Realm Securityは、2つの新機能を発表しました。「Detection Integrity」は、SIEMのログ量を削減しても脅威検知が損なわれないことを証明する機能です。また、同プラットフォームの検索可能な保持レイヤーである「Realm Data Haven」内の新しい検索機能により、SIEMの外に保管されているデータも、アナリストが必要とする際に直接クエリできるようになります。この2つの機能を組み合わせることで、チームは特定ベンダーへの依存を避けつつ、検知カバレッジを犠牲にすることなく取り込みコストを削減できます。
AIは、攻撃の速度そのものを変えてしまいました。攻撃者は今やエージェントを使って脆弱性を発見し、エクスプロイトを構築し、人間のチームでは対応しきれない速さで多段階の侵入を実行します。セキュリティチームもこれに対抗すべく自らエージェントを投入していますが、そのエージェントは、長年のコスト削減によって弱体化したデータ基盤の上で動いているのが実情です。
SIEMの取り込みコストの高騰により、多くのチームは苦しい選択を迫られてきました。取り込むテレメトリを減らし、それでも脅威を検知できることを願うという選択です。業界分析によれば、検知ルールの失敗の半数はログ収集のギャップに起因しており、その結果、組織が検知できているのは攻撃7件のうち1件にとどまっています。そして、チームが防御のために新たに導入しているエージェントも、まさにこの同じ基盤の上で稼働しています。
「データが多すぎることがセキュリティ上の問題となる中で、CISOたちはSIEMの取り込みコスト削減に注力してきましたが、その過程で多くの人が気づかぬうちに自らの検知能力を弱めてしまっていました」と、Realm SecurityのCEOであるPete Martin氏は述べています。「どのデータパイプラインツールでもデータ量は削減できます。しかし、その削減が検知能力を損なっていないことを証明できるのはRealmだけです。そしてData Havenは、SIEMに送らなかったデータについても、時間のかかる再構築や従量課金のクエリ費用に縛られることなく、必要なときに検索可能な状態で保持します」
Detection Integrity:検知カバレッジを犠牲にせず取り込み量を削減
Detection Integrityは、同プラットフォームのインテリジェンス層である「Realm Clarity AI」を活用し、あらゆるデータソースと送信先を把握した上で、両者間のフローを最適化する最善の方法を導き出します。チームのSIEMで稼働しているすべての検知ルールを読み込み、それぞれが依存するログソースとフィールドをマッピングした上で、データ量を削減してもカバレッジを維持するために必要なパイプライン保護ルールを構築します。Sigma、KQL、SPLに対応しており、他の検知フォーマットにも拡張可能です。
Realmが削減を適用する際には、何が削減され、何が保護されたか、想定される削減効果、そして削減前後のMITRE ATT&CKカバレッジを示す共有可能なレポートが生成されます。安全に削減を適用できないと判断した場合は、データを削減する代わりにその旨を検知結果としてフラグ付けします。
この機能の前提となる考え方はこうです。データを削減するプラットフォームこそが、その削減が安全であることを自ら証明すべきだというものです。従来のパイプラインツールは、設定されたルールに従ってデータを削減するだけで、カバレッジのギャップを見つけるのはチームの仕事として後回しにされてきました。Detection Integrityは、コストとカバレッジという等式の両側を同時に考慮する、パイプラインプラットフォームとして初めての試みです。ある導入事例では、従業員4万人規模のグローバル製造業企業が、この機能を使って1,000件を超えるKQLルールとそのデータ収集ルール(Data Collection Rule)のロジックを72時間で保護ルールへと変換しました。手作業であれば数週間はかかっていた作業です。
Data Haven Search:全文検索履歴を再構築なしで直接検索
Data Havenは、Realm Platformの検索可能な保持レイヤーです。チームのセキュリティデータの改変不可能な生データのコピーを保持し、すべてのイベントにOCSF正規化済みの観測情報(observables)を紐づけています。検索機能により、チームはこれらの観測情報に対して全履歴を直接クエリし、調査に必要な特定のイベントを任意の送信先へ再供給できるようになりました。
これは、SIEMのアーカイブ階層につきものだった「復元してから調べる」というステップを必要とせず、また汎用のデータレイクを検索可能にするために必要となるスキーマ、変換処理、インフラといった手間も不要です。Data Havenの課金体系は、クエリや取得の量ではなく、チームが取り込むデータ量に基づいているため、アナリストは調査の途中で「この検索はコストに見合うか」を判断する必要が一切ありません。検索機能はクエリ数無制限の形でリリースされます。
