ログインデモをリクエスト
ログインデモをリクエスト
テクノロジーパートナーに戻る

エクサフォース + AWS

AWSのすべての検出結果を判定まで処理する

エクサフォースはAWS上に構築されたエージェンティックSOCプラットフォームです。お客様のAWSテレメトリをセキュリティスタック全体とあわせて読み取り、すべての検知を証拠付きの判定まで処理します。

AWS Marketplaceのエクサフォースソリューションブリーフを読む
AWSとエクサフォース

パートナーシップの内容

AWSとのパートナーシップ

AWSはセキュリティチームに優れたシグナルを提供します。しかし、そのシグナルを判断へと変えるところでチームは行き詰まり、環境が大きくなるほどその差は広がります。

GuardDutyは検出結果を上げてくれますが、その検出結果だけで全体像が分かることはほとんどありません。誰が操作したのか、何に触れたのか、そして実際に問題だったのかに答えるには、CloudTrail、構成履歴、ネットワークフロー、アイデンティティのデータを手作業でたどる必要があります。拡大するAWS環境が生み出す量を掛け合わせれば、ほとんどの検出結果はきちんと処理されません。サンプリングされるだけです。

エクサフォースはその差を埋めます。AWSのアクティビティ、構成、ネットワーク、アイデンティティのデータをGuardDutyの検出結果とあわせて読み取り、セキュリティスタック全体のコンテキストで補強し、すべての検出結果を証拠付きの判定まで処理します。無害なアクティビティは、監査可能な根拠を記して終了します。本物の脅威は、タイムライン、根本原因、対応とともにエスカレーションされます。それが午後2時であっても、午前2時であっても変わりません。

エクサフォースは同じデータから独自の検知も構築するため、カバー範囲はGuardDuty単体が示す範囲を超えて広がります。

コンピテンシー

AWSコンピテンシーと認定

AWS Security Competency

脅威の検知と対応 ・ アイデンティティとアクセス管理

AWS AI Competency

エージェンティックAIアプリケーション ・ 生成AIアプリケーション

AWS Marketplace

プライベートオファーを含め、購入いただけます

AWS上に構築

AWSネイティブなアーキテクチャ

サービス

読み取るもの、そして操作するもの

エクサフォースは2つの方法でAWSと連携します。環境を理解するために以下のサービスを読み取り、封じ込めが必要なときにはお客様自身のAWSの制御を通じて操作します。いずれの範囲もお客様が決定します。

Amazon GuardDuty

すべての検出結果を取り込み、その活動の背後にあるアイデンティティ、そこに至った一連のイベント、影響を受けたリソース、アカウント内の他の関連活動で補強します。検出結果は、何が起きたのか、なぜ重要なのか、次に何をすべきかを平易な言葉で述べる評価になります。

AWS CloudTrail

すべてのアカウントにわたるAPIアクティビティを、個別のイベントのままにせず、ひとつながりのセッションとして結合します。別途アーカイブを用意しなくても、数か月前までさかのぼって検索できます。

AWS Config

リソースの構成と変更履歴。調査の際に、対象となった活動の前後でリソースがどのような状態だったかを示せます。

Amazon VPC Flow Logs

ネットワークの視点。トラフィックがどこへ向かい、どれだけ流れ、情報持ち出しの疑いが実際にデータ転送を伴ったのかが分かります。

AWS IAM

ユーザー、ロール、ポリシー、アクセスキーを、その背後にいる人間やワークロードに結び付けます。アイデンティティ権限グラフは、これを基に構築されます。

AWS IAM Identity Center

従業員のアイデンティティ、グループのメンバーシップ、権限セット。判定の際に、その人物が複数アカウントにわたって実際に何にアクセスできるのかを踏まえられます。

Amazon EKS

クラスターの監査アクティビティと構成に、エクサフォースの検知を重ねます。多くのツールがブラックボックスとして扱うコンテナ層を対象にします。

AWS Organizations

ひとつの接続ですべてのアカウントとリージョンを対象にできます。新しいアカウントは作成された時点で取り込まれます。

Amazon S3 ・ Amazon SQS

バケットやキューに置けるものであれば、他のどのようなデータもソースとして追加でき、同じ検知と分析の対象になります。

データを読み取ることと、データを理解することは同じではありません。エクサフォースは、Amazon EC2、Amazon S3、AWS Lambda、Amazon RDS、Amazon ECS、Amazon ECR、Amazon EKS、Amazon VPCが通常どのように使われているかを把握しています。だからこそ、日常的な管理作業と、日常的に見えるだけのものとを見分けられます。

この理解は、封じ込めを安全に行うための前提でもあります。何かを止める必要があるとき、エクサフォースはお客様がすでにお持ちのAWSの制御を通じて動作します。EC2インスタンスやEKSホストの隔離、IAMまたはIAM Identity Centerユーザーの無効化、セキュリティグループやネットワークACLの更新などです。各アクションは自動実行されるか、ワンクリックの承認を待ちます。付与するのは、お客様が使うと決めた権限だけです。

コンテキスト

すべてのシグナルを、コンテキストとともに

AWSは大量のデータを生み出しますが、調査がそこで終わることはまずありません。

エクサフォースは、アイデンティティ、エンドポイント、SaaS、ネットワーク、コード、メール、クラウドセキュリティにわたる100を超えるソースを読み取り、そのすべてをAWSのデータと同じリアルタイムモデルに取り込みます。アイデンティティ、セッション、リソース、挙動は、別々のツールに分散するのではなく相互に結び付きます。だからこそ、単一のAWSサービスでは見えないものまで踏まえた判定ができます。

これにより、検出結果の意味が変わります。

  • アクセスキーに関するGuardDutyの検出結果は、そのキーが数時間前に公開GitHubリポジトリにコミットされていたことをエクサフォースが見つけた時点で、侵害の確定へと変わります。
  • 通常とは異なるS3のアクティビティは、その背後のアイデンティティが、人事システム上は2週間前に退職した人物のものだと分かった時点で、内部不正の事案へと変わります。
  • 通常とは異なる場所からのログインは、Oktaが同じデバイスを示し、CrowdStrikeがエンドポイントの健全性を示していれば日常的なものになり、そうでなければ緊急事態になります。
  • 宛先IPアドレスは、脅威インテリジェンスが既知のインフラと結び付けた時点で証拠になります。アナリストが自分で調べに行く値ではなくなります。

補強はすべてに対して同じように行われます。リソースの所有者は誰か、そのデータにどれだけの価値があるか、そのアイデンティティが普段どう振る舞うか、他のツールがすでに何を把握しているか。アナリストが時間の許す範囲で手作業で行っている作業を、すべての検出結果に適用します。

ユースケース

実際の運用ではどうなるか

適正な権限への最適化

どのAWSチームも、求められたときに答えるのに苦労する問いがあります。このアイデンティティは実際に何にアクセスでき、実際には何を使っているのか。

アカウントを接続すると、エクサフォースはすべてのアイデンティティに紐づくすべてのポリシーを、サービスごと・アカウントごとに平易な答えへと解決し、各ロールと各権限が使われているか未使用かを示します。人間のアイデンティティも、非人間のアイデンティティも同様です。分析を依頼する必要はありません。すでにそこにあります。

そのうえで、何を変えるべきかを示します。誰も使っていないロール、直接付与されて一度も使われていない権限、何の役割も果たしていないグループメンバーシップ、そして必要のない管理者権限を持つアイデンティティです。各推奨には、その根拠と裏付けとなる証拠が添えられます。

定期的な棚卸しでは、アクセスレビューキャンペーンによって、この分析が期限・承認者・アイデンティティごとのケースを備えた追跡可能なプロセスになり、既定ではその人物の上長に割り当てられます。各ケースには推奨される判定が添えられ、レビュー担当者は記録付きのメモとともに承認または修正します。キャンペーンからはダウンロード可能なレポートが生成されるため、四半期ごとのレビューはスプレッドシートではなく監査証跡を残します。

当社が監視している環境全体では、人間のアイデンティティ1つに対して非人間のアイデンティティが14.5あります。権限の肥大化は、もはやほとんど人の問題ではありません。

すべての検出結果を処理する

すべての検出結果を処理します。サンプリングはしません。エクサフォースは検出結果を分解し、その周囲の状況を組み立て直します。どのアイデンティティか、どのセッションか、どのリソースか、活動はどこから来たのか、そのリソースの構成は実際に何を許可しているのか、そのアイデンティティは普段どう振る舞うのか、そして外部の脅威インテリジェンスはその発信元について何を伝えているのか。

数分後には、確信度を添えた判定を、MITREの戦術・技術にマッピングし、根拠を文章にして提示します。スコアではありません。読んで議論できる数文であり、判断の決め手となった具体的な証拠を、反対を示す証拠も含めて引用します。

そのうえで、汎用的なプレイブックではなくお客様の環境に合わせて書かれた番号付きの手順で、何をすべきかを示します。無害な検出結果は、監査可能な根拠を記して終了します。未解決のものにはSLAのタイマーが動き続けます。

GuardDutyの先へ

GuardDutyは、そう作られているとおりのことを伝えてくれます。エクサフォースは同じAWSテレメトリから独自の検知を作成し、さらにお客様のアイデンティティプロバイダーも読み取るため、GuardDutyには見えない連鎖を追跡できます。SSOでのログイン、引き受けられたロール、返された一時認証情報、そしてそれらで行われたすべての操作を、ひとつのセッションとして結合します。

これにより、CloudTrail上はまったく正当に見えるものを捉えられます。そのアイデンティティがこれまで使ったことのない都市とネットワークから管理者認証情報を取得するエンジニア。単一のイベントでは決して検知されない、場所を変えながら認証情報を取得し続けるパターン。

エクサフォースは、そのアイデンティティ自身の90日分の履歴と、同僚が実際にどう振る舞っているかと照らし合わせて評価し、どの程度確信があるか、そして何が分かれば決着するかを、誰に尋ねるべきか、どの上長を巻き込むべきかまで含めて示します。

これらはGuardDutyの検出結果と同じキューに入り、同じようにトリアージされ、同じSLAで扱われます。何を抑制するかを調整し、独自のルールを追加し、任意の調査を常設の検知に変えることもできます。

成果

エクサフォースで稼働する実際のSOC環境から得られた、1年分の観測結果です。

2025年のエクサフォース顧客環境全体の集計結果です。790億件のイベントと129万件のアラートに基づいています。

  • 97%のアラートはアナリストによる調査を必要としませんでした。人間の確認が必要だったのはわずか3％、129万件のうち4万1,000件です。
  • 98%のアラートは、確認の結果、無害または誤検知であることが分かりました。
  • 98%がExabotの推奨の正答率です。人間による確認済みのレビューと照合して測定しました。
  • 67%が平均して全イベントに占めるAWS由来の割合で、多くの環境では90％を超えます。従来のツールがインデックス化し保持するように作られていた量をはるかに上回ります。
  • GuardDuty アラートは、以前はチームの時間を何時間も消費していました。Exaforce MDR では、この問題はほぼゼロにまで低下しました。アラートを受け取るだけでなく、回答も得られます。
    Srijan R ShettyFuze 共同創業者兼CTO
  • エクサフォースは、AIによってAWSとAzureの脅威検出・対応を強化し、当社のSOCの有効性を大幅に向上させました。サードパーティアラートの自動トリアージとルール不要の検出により、対応が効率化され、数十時間を削減できています。その結果、チームは脅威の軽減に集中できるようになり、探索機能によってすべてのクラウドサービスに対する可視性も高まりました。
    Paul KimAccton CISO兼CIO
  • エクサフォースとその新しいAgentic SOCプラットフォームを早期に導入したことで、開発チームが使用するGitHubなどのクラウドサービスにおける、アイデンティティの悪用検知と対応が大幅に強化されました。このプラットフォームは、オンボーディングから24時間以内に実用的なクラウドインサイトを提供しました。その一例として、当社環境におけるサードパーティベンダーの認証情報の悪用を特定できました。豊富なデータ基盤により、SaaSおよびIaaS環境全体にわたる複雑な問いやタスクに迅速に対応できています。
    Daniel KrasnokuckiF500デジタルインフラ企業 プロダクトセキュリティ責任者
  • AI主導の分析は、現代のセキュリティ運用に不可欠です。エクサフォースは、AIが真の調査パートナーとして機能できることを示しています。同社のプラットフォームにより、当社のチームは、従来であれば本格的なSOCと多大な手作業を必要としていた深い分析とコンテキストに基づく運用を行えるようになり、拡大するニーズに合わせてセキュリティへの取り組みをスケールできるようになりました。
    Dan BorkowskiFunction Health セキュリティ＆IT担当SVP
  • エクサフォースのセキュリティ運用に対するアプローチが気に入っています。人によるレビューとAIプラットフォームの両方を備えており、データ取り込み、アラート、ケース管理、調査をより効果的に進められます。フィードバックを非常に前向きに受け止め、リリースする新機能だけでなく、今後開発したい機能についても協力的に取り組んでくれます。私のチームでは、何らかの検索、調査、修復自動化の継続的な構築のために、ほぼ毎日エクサフォースを使用しています。
    Patrick McKinneyInvisible セキュリティ本部長
  • エクサフォースは、日々のSIEMとの向き合い方を根本から変えてくれました。以前は単なる過去ログの保管庫にすぎませんでしたが、今では脅威ハンティングを非常に容易に行え、アラートにも迅速に対応できます。
    Mike ShannonGuardant Health セキュリティエンジニアリング担当ディレクター

導入事例を読む

コンプライアンス

データ保護への取り組み

エクサフォースは、業界をリードする第三者基準による監査と認証を受けています。

  • SOC 2 Type 2準拠
  • SOC 2 Type 1準拠
  • ISO 27001認証取得
  • PCI DSS準拠
  • HIPAA準拠
  • GDPR準拠
  • USDP準拠
  • HITRUST認証取得

ソリューションブリーフ

GuardDutyをさらに深く

エクサフォースとAmazon GuardDutyがどのように連携するのかを詳しく解説します。エクサフォースがAWS環境から何を読み取るのか、生の検出結果がどのようにして証拠付きの判定になるのか、そしてキューを処理するチームにとって何が変わるのかを取り上げます。

ソリューションブリーフをダウンロード（PDF）