高度な脅威検出とは

脅威検出とは、企業の攻撃対象領域における脆弱性を発見するプロセスである。高度な脅威検知は、自動化のおかげで、より新しく、より効率的な脅威の特定と無力化を実現します。

脅威検出を高度にする要素とは？

脅威の検出には、情報収集、脅威の検証、対応という3つの重要なプロセスが必要です。

インテリジェンス収集： SIEMとAIを使用して生データ（ログ、ネットワークイベントなど）を収集し、異常を特定します。
脅威の検証：脅威インテリジェンスとの相互参照、リスクスコアリングの適用、誤検知の削減により、疑わしい活動を検証します。
対応策：自動化されたアクションとインシデント対応プロトコルを通じて、確認された脅威を軽減し、インシデントを隔離して修復する。

2000年代半ばにかけて、セキュリティ情報およびイベント監視（SIEM）などのツールは、ログデータポイントを自動的に個々のインテリジェンスストリームに組み込むことが可能になった。

異常なログの羅列が検出されると、アナリストに警告が発せられる。

しかし、SIEMツールにはいくつかの共通した問題点があった。ユーザーの行動やアプリケーションが時間とともに変化するため、誤検知が多発し、アナリストは依然としてすべてのアラートを検証して対応しなければならないという負担を負っていた。

高度な脅威検出ツールは、生成されたログを企業内の関連コンテキストと自動的に比較することで、この問題を解決します。これはAIによって可能になり、高度な脅威検出によって、ネットワークやエンドポイントからの要求を外部の脅威や内部の日常的な動作と照合評価することができます。

Real-Life Example:

高度なツールは、ユーザーが新しいデバイスからログインするたびにアラートを出すのではなく、多要素認証（MFA）を要求することでその正当性を検証し、その新しいデバイスをユーザーの基本的なリスクスコアと照合して記録します。この新しいデバイスが異常なリソースを要求し始めた場合、アラートを発する。

アラートはアナリストのワークフローに到達する前に相互参照されるため、即座に対応可能となる。

現代のサイバー脅威に対する高度な脅威検出の重要性

脅威検出は、以下のような高度な脅威に対処する必要がある。

さらに、これらの攻撃は多くの場合、社外から発生するが、内部の脅威、つまり社内の機密情報に精通した現従業員または元従業員によって悪用される可能性もある。攻撃者は、本格的な攻撃を実行する数ヶ月、あるいは数年前からアクセス権を取得している場合がある。

そのため、脅威検出はあらゆるネットワークのあらゆる隅々まで継続的に監視する必要がある。現在では、これを実現するには、多くの場合、個別のツール一式を揃える必要がある。

4つの主要な高度な脅威検出ツール

脅威検出は非常に広範な分野であるため、それを小さな構成要素に分割することが有効です。

これは、複数のサイバーセキュリティツールを使用することによって実現されます。これらのツールは、組織における脅威検知および対応のための技術スタックの大部分を構成している。

注：これら全てを個別のツールとして導入する必要はありません。セキュリティプロバイダーの多くは、脅威検出機能を単一の統合プラットフォームに統合しています。

#1: ログ分析のためのSIEM

SIEMツールは、以下のような幅広いソースからのログデータを収集、集約、分析することで、脅威検出を強化します。

Servers
エンドポイント
ファイアウォール
不正アプリケーション対策

彼らはこのデータを一貫した構造に正規化することで、パターンや相関関係を特定しやすくする。SIEMツールは、ログを中央プラットフォームに集約することで、相関ルールを使用して、一見無関係なイベント（例えば、複数回のログイン失敗の後にデータ漏洩の試みが発生するなど）を関連付け、実用的な洞察へと変換します。

これらのツールは、脅威インテリジェンスフィードを活用してログデータをリアルタイムで監視し、既知の侵害指標（IoC）とアクティビティを比較します。異常や事前定義されたしきい値が検出されると、SIEMはアラートを生成し、潜在的な脅威についてセキュリティチームに通知します。

さらに、ログデータを保持して履歴分析を行うことで、組織は次のようなことが可能になります。

トレンドを特定する
法医学的調査を実施する
規制要件を遵守する。

SIEMログ分析は、リアルタイム監視、異常検知、および実用的なアラートを組み合わせることで、予防的かつ事後的な脅威検知のための強力なフレームワークを提供します。

#1: ネットワーク分析のためのNDR

NDRソリューションは、東西および南北のネットワークトラフィックを継続的に監視し、内部通信と外部接続に関する詳細な可視性を提供します。ネットワークセグメント間でデータを相関させることで、NDRツールは、以下のような、そうでなければ見過ごされてしまう可能性のある悪意のある活動を特定できます。

横方向の動き
データ窃盗
指揮統制（C2）通信。

この可視性により、組織はエンドポイントや境界防御を回避する脅威を特定できるようになります。

シグネチャや事前定義されたルールに依存する従来のセキュリティツールとは異なり、NDRは、通常の状態から逸脱するパターン、異常、および動作を認識することによって、疑わしいファイルやアクティビティを特定します。これにより、NDRシステムは既知の脅威と未知の脅威の両方を検出できるようになります。

#3：サードパーティの脅威インテリジェンス

業界の同業他社に対して行われている攻撃を理解することは、自社の防御策を磨く上で役立ちます。

そのため、多くのサイバーセキュリティツールには脅威インテリジェンス機能が組み込まれています。このインテリジェンスが広範囲かつ最新の情報に基づいているほど、自社のリスクをより正確に把握できるのです。

#4: エンドポイント分析のためのXDR

拡張型検出・対応（XDR）は、以下のような疑わしい動作についてエンドポイントを継続的に監視します。

不正アクセス試行
異常なファイル変更
予期しないプロセス実行。

このデータをネットワークトラフィックなどの情報と組み合わせることで、エンドポイントの脆弱性を悪用する、より広範な攻撃キャンペーンの一環である脅威を明らかにすることができる。例えば、XDRはエンドポイントの異常をネットワークベースの横方向の移動やマルウェアを配信したフィッシングメールに関連付けることができます。

脅威検出におけるAIと機械学習

AIと機械学習は、脅威検出アーキテクチャにおいて不可欠な要素となっている。これは、それらが数多くの独自の機能を提供しているためです。

比類なきスピードと精度

AIは膨大な量のデータを処理するために特化して構築されている。データレイクやデータウェアハウスの導入により、データの管理と転送における新たな手法と並行して発展してきた。収集と転送が可能なデータが無限に存在するようになったことで、アルゴリズムは前例のない速度で膨大なデータポイントを取り込むことができるようになった。これには以下が含まれる。

ネットワークのトラフィック
システムログ
ユーザーアクティビティ

適応防御

サイバー犯罪者が常に新しい手口を編み出しているため、AIの学習能力と進化能力は極めて重要だ。

AI搭載システムは、過去の攻撃事例や脅威インテリジェンスを分析することで、ユーザーやネットワークの行動に関するベースラインを構築することができる。しかし重要なのは、AIモデルは設定された成功基準に従うことが可能であり、これらの基準を達成するために、AIモデルは自身のパラメータを適応させ、調整することができるという点である。

これは、企業自身の変化に対応して進化する、より精度の高い検出能力につながる。

効率と精度の向上

セキュリティチームは膨大な量のデータに直面するため、真の脅威と時間の無駄となる誤検知を見分けるのは困難である。

AIは反復的なセキュリティ作業を自動化するため、アナリストはあらゆるインシデントについてより包括的な全体像を把握できるようになる。

チェック・ポイントで高度な脅威検知を実現

高度な脅威検出の実現は複雑である必要はありません。チェック・ポイントのチェック・ポイントプラットフォームは、エンドポイント、モバイル、データベース、ネットワーク、および電子メールの受信箱にわたるフルスタックのセキュリティをコアセットのサービスとともに提供します。単一のプラットフォーム上で運用することで、少人数のセキュリティチームはAIを活用した脅威検出のメリットを最大限に活用し、自動対応機能を導入してさらなる効率性を向上させることができます。

デモを見てチェック・ポイントの探索を始めましょう。

ネットワーク固有の脅威検出機能の詳細については、「チェック・ポイント」をご覧ください。これは、豊富なルールベースの防御と数百万のランタイムパラメータを検査するAIエンジンを組み合わせたAI検出機能の世界クラスの例です。