サイバーセキュリティに関する議論を変えるべき時が再び来ています。
以前にも聞いたことがあるかもしれませんが、これはデータ駆動型でもAI駆動型でもないサイバーセキュリティです。その両方であり、さらにそれ以上のものです。
これは相関関係に基づいたサイバーセキュリティです。NGFWのような非常に基本的なものから、AIベースのEDRのような非常に高度なものまで、さまざまなデータソースからの多数の検出結果を、単一の統合プラットフォーム上で相関関係に基づいて分析するものです。
見込み客、顧客、パートナーから、セキュリティに関する多くの課題について耳にします。なぜでしょうか？それは、人間は痛みを分かち合うのが性分だからです。ご存知の方もそうでない方もいらっしゃるかもしれませんが、攻撃者は私たちと同じツールを利用できます。彼らはビッグデータとAI技術の両方を利用して、より高度な攻撃を仕掛けることができるのです。
それでも、複雑な脅威が増大する中、次のような一貫したテーマが聞かれるのも不思議ではない、と私たちはみな同意しています。
- 効果的な検出を行うのに十分なデータがない、または
- 逆に、データが多すぎて困惑しています
- データにノイズが多すぎたり、誤報が多すぎたりする
- 最近、AI / ML を使用してノイズや誤検知を減らす高度なツールをいくつか試しましたが、そのインテリジェンスは各ツールに固有のものです。
- 互いに連携しない独立したツールが多数あり、回答がサイロ化してコストが高くなる
これらの課題を悪用する複雑な攻撃に対して、何ができるでしょうか? 簡単な例を以下に示します。
- CEOはURLが埋め込まれたメールを受け取ります
- CEOはURLにアクセスしてファイルをラップトップにダウンロードします
- CEOが平日の午前2時にファイルサーバーにアクセスする
- CEOのラップトップは大量のDNSトラフィックを送信します
これらの個々の事象は、それぞれ単独では正常に見えるかもしれません。しかし、EDRやUBAのように機械学習を活用した高度なセキュリティツールを導入していれば、次のようなことが分かるかもしれません。
- CEOは フィッシング 埋め込みメール 悪意のある URL。
- CEOがダウンロード マルウェア URLにアクセスしてファイルをラップトップに転送する
- CEOが平日の午前2時にファイルサーバーにアクセスすると、 異常な行動 UBA用語では
- CEOのラップトップはDNS経由で大量のDNSトラフィックを送信します トンネル工事
これは 4 つの異なるツールによる独立した分析です。この侵害を追跡するために、これらのイベントをどれだけ速く、どれだけ簡単に相関させることができるでしょうか。また、多くの異なる画面を見てすべてをまとめるのに何人の人員が必要ですか。
少し立ち止まって、なぜこのような状況になったのかを考えてみましょう。サイバーセキュリティには明らかに3つの波があり、それらは互いに積み重なって成り立っています。それは、データの台頭、AIの台頭、そして相関関係の台頭です。
1. データの増加 - 包括的な可視性を実現するためにデータ量を増加させます。
データ駆動型セキュリティは、データが新たな「金」であるビッグデータ時代の主要テーマでした。それはログと生のネットワークパケットから別々に始まりました。 SIEMs コンプライアンス、インシデント調査、ログ管理のために、さまざまなツールやアプリケーションからログを収集して集約することが目的でした。ArcSightは、レガシー SIEM 豊富なツール群2000年にリリースされたは、 SIEM ログ管理システム。生のパケットは大量のストレージスペースを必要とし、膨大な数のパケットを精査して侵害の兆候を見つけるのは非常に困難であるにもかかわらず、フォレンジック用にそのまま収集され、保管されていました。2006 年、NetWitness は生のパケットを分析するソリューションを見つけました。
すぐに、生のログも生のパケットも、個々では侵害の検出に効果的ではなく、生のパケットは重すぎてフォレンジック以外の用途が限られていることに気付きました。従来、ネットワークの可視性やパフォーマンスの監視に使用されてきた Netflow/IPFix などのトラフィックから抽出された情報は、セキュリティにも使用され始めました。 SIEMs また、Netflow/IPFixの取り込みと保存も開始しました。しかし、技術的なスケーラビリティとコストの懸念から、 SIEMs トラフィック分析の主流ツールにはなりませんでした。
時間が経つにつれて、ファイル、ユーザー情報、脅威インテリジェンスなど、より多くのデータが収集されます。より多くのデータを収集するという目標は、広範囲にわたる可視性を得るという正当なものでしたが、重大な攻撃に対応するという最終的な課題は、特に手動検索や人間が手動で定義したルールでは、干し草の山から針を探すようなものです。これは、労働集約的で、時間の無駄です。
データ駆動型セキュリティが直面している技術的課題は 2 つあります。効率的な検索と分析を可能にするために、大量のデータを大規模に保存する方法と、データの形式がどのようなものであってもかまわないため、さまざまなデータ (特に非構造化データ) を処理する方法です。SQL に基づく従来のリレーショナル データベースは、この両方の問題に直面しました。以前のベンダーは、多くの自社開発ソリューションでこれらの問題を解決しようと躍起になりました。残念ながら、それらのほとんどは、ビッグ データ レイク用の NoSQL データベースに基づく今日のソリューションほど効率的ではありませんでした。
データ駆動型セキュリティが直面しているもう 3 つの課題は、エンタープライズ顧客向けにスケーラブルなシステムをコスト効率よく構築するためのソフトウェア アーキテクチャです。フロントエンド ビジネス ロジックとデータベース層を備えた一般的な XNUMX 層アーキテクチャは大きな障害となっています。今日のクラウド ネイティブ アーキテクチャは、コンテナを使用したマイクロ サービス アーキテクチャに基づいており、はるかにスケーラブルでコスト効率の高いソリューションを提供します。
2. AIの台頭 - ビッグデータ分析と機械学習を活用して検出の発見と自動化を支援する
大量のデータを入手したら、どうしますか? 前述のように、大量のデータから意味のあるパターンを探すのは面倒で時間がかかります。IT インフラストラクチャが何らかの理由で不幸にもハッキングされた場合、発見までに数日かかる可能性があります。被害はすでに発生しているか、機密データがすでに盗まれているため、手遅れです。この場合、データが多すぎることが問題になります。幸いなことに、機械学習アルゴリズムとコンピューティング能力の進歩により、機械学習が台頭してきました。
機械は、反復的で退屈な作業を非常に速く、非常に効率的に、24時間7日休むことなく行うのが得意です。機械に学習機能などの知能が備わっていると、人間の能力を拡張するのに役立ちます。セキュリティ分野の多くの研究者やベンダーは、AIを活用して問題を解決し、針を見つけたり、大規模なデータセットに隠れた傾向を確認したりし始めました。そのため、 AIを活用したセキュリティこの分野には多くのイノベーションがあります。例えば、エンドポイントセキュリティの問題に対処するためにAIを活用しているエンドポイント検知・対応（EDR）企業は数多くあります。また、ユーザーおよびエンティティの行動分析（UEBA）AIを使って内部脅威に対処する企業や、 ネットワーク トラフィック分析 (NTA) AIを使って異常を発見する企業 ネットワークトラフィック パターン。
データが新たな金であるならば、AI によって検出された侵害は金で作られたジュエリーのようなものです。純金から美しいジュエリーを手作りするには、多くの時間と忍耐と努力が必要です。機械、特に高度な機械の助けを借りれば、素晴らしいジュエリーの商業生産が可能になります。
表面的には、 AIを活用したセキュリティ機械学習は通常、モデルの訓練とパターンの学習に大量のデータを必要とするため、大量のデータはそれほど問題ではなくなります。逆に、データが不足することは明らかに問題です。データが少ないほど精度が低下し、機械学習モデルの有用性も低下するからです。しかし、時が経つにつれ、研究者たちは適切なデータの方がはるかに重要であることに徐々に気づきました。適切な情報のない過剰なデータは、機械学習の計算能力とストレージの無駄遣いに過ぎません。以前の多くの UEBA ログに基づいたソリューションを提供するベンダー SIEM 豊富なツール群 この厳しい教訓を学んだ。 SIEM 大量のログを収集したとしても、ユーザーの行動に関する適切な情報が含まれているのはほんのわずかです。そのため、データ駆動型セキュリティは、 AIを活用したセキュリティスケーラブルで正確な AIを活用したセキュリティ正しいデータの方がはるかに重要です。
AIの活用はビッグデータに伴う問題を軽減するのに確かに役立ちますが、それ自身の課題も存在します。例えば、 UEBA NTAは教師なし機械学習を活用した行動分析を行っています。しかし、ユーザーや第三者から異常な行動が観察された場合、 ネットワークトラフィック 必ずしもセキュリティ インシデントを意味するわけではありません。これらのツールは大量のノイズを生成し、アラート疲れを引き起こす可能性があります。さらに、巧妙なハッキングは通常、捕捉されるまでにキル チェーンの複数の段階を経ます。侵害の痕跡を回復し、根本原因を修正するにはどうすればよいでしょうか。
AIを活用したセキュリティ全体が直面するもう一つの大きな課題はコストです。ツール自体の初期投資コスト、これらのツールが使用するコンピューティングとストレージのインフラストラクチャのコスト、そして異なる画面を持つ多数の異なるツールをそれぞれ独立したシステムで運用するコストなどです。
したがって、たとえ各ツールがギガバイトまたはテラバイト単位のデータをいくつかの重要な検出項目の短いリストに絞り込む機能を持っていたとしても、「これらのツールを単一のプラットフォームに統合せず、すべてのツールとフィード間で検出項目を相関させないことで、何が失われるのか」という疑問が残ります。
3. 相関関係の台頭 - 単一のプラットフォームで攻撃対象領域全体にわたって検出結果を相関させ、対応を自動化する
この新しい波では、話題はデータと AI から相関関係に移ります。明らかに、この波は前の 2 つの波の上に成り立っています。しかし、重要なのはデータとツールを超越し、すべてを 1 つのプラットフォームにまとめることです。先ほどの金とジュエリーのアナロジーに倣うと、これは適切なジュエリーのセットを組み合わせ、それを人に装着して全体として美しく見せることです。
ESG、Gartner、Forrester、IDC、Omdiaといったセキュリティ分野のアナリストは皆、サイロ化されたツールから統合プラットフォームへの考え方の転換が、重大な侵害を把握し対応するために不可欠であるという点で一致しています。具体的には、プラットフォームは包括的なアプローチを取り、ネットワーク、クラウド、エンドポイント、アプリケーションといった攻撃対象領域全体にわたる検出結果を関連付ける必要があります。
ツール、フィード、環境全体にわたる検出の相関関係の主な目的は、検出精度を向上させること、複数のツールからの弱い信号を組み合わせて複雑な攻撃を検出し、無視される可能性のある攻撃を発見すること、および運用効率と生産性を向上させることです。包括的な可視性は、もはや適切なデータを見つけることではなく、複雑な攻撃を見つけることを意味しています。
そのためには、次の点を考慮する必要があります。 Open XDR. XDR は、単一のプラットフォームに多くのセキュリティ アプリケーションを緊密に統合し、単一の画面で管理できる統合セキュリティ運用ソリューションです。複数のツールからデータを自動的に収集して相関させ、検出機能を向上させ、自動応答を提供します。ツールとアプリケーションを結び付けるプラットフォームは、ツール コストとインフラストラクチャ コストの両方でコストを本質的に削減すると同時に、使いやすい単一の画面で運用効率を向上させます。
私たちは、5つの主要な基本要件があると考えています。 XDR:
- ログを含むさまざまなデータソースからの正規化および強化されたデータの一元化、 ネットワークトラフィック、アプリケーション、クラウド、脅威インテリジェンスなど。
- 高度な分析によって収集されたデータからセキュリティイベントを自動検出します。 NTA, UBA と EBA.
- 個々のセキュリティ イベントを高レベルのビューに相関させます。
- 個々のセキュリティ製品と連携する集中型の応答機能。
- 展開の柔軟性、スケーラビリティ、高可用性を実現するクラウドネイティブのマイクロサービス アーキテクチャ。
結論として、Stellar Cyberは、 Open XDR あらゆる情報を取り込み、キュレーションするプラットフォーム これまで見過ごされてきたサイバー脅威を可視化します。 キル チェーン全体にわたってデータを検出、相関、対応します。相関の波が始まっています。ぜひ私たちと一緒に旅を楽しんでください。
SIEMs – 空約束？
SIEMは数十年にわたり安全保障活動の基盤となってきたこと、そしてそれは認められるべきである。しかしながら、 SIEMたくさんの大きな約束をしてきましたが、今日に至るまでその多くは果たされていません…
