エンタープライズセキュリティのアンカーは、一般的に 「多層防御」 アーキテクチャ。多層防御 (DID) は、軍隊で使用されている古典的な防御概念であり、2000 年代初頭に情報セキュリティ コミュニティで受け入れられました。脅威の状況が時間とともに進化するにつれて、DID の情報セキュリティ実装/バージョンは脅威に対処するために進化してきました。
インターネットが登場する前は、主な脅威はウイルスだったため、コンピューターには AV 保護しかありませんでした。ウイルスはメディア (フロッピー ディスクなど) を介して転送されました。インターネットでは、すべてのコンピューターが接続され、ワームなどの脅威がネットワークを介して広がるため、ネットワークを保護する必要があり、そもそも誰がネットワークに入ってきたかを監視する必要がありました。
現在の形態では、DIDアーキテクチャは多くの層に対応するように成長し、現在も進化を続けています。そのため、DIDアーキテクチャは、境界、ネットワーク、エンドポイント、アプリケーション、ユーザー、データ、ポリシーなどの階層化されたセキュリティに変換されました。各層に対して、その層に対する脅威から保護するための個別の制御が開発されました。たとえば、技術的なセキュリティ制御には、次のようなソリューションが含まれていました。 ファイアウォール、セキュア Web ゲートウェイ、IDS/IPS、EDR、DLP、WAF, アンチマルウェア 製品。
時間の経過とともに進化する脅威の状況に合わせて階層化されたセキュリティソリューションを展開するだけでなく、ソリューションは社内のさまざまなグループによって所有、管理、運用されていました。たとえば、 ファイアウォールソリューション IT 部門のインフラストラクチャ チームが所有していました。別のグループが電子メール ソリューションを所有し、別のグループがエンドポイント セキュリティ ソリューションを所有していました。これにより、他のすべてのソリューションから独立して存在する階層型ソリューションが作成されました。したがって、すべての学習を含むスタンドアロン ソリューションの概念は、担当チーム内に留まり、サイロ化されていました。
もう一つのユニークな属性である、ベスト オブ ブリード ソリューションも、階層型ソリューションの特徴です。ソリューションが進化したため、イノベーションはさまざまなソースと分野から生まれ、新しいソリューション レイヤーごとに異なるベンダー セットが提供されました。
DIDまたは階層型セキュリティアプローチは、単一ベクトルの脅威、つまり脅威が同じベクトルから出入りする場合に有効でした。これらの初期の脅威の典型的な例は、 IDS / IPS電子メールゲートウェイによるスパムなどの電子メールの脅威など。
しかし、脅威が複雑化し、自動マルウェア生成ツール、ボットネット、リモート プログラミングが登場するにつれて、階層型セキュリティ モデルは崩壊しつつあります。これは、階層型セキュリティに固有の前提、つまりすべての保護と制御がすべての脅威を検出するために完全に調整されており、死角がないという前提が誤りであることが証明されているためです。どの制御でも可視化できない死角があります。その結果、攻撃者は死角を有利に利用し、これらの悪意のあるアクティビティを検出することが困難になっています。
マルチベクトル脅威に対処した経験から、マルチベクトル脅威に関係するすべてのコントロールは、それぞれのサイロのみを可視化し、それ以上のものは可視化できないことは明らかです。これは設計によるものであり、現在のソリューションがこのようにまとめられたことを覚えておいてください。
また、個別のインフラストラクチャ、データ サイロ、応答メカニズムの基盤となる設定はすべて、制御を直接管理することを意味します。これは 2 次 (n**2 – n) の問題です。ただし、すべての上にレイヤーを配置して機能させるのは、解決すべき XNUMX 次 (XNUMXn) の問題です。
盲点に対処するためのオプションは次のとおりです。
- 各自が興味のない隣人のコントロールをカバーさせます。
- サイロを超えて可視性を手動で拡張するためにアナリストをさらに雇用する
- サイロ全体のコントロールとそのデータの可視性を提供し、自動化されたデータ収集、相関、検出、および対応を使用してこれらのマルチベクトル脅威を検出できるツールを入手してください。
オプション 3 を選択した場合は正解です。
名前が何であれ、#3 のソリューションは、すべてのコントロールを網羅して、サイロ全体の脅威を検出し、相関関係を結び付け、調整し、対応アクションを提供するエンベロープです。
そして、それが多重制御の階層化セキュリティ システムを最適化する最も効率的な方法です。
その名前は Open XDR.
Open XDR セキュリティ チームがセキュリティ コントロールによって生成される膨大な量のデータを理解できるように設計された、セキュリティ コントロール間の結合組織です。「オープン」と呼ばれる理由は単純ではありません。これはソリューションを定義する特性です。 Open XDRs あらゆるセキュリティコントロールからデータを取り込むことができます。 EDR 組織が導入したセキュリティ アプライアンスを、専用の検出機能を使用して検出します。検出されなかった場合は、組織が新聞 (またはニュース Web サイト) のトップページに掲載される可能性があるマルチベクトル脅威を根絶できます。
サイバー防衛に特効薬はないが、 Open XDR は、セキュリティ チームの効率性を高めながら、死角を最小限に抑える、セキュリティに対する有望な新しいアプローチです。
