は、それらの層をまたぐテレメトリを一つ屋根の下で相関付けます。この呼び名は緩く使われており、単にタブが複数あるだけのコンソールではなく本当にXDRなのかを見分ける正直な試金石は、ドメインをまたぐ相関付けが製品の中で起きているのか、それともアナリストの頭の中で起きているのかです。XDRとSIEMを直接比較すると、その違いはより鮮明になります。
MDR（マネージドな検知と対応）は技術の層ではなく提供モデルです。プロバイダーが検知スタックを運用し、分析にあたる人員を配置します。MDRで買えるのはカバレッジと専門性であって、技術的に何が自動化されているかがそれ自体で変わるわけではありません。契約で本当に重要になるのは、プロバイダーにどこまでの対応権限を与えるかという条項です。
CDR（クラウドにおける検知と対応）は、クラウド環境のコントロールプレーンのログ、アイデンティティのイベント、ワークロードの挙動を扱います。五つの中では最も新しく、最も標準化が進んでいません。現代の攻撃経路がバイナリではなく認証情報から始まることが多いため、重要性が増しています。そのテレメトリについてはクラウドにおける検知と対応のガイドで詳しく扱っています。
「自動化」の意味は層ごとに異なる
ここはベンダーが曖昧にしがちな部分です。エンドポイントにおける自動化された検知と対応は、たいてい自律的なブロックを意味します。エージェントがローカルの権限を持ち、判断はミリ秒単位で下され、誤った判断の影響範囲は一台のマシンにとどまります。この組み合わせが、踏み込んだ自動化を正当化します。
ネットワーク層では、自動化は行動よりも検知と補強を指すことのほうが多くなります。取り得る対応が粗いからです。サブネットの遮断やセッションの切断は多数の利用者に一度に影響するため、多くのNDR導入は自律的な強制執行の手前で止まり、代わりに人へ引き渡す形をとります。
クラウドでは、自動化はセッショントークンの失効、鍵の無効化、ストレージバケットの隔離といったコントロールプレーンの操作を指します。これらは精密で元に戻せるため、本来は自動化に向いた候補のはずです。制約は技術面よりも組織面にあることが多く、対象が本番環境のアイデンティティに触れるためです。
マネージドモデルのもとでの「自動化」は、プロバイダー内部のワークフローを指しており、通常こちらから中身を検証することはできません。対応操作のうち人手を介さずに実行される割合はどれくらいか、そして午前3時に自社の承認経路がどうなるのかを確認してください。
単一センサーの自動化より相関付けが重要な理由
どのセンサーの内部の自動化も、そのセンサーに見えている範囲に縛られます。そして現代の侵入は意図的に境界をまたぎます。その乗り換えこそが攻撃なのです。
認証情報がフィッシングで盗まれます。見慣れないネットワークからクラウドのコンソールへの認証に使われます。ロールが引き受けられ、スナップショットが取得され、データは正規のクラウドAPIを通って出ていきます。エンドポイントのエージェントが見たのは、ブラウザがあるページを開いたことだけです。ネットワークのセンサーが見たのは、もっともらしいドメインへのTLS通信です。クラウドのログが見たのは、認証済みの利用者が技術的には許可されている操作をしている様子です。各層がそれぞれの証拠だけで評価すれば、いずれも「動かない」という正しい判断に至ります。MITREのATT&CKクラウドマトリクスはこれらの手法を個別に記載していますが、この連なりが攻撃として読めるのは、三つの流れをまとめて見たときだけです。
Verizonのデータ漏洩・侵害調査報告書（DBIR）は、初期アクセスの手口として認証情報の悪用が着実に増えていることを長年追跡してきました。守る側から見れば同じ現象です。一つのドメインの中だけで自動化を突き詰めた脅威の検知・対応のソリューションは、個々の検知がどれだけ良くなっても、この種の侵入を取りこぼし続けます。
相関層での自動化は、仕事の単位そのものを変えます。センサーごとのアラートをトリアージするのではなく、アイデンティティ、エンドポイント、ネットワーク、クラウドにまたがり、乗り換えの地点まで再構成された一つの筋書きが出力されます。層が本当につながったときの脅威の検知・調査・対応が実務でどう見えるかが、まさにこれです。
Exaforceはこの相関付けを、ルールの集合ではなくマルチモデルAIエンジンとして組み込んでいます。セマンティックデータモデルがログ、クラウドの構成情報、コード、アイデンティティのデータを一つの表現に正規化し、ビヘイビアモデルが人と機械それぞれのアイデンティティにとって何が普通かを学習します。そのため、先ほどの見慣れないログインは、誰かがそのためのルールを書かなくても「見慣れないもの」として読み取られます。そして、組み立てられたケースをエクサボットが引き継ぎ、チームが与えた権限の範囲に応じてオートパイロットまたはコパイロットのモードで進めます。
何から自動化するか
自動化された検知と対応をうまく順序立てられるかどうかは、突き詰めれば誤った判断がいくらのコストを生むかという問題です。補強は安全な出発点です。間違っても失うものがないからです。資産の所有者、アイデンティティの種別、その主体の直近の挙動、関連するアラートをすべての検知に自動で付与すれば、先ほど述べた文脈の欠落による遅延の大半が消えます。しかもこれは、どのセンサーを持っているかに関係なく機能します。NISTのサイバーセキュリティフレームワークは検知と対応を切れ目のない機能として扱っており、ここでは有用な見方になります。
次が相関付けで、封じ込めは最後です。最初に自動化する対応としては、元に戻せるという理由から、クラウドのアイデンティティに対する操作が最も説明しやすい選択になります。それでもアナリストには、相関付けされた結果を直接問いただす手段が必要です。Exaforceがそのために作ったのがAdvanced Data Explorerで、統合されたデータに対する自然言語での問い合わせによって、コンソールを渡り歩く作業を置き換えます。より広い運用上の順序についてはSOCにおけるインシデント対応の自動化のガイドをご覧ください。
空白を埋める
検知から行動までの7時間は、キューの滞留、引き継ぎ、文脈の欠落、承認待ちでできています。自動化された検知と対応が役に立つのは、そこを名指しで攻めた分だけです。ネイティブの自動化が強力なセンサーをもう一つ買っても、このどれにも効きません。すでに運用しているセンサーをまたいで補強と相関付けを自動化すれば、四つのうち三つに効きます。
エンドポイント、ネットワーク、アイデンティティ、クラウドのあいだの乗り換えが見えている層こそ、自動化された検知と対応が投資に見合う層です。自社のテレメトリでそれがどう見えるかを確かめる準備ができたら、相関付けが製品の中で起きているのか、それともアナリストの頭の中で起きているのかという観点でプラットフォームを評価してください。