Mars Securityは、公開されたばかりの脅威インテリジェンスを、公開から数分以内に検証済みですぐに展開可能な検知ルールへと変換する新機能「Real-Time Intel-Based Detection」を発表しました。
この新機能は、攻撃側の運用経験を持つ元オペレーターたちによって開発されたもので、CISA、Mandiantをはじめとするインテリジェンスソースからのアドバイザリを、CrowdStrike、Wiz、Splunk、クラウドテレメトリにまたがるMITRE ATT&CKマッピング済みの検知ルールへと変換します。各ルールは本番稼働前に、顧客自身の過去30日分のデータに対してテストされます。
Marsは、脅威アドバイザリから本番検知に至る一連のプロセスを完全に自動化した、業界初のプラットフォームだと考えています。顧客自身の環境に対するバックテストも含まれており、データの取り込みや既存セキュリティスタックへの変更は一切必要ありません。
どのセキュリティチームも、すでに脅威インテリジェンスに対価を支払っています。しかし、それが実際に機能する検知ルールへとつながるケースはごくわずかです。CISA、Mandiant、Unit 42、Microsoft Threat Intelligenceが新たなキャンペーンやマルウェアファミリー、APTグループに関するレポートを公開すると、検知エンジニアはそれを読み込み、指標や手法を抽出し、どのログソースでそれらを捕捉できるかを見極め、クエリを作成し、テストし、チューニングしたうえで展開するという作業を強いられます。
多くのSOCでは、このサイクルに数日から数週間を要します。一方、攻撃者はインフラを数時間単位でローテーションさせます。脅威を認知してから実際に検知できるようになるまでのこの遅れこそが、多くの侵入が成功してしまう温床になっているのです。
Marsは、このギャップを自動的に解消します。
仕組み
新たなインテリジェンスが利用可能になると、Marsは関連する指標や手法、インフラ情報を抽出してMITRE ATT&CKにマッピングし、その脅威を実際に捕捉できるテレメトリのネイティブなクエリ言語で検知ルールを記述します。対応先は、CrowdStrike Falcon、Wiz、Splunk、ファイアウォールログ、Linux Sysmon、IDプロバイダー、AWSテレメトリ、さらにはSnowflakeやDatabricksなどのデータレイクにまで及びます。各ルールには重要度が付与され、レビューのためにチームのキューに送られます。「Accept Rule」を選択すればそのまま本番稼働し、「Dismiss」を選択すればルールは削除されます。
テストを経ずに展開されるルールは一つもありません。ルールが提示される前に、Marsは顧客の過去30日分のデータに対して実際のクエリを実行し、何件のイベントが一致したか、そのうち何件が誤検知になり得るかを提示します。チームは任意の期間を選んでバックテストを再実行することもできます。
この厳密な検証は、ベースとなる指標であるドメイン、IPアドレス、ハッシュ値にも同様に適用されます。誤検知の履歴に基づいてスコアリングされ、範囲が広すぎるもの、古すぎるもの、過去にノイズが多かったものは、ルールに組み込まれる前に除外されます。
Mars SecurityのCEOであるShahaf Galili氏は次のように述べています。「我々は長年、攻撃側での活動に携わってきましたが、最も驚かされたのは、自分たちの手口に関するインテリジェンスがすでに公開されていたにもかかわらず、それに気づかれることがほとんどなかったという事実です。脅威インテリジェンスはこれまで、世界で何が起きているかをセキュリティチームに伝えるだけのものでした。自分たちの環境内でそれを見つけ出すための検知手段までは提供してくれなかったのです。Marsはまさにそれを実現します。しかも、本番環境に投入される前に、あなたのデータに対して検知ルールをテストしてくれるのです」
アラートだけでなくカバレッジも
このエンジンは逆方向にも機能します。Marsは、顧客の既存の検知カバレッジと、すでに接続済みのテレメトリとを継続的に照合し、重要なギャップを洗い出します。最近の推奨事項には、AWS CloudTrailのログ改ざん、Route 53のドメイン移管の悪用、パスザハッシュによる横方向移動、Microsoft Graph APIの不審な操作などが含まれています。Detection-as-Codeを運用しているチームには、選定された推奨事項がオープンなプルリクエストとして届き、レビューしてマージするだけの状態で提供されます。
これが重要なのは、攻撃者の手口が変化した瞬間に静的なルールは機能しなくなるためです。Marsは、検知が破綻する現場を反対側から見てきた人々によって構築されており、そのハントライブラリはシグネチャではなく振る舞いを標的としているため、攻撃者がツールを変えてもカバレッジは維持されます。同じエンジンは、AIコーディングエージェントの監視や、ログに漏れ出す認証情報の検知といった、新しい攻撃対象領域にも対応を広げています。これらを監視するために新たなツールを別途導入する必要はありません。
Mars SecurityのCTOであるRan Lerer氏はこう続けます。「攻撃者がわずか2時間で陳腐化させてしまうようなレポートに対応するのに、SOCが2週間分の未処理タスクを抱え込む必要はありません。インテリジェンスが届いた時点で、検知ルールはすでに書き上がっており、あなたのデータに対してテスト済みで、あとはクリックするだけの状態になっているべきなのです」
翻訳元: https://www.helpnetsecurity.com/2026/09/08/mars-security-real-time-intel-based-detection/
