企業のITおよびセキュリティチームは、絶え間なく高度化する攻撃者を食い止めるという困難な任務を担っています。多くの組織はリソースが限られ、攻撃対象領域が拡大の一途をたどる一方で、社内にセキュリティオペレーションセンター(SOC)を構築・運用するためのトップクラスのセキュリティ人材を採用・維持することは、多くの企業にとって現実的ではありません。
同時に、脅威は進化を続け、攻撃者は手口を巧妙化させており、事業運営を停止に追い込むようなインシデントが後を絶ちません。
後手に回らないためには、防御側は予防・検知・修復を組み合わせ、正確かつタイムリーな脅威インテリジェンスを備えた、プロアクティブなアプローチを取る必要があります。こうした能力を自社で構築するのが現実的でない場合、サービスとして「借りる」あるいは「買う」ことがより現実的な選択肢となります。
もちろん、これは目新しい考え方ではありません。中小規模の組織は何十年もの間、ビューロー(業務代行会社)、マネージドサービスプロバイダー、クラウドコンピューティングを通じて、新しいITイノベーションの恩恵を受けてきました。
高度なサイバーセキュリティサービスについても同じことが言え、ここでマネージド検知・対応(MDR)が大きな効果を発揮します。MDRは、エリートSOCを構築するコストをかけることなく、組織にプロアクティブで専門家主導のスケーラブルな脅威監視・ハンティング能力をもたらします。
少し前まで、MDRは専用の社内体制ほどではないにせよ、高額かつ複雑なものでした。しかし今では、小規模な組織にとってもますます現実的な選択肢になりつつあります。
先日の対話で、ESET脅威リサーチ部門ディレクターのJean-Ian Boutin氏が、自身のチームの活動内容と、脅威リサーチおよびインテリジェンスがMDRのワークフローにどう活かされているかについて語りました。
同氏はまた、最先端のテクノロジーと人間の専門知識の組み合わせが、特に中小企業(SMB)環境において最も実践的な価値を発揮する場面についても語っています。
中小企業のユーザーの多くは、ESET脅威リサーチから何を得られるのでしょうか。ESET MDRを利用すると、それがどう変わりますか。
ESETには複数の地域にまたがる脅威リサーチチームがあります。私はモントリオールのチームに所属していますが、ヨーロッパや米国にも研究者が分散しています。
誰でも見られるものとしては、WeLiveSecurityでの公開記事や、世界中のサイバーセキュリティカンファレンスでの講演・発表があります。
一方、ESETの法人顧客だけが得られる情報もあります。それは、あらゆる種類の「ノウハウやコツ」、つまり脅威アクターに関する情報です。彼らが何をしているのか、どのように活動しているのか。こうした情報はすべて、お客様の安全を守る一助となります。
マネージド検知・対応においては、脅威インテリジェンスが重要な構成要素です。これにより、検知・対応チームは各種の脅威アクターがどのように活動しているかを理解し、その情報を活用してお客様を侵害から守ることができます。
オンデマンドのセキュリティ専門知識
もし自社のセキュリティチームが、世界レベルの脅威リサーチャーの支援を受けられるとしたら――。
ESET MDRは、世界クラスの脅威インテリジェンスとセキュリティ専門家によって支えられており、攻撃者の戦術を解明し、不審な活動を調査し、脅威発生時には迅速に対応します。
先ほど「氷山の一角」というお話がありました。ユーザーがめったに目にすることはないものの、極めて重要なMDRのバックエンド業務についてです。詳しく説明していただけますか。
コンソールに表示されるさまざまなアラートの中には、私たちが調査対象とするエンドポイント検知が含まれることがあります。私のチームの役割は、新しいサンプルや脅威がすべて、お客様の環境で確実に処理・検知されるようにすることです。つまり、チームの役割の一部は、こうした新たな傾向やサンプルをすべて洗い出し、調査し、お客様の環境で検知できるようにすることにあります。これが重要な側面の一つです。
私たちは、eクライム、ランサムウェア、APTグループ、そして世界中の組織を標的とする国家支援型の攻撃者に関する脅威インテリジェンスデータの整理に大きな労力をかけています。私たちの研究者は、こうした知見を活用して、新たな侵害を過去の事例と結び付けています。
侵害の深刻度も評価しますし、攻撃の目的が何であったかについても分析します。これにより、お客様は何が起きたのか、実際に侵害が発生したのかどうか、さらには自社を標的とした具体的なグループまで、全体像を把握できるようになります。
MDRは、既存のESETエンドポイント保護に何を上乗せするのでしょうか。
MDRはよりきめ細かく調整されており、お客様との関係もより深く、密接なものになります。ただし、私のチームが生み出す成果は、製品ラインナップ全体に反映されています。
最近、ESETのプライベートレポートが話題になっていますが、これは多くの中小企業にとってどれほど関連性があるのでしょうか。彼らは標的型攻撃に直面しているのでしょうか。国家支援型の攻撃者についてはどうですか。
脅威プロファイルは組織ごとに異なります。国家支援型の攻撃者は通常、あらかじめ定めた目標を持ち、その目標に合致する被害者を狙う傾向があります。
eクライムに関しては、対象範囲が広く、大規模に無差別に狙われます。インフォスティーラーも数多く見られますし、ランサムウェアも非常に多く見られます。
ですので、私たちの役割は、こうしたグループすべてがどのように活動しているかを理解し、彼らが新しい手口を使ってきた場合には迅速に対応し、すべての攻撃を確実に阻止できるようにすることです。
これが最終的な目標ではありますが、同時に、非常に多くの脅威アクターがこうした活動を行っており、マルウェアのファミリーもさらに数多く存在します。お客様を守り続けることは、まさに日々の仕事です。仕事が尽きることは間違いなくありません。
ESETのセキュリティアナリストの一人であるJames Rodewald氏は、「三角測量」という考え方を用いています。実際に野生で何かを目撃すること、被害を受けたお客様から話を聞くこと、そして脅威インテリジェンスチームに確認を取ること、この3つを組み合わせるというものです。同氏が挙げた例の一つに、FamousSparrowが関与した攻撃があります。あなたの視点から、この点について詳しく説明していただけますか。
実際にこうした事例に対応している人々と密接な関係を築くことは重要です。というのも、私のチームの主な役割はテレメトリを見ることだからです。つまり、すべてのエンドポイントから収集されたデータを分析し、興味深い事例、そして全体的な保護を改善するために取り組むべき事例を見つけ出そうとしています。
しかし時折、MDRチームが過去に見たことのある何かに偶然出くわすことがあります。それによって、その脅威アクターが実際にどのように活動しているのかについて、より深い理解が得られるのです。
この特定のケースでは、私たちにとって目から鱗が落ちるような経験でした。というのも、この脅威アクターをかなり長い間目にしていなかったからです。MDRを利用しているお客様が関わる事例であれば、調査の観点からより有利になります。お客様との関係がより密接であるほど、そのお客様のインフラについてより多くを知ることができ、より良い支援ができるからです。事例の影響についても、より深く理解することができます。そして、それは他の脅威インテリジェンスのお客様にもフィードバックされます。私たちは、こうしたすべてのチームとできる限り密接な関係を築き、こうしたインシデントを結び付けることで、カバレッジと、こうしたすべての脅威に対する理解を高めようとしています。
MDRアナリストとD&R(検知・対応)チームとの協力関係についてお話しいただきましたが、アナリスト、そしておそらくお客様とも一対一の関係を築くことで、業務のやり方や脅威に対する理解はどのように変わるのでしょうか。
すべてが変わります。MDRでは、その組織のセキュリティ責任者とすでに協力関係が築かれているため、攻撃の範囲、実際に何が起きたのか、なぜ攻撃者がそこにいたのか、といったことを非常に迅速に把握できます。
私たちが得られる情報量は、通常のエンドポイントで得られるものと比べて桁違いに多くなります。ですから私たちにとって、この関係は、知見、可視性、そして事例に対する理解という点で、かけがえのないものです。
昨年、英国ではジャガー・ランドローバーやマークス・アンド・スペンサーのような大企業が、アウトソースされたヘルプデスクサービスを経由して侵害される攻撃が相次ぎました。中小企業もサプライチェーンの一環としてこうしたアウトソースサービスを利用しており、しばしば彼ら自身が、より大きな企業のサプライチェーンの中でも防御が手薄な部分となっています。中小企業もこの点を懸念すべきでしょうか。
サプライチェーン攻撃がもたらすリスクは重大です。これまでにも、脅威アクターがサプライチェーンの脆弱性、特にセキュリティ対策が手薄なサードパーティのプロバイダーを狙う事例が数多く記録されてきました。こうしたプロバイダーを侵害することで、攻撃者は組織のネットワークへの初期アクセスを得る可能性があります。
MDRに関して言えば、その強みの一つは、すべての検知とアラートを包括的に把握できる、広範な可視性にあります。この能力により、私たちはごく些細な異常であっても、より効果的に特定できます。私たちのチームはこうした組織を継続的に監視し、潜在的なインシデントに目を光らせているため、脅威アクターのわずかなミスであっても迅速に検知し、対応することができます。
サプライチェーン攻撃は、すべてのサードパーティを完全に保護することの難しさから、大きな課題をもたらします。しかし、効果的な対策を導入することで、こうした事態に対して迅速かつ効率的に対応する能力を高めることができます。
脅威リサーチチームの責任者として、MDRがお客様にもたらす違いをどのように見ていますか。MDRサービスを導入している組織と、まだそこまで踏み切っていない組織との間には、どのような影響の差があるのでしょうか。
先ほども申し上げた通り、一般的に、MDRによる継続的な可視性ははるかに優れています。もし自社の組織が何らかの攻撃キャンペーンの被害を受けた場合、攻撃者が取ったさまざまな行動をつなぎ合わせ、ネットワーク内で何が行われたのかを理解するための、より優れたツールを手にすることになります。
簡単に言えば、MDRは攻撃に対するより深い洞察をもたらします。脅威リサーチの観点から見ると、これが最大の利点です。そして、こうした可視性を重視すべきもう一つの重要な理由は、対応の速さです。MDRでは、研究者と自社との間にすでに安全な連絡経路が確立されているため、侵害を迅速に封じ込めるための対応を取れる人物に、容易に連絡を取ることができます。
最後の質問です。MDRを複雑すぎる、あるいは高価すぎると考えている組織に対して、どのような言葉をかけますか。
MDRは保険のような役割を果たし、ランサムウェアのような脅威を、大きな問題が発生する前の早い段階で特定する助けとなります。攻撃者は通常、初期アクセスブローカーを利用して侵入しますが、事前に検知できる警告サインはいくつも存在します。身代金を支払うことは決して推奨されませんが、たとえ支払ったとしても、復旧作業は業務に大きな支障をきたす可能性があります。MDRは事業継続性を支え、企業が自社の中核事業に専念し続けられるようにします。
