完全なインシデント対応とは実際どのようなものか

インシデント対応(IR)の取り組みが始まる時、最初の指標はスタート地点のように思えますが、実際には、それはほとんど全体像ではありません。

舞台裏では、攻撃者はインフラストラクチャのクラスターを構築し、バッチで登録し、複数のホスティング プロバイダーに配置し、冗長性を念頭に置いて構成します。アラートをトリガーしたキャンペーンは、ほぼ常に SIEM に浮上した単一のアーティファクトよりも広い基盤で実行されています。対応中に調査が発見したものだけをカバーした場合、攻撃者が自分自身のために再度侵入する方法を残している可能性が高いです。

これは修復ギャップです。プロセスまたはアナリストスキルの失敗ではなく、単一の指標から外側に向かって機能し、不完全なインフラストラクチャの可視性で作業する構造的な制限です。このギャップを埋めるには、異なるスタート地点と、より積極的なセキュリティプラットフォームが必要です。  

従来の IR ワークフローは指標を中心に構築されています。ドメインがアラートを発火させ、IP がログに表示されます。アナリストはそれを充実させ、それが悪意のあるものであることを確認し、そこから外側に向かって作業を開始します。ブロックリストが更新され、侵害されたアセットが封じ込められ、レポートが作成されます。

問題はそのプロセスが見落とすものです。単一の指標が浮上するまでに、攻撃者のインフラストラクチャは通常、数週間運用されています。アラート内のドメインは、ステージング資産、バックアップインフラストラクチャ、および関連ドメインの大規模なネットワーク内の単一のノードであり、これらはすべて一貫した運用パターンで管理されています。標準エンリッチメントツールは指標が何であるかを確認しますが、それが接続されているすべてのものを明らかにすることはめったにありません。

インフラストラクチャには系統がある

すべての敵キャンペーンは、そのインフラストラクチャがどのように構築され、管理されたかについて、足跡を残しています。同じウィンドウで登録されたドメイン。証明書設定を共有するサーバー。同じホスティングパターンで解決する DNS レコード。プロバイダーが変わっても、一貫した登録行動の周りにクラスターされる WHOIS データ。

Silent Push Context Graphはこれを追跡するために構築されました。毎日インターネット全体の DNS、WHOIS、証明書データ、ホストスキャン、および行動指紋を継続的に分析することで、存在するインフラストラクチャだけでなく、それがどのように作成され、どのように管理されているかをマップします。これらの管理パターンが、単一の悪意のある指標をそれが属する、より広いクラスターに接続するものです。

IR チームがドメインまたは IP アドレスで調査を開始すると、Context Graph は同じインフラストラクチャ系統に関連するすべての資産をサーフィングできます：同じ時期に登録されたドメイン、サーバー設定を共有する IP、同じスケジュールでローテーションする証明書、および敵の既知の運用 TTP と一致するホスティングパターン。断片化されたツール全体で手動でピボットするのに何時間もかかる可能性があるものは、調査が開始された瞬間から利用可能な完全なインフラストラクチャマップになります。 

違反を修復することは、攻撃者がアクティブなキャンペーン中に使用したもの だけでなく、攻撃者が構築したすべてを説明することを意味します。

その区別が重要なのは、敵が検出を計画しているからです。バックアップインフラストラクチャが存在するのは、彼らの資産の一部が焼き払われることを期待しているためです。修復スコープが、アクティブな調査中に確認された指標のみをカバーしている場合、攻撃者は運用能力を保持します。その後のインシデントは新しい攻撃ではありません。それは同じものであり、見つからなかったインフラストラクチャで実行されています。

完全な修復は次のようなものです：

Context Graph はすべての段階でこれをサポートします。数年の DNS と WHOIS 履歴により、インフラストラクチャがいつ最初に設定され、どのように進化したかを追跡することができます。リアルタイムインフラストラクチャ関係は、現在の指標をまだ使用されていない資産に接続します。その結果、修復スコープは敵の実際のフットプリントに基づいており、その見える端ではありません。 

より高速な調査、より確信のある調査結果

このワークフローが実施されると、IR チームが一貫して報告する二次的なメリットがあります：調査はより早く終わり、調査結果はより良く保持されます。

手動ピボットは遅いです。DNS レコード、WHOIS データ、証明書履歴、およびホスティング関係を複数のツール間で相互参照することは、アクティブなインシデントがほぼ許さない時間がかかります。Context Graph のAPI と SOAR 統合を通じてそのプロセスが自動化されると、インフラストラクチャマップが、以前は単一の指標を充実させるのにかかっていた時間で構築されます。アナリストは相関関係に時間を費やしていません。彼らは実際に人間の判断が必要とする重要な決定にその時間を費やしています。

信頼レベルも変わります。IR レポートが既知の悪い指標のリストではなく、完全なインフラストラクチャクラスターを記録している場合、修復推奨事項はより多くの重みを持ちます。リーダーシップは完全な画像を取得します。ブロックリストは敵の実際のフットプリントを反映しています。セキュリティチームは、休止中の資産がオンラインに戻ったため、3 週間後に同じ脅威を再度検討する必要はありません。 

すべての IR エンゲージメントの目標は、クリーンクローズです。残存アクセスがなく、再アクティブ化を待機している休止中のインフラストラクチャがなく、初期調査が見落とした何かまでさかのぼる後続インシデントがないものです。

そこに到達するには、インフラストラクチャのタイムラインの早い段階で始まり、敵が実際に構築したより多くをカバーする可視性が必要です。Context Graph は IR チームにその可視性を提供し、最初の指標から完全なクラスターまでです。その結果は、最初に浮上した部分ではなく、完全な画像を反映する修復です。

完全な修復はインフラストラクチャインテリジェンスから始まります。完全な画像が見えると、チームは攻撃の前後のすべてのドアを閉じることができ、開いたドアだけに対応するのではありません。

プリエンプティブサイバーディフェンスが実際に機能する方法を確認するには、Shifting Lift ホワイトペーパーをダウンロードしてください

Silent Push プリエンプティブサイバーディフェンスは、攻撃が開始される前に敵のインフラストラクチャをマップします。IR チームが Context Graph を使用して、単一の指標を完全なインフラストラクチャ画像に拡張し、自信を持って調査を完了する方法を学びます。