かつてはサイバーセキュリティの片隅に追いやられていた検知エンジニアリングですが、今や高度化する一方の脅威に対抗すべく、システムを微調整するための必須の専門分野となっています。
かつては主に大企業の間でのみ実践されてきたニッチな取り組みだった検知エンジニアリングは、今や業界を問わず組織のセキュリティ運用に不可欠な能力として認識されるようになったようです。
検知エンジニアリングとは何か
検知エンジニアリングとは、組織固有の技術環境内で潜在的なセキュリティ脅威を特定するためのシステムを構築・実装しつつ、大量の誤検知に埋もれてしまわないようにする取り組みです。組織のネットワークやシステムで疑わしい、あるいは悪意のある事態が発生していることを的確に見抜くルールを作成し、そのアラートが実際に役立つものであることを確実にする作業だと言えます。このプロセスには通常、脅威モデリング、攻撃者のTTP(戦術・技術・手順)の理解、検知ルールの作成・テスト・検証、そして新たな脅威や攻撃手法に応じた検知の適応が含まれます。
SANS InstituteとAnvilogicが264人のサイバーセキュリティ専門家を対象に実施した小規模な調査によると、組織全体の80%、そして大企業に限れば85%が検知エンジニアリングに積極的に投資しており、60%が既に専任チームを設置していることが分かりました。3分の2以上(67%)が、組織内でこの取り組みに対する経営陣からの強い支持があると回答しています。
この調査データは、多くの企業が単に検知エンジニアリングの手法を導入するだけでなく、サイバーリスク低減の取り組みにおける戦略的な重点分野としていることを示唆しています。「わずか10年前、検知エンジニアリングはサイバーセキュリティの中でほとんど知られていない役割でした」とレポートは述べています。「それが今では、セキュリティ運用において最も重要な役割の一つとして台頭しつつあります」
従来型の脅威検知の枠を超えて
推進派は、検知エンジニアリングがアプローチ、方法論、そして開発ライフサイクルとの統合という点で、従来型の脅威検知の実践とは異なると主張しています。従来の脅威検知プロセスは概して受動的で、ベンダーが提供する既製のルールやシグネチャに依存しており、それを利用する組織にとってのカスタマイズの余地は限られています。これに対し検知エンジニアリングは、ソフトウェア開発の原則を応用し、組織固有の環境と脅威状況に合わせたカスタム検知ロジックを構築・維持するものです。静的で汎用的なルールや既知のIOC(侵害指標)に頼るのではなく、組織固有の環境で実際に発生し得る形で脅威を検知できる、テーラーメイドの仕組みを開発することが検知エンジニアリングの目標です。
サイバー災害復旧企業Fenix24のCISO兼共同創業者であるHeath Renfrow氏によれば、これには行動ベースの検知への重点強化、実際の攻撃者の戦術に沿った検知を生み出すための脅威インテリジェンスの統合、そして潜在的な攻撃経路を予測するための脅威モデリングの活用が伴うことが多いといいます。「静的なシグネチャや既製のルールに頼りがちな従来型の脅威検知とは異なり、検知エンジニアリングは行動ドリブンでコンテキストを重視し、組織固有の脅威状況に合わせて調整されます」とRenfrow氏は述べます。「セキュリティ運用、脅威インテリジェンス、データサイエンスを組み合わせることで、より適応力があり回復力のある検知能力を構築するのです」
SANSとAnvilogicによるレポートは、検知エンジニアリングの実践が長年にわたり、ベンダー固有のコンソールや専用言語への過度な依存から脱却し、ソフトウェア開発ライフサイクル(SDLC)や継続的インテグレーション/継続的デプロイメント(CI/CD)の原則を取り入れる方向へと進化してきたと説明しています。これにより、チームは変更の監査証跡を維持しながら、より効率的に検知のテスト、展開、改良を行えるようになっています。
検知エンジニアリング普及の背景
検知エンジニアリングの普及を後押しする要因はいくつかあります。最大の要因は、既製の検知機能では不十分だという事実です。環境のベースラインを取れず、誤検知を減らすこともできず、さらに厄介なことに、本当に重要な事象に対して必ずしもアラートを出すわけではない、とLumifi Cyberのセキュリティ運用担当バイスプレジデントであるJohnathon Miller氏は指摘します。
組織固有のコンテキストを考慮しない汎用的なアラートは大きな問題となっており、多くのセキュリティチームにおける誤検知疲れの一因となっています。実際、Anvilogicの調査では組織の64%が誤検知率の高さを報告し、61%が環境の実情に即していない検知に苦労していると回答、34%が更新や改善の遅れに直面したことがあると答えています。
「従来の脅威検知手法は、これまで静的なものでした。aがaであれば、アラートを生成する、というだけの単純な仕組みです」とAnvilogicのセキュリティ・運用・データ担当バイスプレジデントであるKevin Gonzalez氏は語ります。「これらはしばしば硬直的でブラックボックス化された仕組みであり、カスタマイズの柔軟性を欠いています。ある程度は有用であるものの、こうしたアプローチはハイブリッド環境を持つ組織などでは規模が拡大するにつれて管理不能になっていきます」と同氏は述べます。
脅威の量と高度化の進行も別の課題です。攻撃者はファイルレスマルウェア、環境寄生型(Living off the Land)の手法、ゼロデイ攻撃、ソフトウェアサプライチェーン経由の攻撃など、より高度で検知回避的な手法を用いるようになっており、シグネチャベースの検知はほぼ不十分になっています。クラウド導入の拡大も新たな脆弱性をもたらしており、従来型の検知手法では対応しきれない死角を生み出しています。
高度標的型攻撃(APT)、サプライチェーン攻撃、ランサムウェア攻撃の増加により、従来の受動的なアプローチはもはや不十分になっている、とRenfrow氏は述べます。「組織は今や、プロアクティブな検知エンジニアリングが滞留時間を短縮し、対応能力を向上させ、サイバーレジリエンス全体を強化することを認識しています。さらに、コンプライアンスの枠組みやサイバー保険提供各社も、強固な検知戦略をますます重視するようになっています」
検知エンジニアリングを導入する業界
検知エンジニアリングの実践において先行しているのは、銀行・金融セクター、テクノロジー業界、サイバーセキュリティ企業、そしてやや程度は劣るもののヘルスケア企業です。これらの多くは規制当局の監視を受けなければならない、あるいは高度な脅威アクターの標的になりやすいセクターに属しています。しかし実際には、ほとんどの組織、特に大規模な組織であれば、自組織固有の脅威プロファイルに応じた検知の仕組みを体系的に構築するアプローチから恩恵を受けられます。
複雑なITインフラを抱える大企業であれば、どこでも検知エンジニアリングの恩恵を受けられます。セキュリティオペレーションセンター(SOC)は、検知態勢を継続的に改善し最大限に高めていく必要があります。「脅威の状況が進化し続ける一方で、組織自体の社内ITインフラも絶えず変化しており、これが検知の『ドリフト』、つまり検知ルールが破綻して発火しなくなる、あるいはアラートを出さなくなる事態につながる可能性があります」とCardinalOfsのCEOであるMichael Mumcuoglu氏は述べます。
セキュリティ専門家は、検知エンジニアリング能力を構築する上でのいくつかの重要な要件を指摘しています。中でも最大のものはデータです。成功のためには、検知エンジニアリングチームがエンドポイント、ネットワーク、クラウド環境、セキュリティツールからのログやセキュリティイベントデータにアクセスできること、そしてセキュリティデータを集約・正規化するための一元化されたSIEMやログ管理プラットフォームが必要です。効果的な検知エンジニアリング能力には、検知ルールを開発・改良するための検知エンジニア、アナリスト、脅威リサーチャーといった熟練した人材も欠かせません。また、脅威モデリング、テスト、そして脅威インテリジェンスとインシデント対応を統合するための正式なプロセスも重要です。
目指すべきは、静的なシグネチャから脱却し、行動ベースの脅威検知を優先することで攻撃者の手口そのものに注目することだ、とRenfrow氏は述べます。MITRE ATT&CKのようなフレームワークを用いて既知の攻撃者手法に対する検知カバレッジをマッピングし、Atomic Red Teamのような敵対的エミュレーションツールを活用して有効性を検証すべきだといいます。「検知エンジニアリングは、セキュリティ運用、脅威インテリジェンス、IT部門のチームが連携して取り組んだときに最も効果を発揮します」とRenfrow氏は指摘します。
AIと自動化がもたらす助け
AI/機械学習も、ルールのチューニングや自動化において重要な役割を果たし得ます。調査回答者の約45%が、異常検知、ルール生成、アラートのトリアージといった目的で、自組織の検知エンジニアリングプログラムにAIを活用していると回答しています。さらに、9割近く(88%)が、今後3年間でAIが自組織の検知エンジニアリングプログラムに大きな影響を与えるだろうと考えています。「AIの最も強力な活用例の一つは、膨大な量のデータを分析して異常を特定することです。特にカスタムトレーニングされた言語モデルを活用する場合はなおさらです」とGreyNoise Intelligenceのセキュリティリサーチ・検知エンジニアリング担当シニアディレクターであるGlenn Thorpe氏は述べます。「組織の脅威モデルとリスク許容度次第ではありますが、十分に訓練されたLLMとともにAIを活用することで、組織内の防御担当者の有効性と効率性を大幅に高めることができます」
変化しているのはAIだけではありません。より多くの組織が、検知エンジニアリングにおいて自動化されたプロセスを導入するようになっています。組織が自動化を進めている領域には、検知カバレッジのMITRE ATT&CKフレームワークへのマッピング、破損または誤設定された検知の特定、そして脅威インテリジェンスを実用化して行動可能な検知ルールに変換する作業などが含まれる、とMumcuoglu氏は述べます。Anvilogicの調査回答者の93%が、ルール開発、既存検知のチューニング、脅威ハンティングといった検知エンジニアリングのワークフローにおいて、現在自動化を利用している、または利用する予定であると回答しています。
Thorpe氏は、検知エンジニアリング能力の構築において、何らかの万能なアプローチを求めることに警鐘を鳴らします。「そうではなく、創造的な発想、多様な考え方や経験、そして好奇心こそが、効果的なチームを作り上げる上で不可欠なのです」
まず着手すべきなのは、自組織にとって中核となるデータを特定し、それを複数の視点から分析できる人材を見つけることです。自分たちが何を知らないのかについて現実的な理解を深め、その情報の欠落に対処し始めることが重要です。「ネットワークトラフィックの可視性や理解度は、ちょっとした変更によって大きく改善する場合があると気づくかもしれません」とThorpe氏は指摘します。
