概要
Exaforce は Google セキュリティコマンドセンターに接続して調査結果を取り込み、GCP 環境全体からすぐに調査できるコンテキストにまとめます。プラットフォームは、アクティビティの背後にあるプリンシパル、API イベントの全履歴、Cloud Storage バケットなどの影響を受けるリソース、同じユーザー、サービスアカウント、またはプロジェクトの関連アクティビティを調べます。SCC の検出は、何が起こったのか、なぜ重要なのか、次に何をすべきかを説明するナラティブ形式の評価となり、アナリストはアラートから意思決定まで数時間ではなく数分で進めることができます。
仕組み
Exaforceは、SCC結果ストリームを各調査の開始点として使用して、Google SCCの調査結果を、接続されているGCPプロジェクトからのクラウド監査ログおよび構成データとともに取り込みます。新しい結果が見つかると、Exabot Triageエージェントは、ID属性、セッション詳細、ソースロケーション、関係するサービス、およびリソースメタデータをまとめます。次に、人間が読める評価結果を生成して、状況を要約し、裏付けとなるエビデンスを強調し、緩和策を提案します。
Exaforceでは、アナリストは豊富な調査結果を専用ビューで見ることができます。調査結果を開くと、Exabot Assessment ビューが起動します。このビューには、構造化された要約、裏付けとなる分析、および検出に貢献したイベントのタイムラインが表示されます。コマンドセンタービューには、エージェントが実行した手順、実行されたワークフロー、Slack または Microsoft Teams 経由で送信された通知や確認が表示されます。
継続的なトリアージと検証
SCCはGCPプロジェクト全体で継続的に実行され、Exaforceはそのシグナルに基づいて継続的なトリアージを重ねるため、すべての調査結果が真陽性、偽陽性、または必要調査のいずれかにすばやく分類されます。
検出結果が取り込まれると、Exabotはすぐに分析を実行し、推奨分類を割り当てます。レコメンデーションが「要調査」の場合、またはアナリストが潜在的な誤検知を検証したい場合、調査ビューを使用して詳細なコンテキストを掘り下げることができます。
調査ビューでは、アナリストは時間枠を広げて疑わしいアクティビティがないか調べたり、IDチェーンやサービスアカウントのなりすましツリーを確認して正しいプリンシパルを確認したり、過去と現在の位置データを比較して地理的信号の重要性を評価したりできます。また、Command CenterのQ&Aインターフェースを使用して、特定のバケットで他にどのような操作が行われたかなど、フォローアップの質問をしたり、同じ根拠に基づいた正確な回答を得たりすることもできます。
履歴分析はクローズドループプロセスの一部であり、トリアージの精度を継続的に向上させ、平均応答時間を短縮します。
コア機能
Exaforce は Google セキュリティコマンドセンターを疑わしい GCP アクティビティの合図として扱い、調査と対応を効率化するためにコンテキストや分析を追加して補足しています。
SCCの各結果はExabotによって自動的にトリアージされ、ID、サービスアカウント、なりすましチェーン、場所、VPNの使用状況、および関連するAPI呼び出しの順序が分析されます。このアクティビティは過去の行動と比較され、正常か、異常か、悪意の可能性があるかが判断されます。
調査は、SOCアナリストの作業方法を反映するように構成されており、質問と回答形式のインターフェイスにより、カスタムクエリなしで関連するユーザ、リソース、アクティビティのコンテキストを迅速にピボットできます。視覚的なタイムラインとイベントレベルの証拠により、未処理の JSON にアクセスして検証できるため、何がいつ発生したかが明確になります。
Exaforceは、アイデンティティとリソース中心の分析、SlackとMicrosoft Teamsによる組み込みコラボレーション、柔軟な対応オプションもサポートしています。その自動化機能により、SOARワークフローとの統合だけでなく、ヒューマン・イン・ザ・ループと完全に自動化された緩和策の両方が可能になります。
メリット
Exaforceは、各アラートに説明文のコンテキスト、裏付けとなる証拠、推奨アクションを提供することで、SCCトリアージの品質を向上させ、手動によるログ分析に費やす時間を短縮します。
Exaforceは、ユーザー履歴、VPNの使用状況、リソースの動作、ユーザーやマネージャーからの確認を評価することで、誤検知を大幅に減らし、アナリストが実際の脅威に集中できるようにします。
構造化された調査、自動化、コラボレーションの統合により、SOCチームやシフト全体で拡張できる反復可能なワークフローが作成されます。
