現代のエンタープライズ環境は、パブリック／プライベートクラウドやオンプレミス基盤にまたがり、多様な形態で構成されています。攻撃者は、この分散して複雑な攻撃対象領域に潜むあらゆる弱点を見つけ出そうとします。成熟していないクラウド製品や、EDRのような従来型のセキュリティツールはスタックの一部しか保護できず、攻撃者が潜伏できる多数のギャップを残してしまいます。こうした欠点を補うために、最新のクラウド検知・対応（CDR）は、ハイブリッド環境とクラウドネイティブ環境の両方にわたり、完全かつリアルタイムの保護を提供するよう設計されました。
ワークロードがAWS、Azure、GCP、オンプレミスのデータセンター、あるいはKubernetesクラスターのどこにあっても、求められるものは同じです。セキュリティチームには、真のマルチクラウド独立性と、運用するあらゆる場所での最高水準の可視性、コンテキスト、制御を提供するソリューションが必要です。
クラウド検知・対応の購入判断に踏み込む際に注目すべきポイントは次のとおりです。
課題：断片化したランタイム可視性
多くのセキュリティツールはデプロイ前しか監視せず、アプリが実際に稼働している最中に何が起きているかを見落とします。これは、離陸前点検は行うのに、飛行中の診断や管制からの更新を省略するようなものです。クラウドワークロード、とりわけコンテナとKubernetesは動的です。コンテナは特に寿命が短く、非常に大きな可視性ギャップを生み得ます。実際、コンテナの60%は稼働時間が1分しかありません。そのため、コンテナが存在しなくなった時点で、もしそのコンテキストを取得していなければ失われてしまいます。これは、インシデントと侵害の分かれ目になり得る重要なコンテキストを、チームが完全に見逃してしまうことを意味します。
解決策：目的に特化した可視性
コンテナ、Kubernetes、クラウドサービス全体にわたり、ランタイム可視性をリアルタイムで提供するCDRソリューションを選びましょう。Sysdigは稼働中のシステムコールとクラウドイベントに直接アクセスし、最も複雑で短命なワークロードであっても、ハイブリッドおよびマルチクラウド環境全体で継続的なカバレッジをセキュリティチームに提供します。
課題：コンテキストの乏しいアラートでチームが過負荷に
セキュリティチームは、相関はおろか実質的な洞察すら欠いたアラートの猛攻にさらされており、脅威が正当なものか、異常なノイズに過ぎないのかを判断するために、ばらばらのイベントを手作業でつなぎ合わせることを強いられています。これは、消防隊が「何かがおかしい」というだけの通報を何千件も受けるのと変わりません。火事はどこで、規模はどれくらいで、そもそも本当に火事なのか。必要なコンテキスト（誰が、何を、どこで、どのように）がなければ、クラウド脅威のトリアージは、サイロ化した個々の対応者の間で煩雑かつミスを招きやすいものになりがちです。誤検知を追いかけ、本当の緊急事態を見逃し、ノイズの洪水で燃え尽きる――こうした状況はクラウドセキュリティを消耗戦にします。
解決策：自動相関とクラウドコンテキスト
イベントを自動的に相関させてインシデントや脅威にまとめるCDRプラットフォームを探しましょう。Sysdigは、時間軸、振る舞い、影響を受けたリソース、その他の関連シグナルに基づいて、脅威をインテリジェントに相関・優先度付けします。Sysdigのランタイム分析は、関連するクラウドの設定不備、脆弱性、IDデータで強化されており、チームが脅威に素早く焦点を当てて根絶できるようにします。
課題：ブラックボックス検知が自律性を制限する
多くのセキュリティプラットフォームは不透明な検知アルゴリズムに依存しており、アラートに至った検知ロジックを理解するのが困難です。これは、組織が自社固有の環境に合わせて検知ルールをカスタマイズしたり、新たに出現する脅威に対応したり、誤検知を除外したりする能力に影響します。これは、匿名の情報提供窓口から容疑者リストだけを渡しながら、なぜその人物が容疑者なのかを説明せず、証拠の閲覧や証人への聞き取りも禁じるのと同じです。
解決策：オープンソースによる透明性
オープンソース標準に基づいて構築されたCDRソリューションを選びましょう。Sysdigのルーツはオープンソースにあります。Sysdig Secureは、クラウドネイティブのランタイムセキュリティで信頼されるオープンソースエンジンFalcoを使用し、チームが完全な透明性のもとで検知ルールを作成・調整・拡張できるようにします。この透明性と柔軟性は、独自環境向けのカスタムルールを作成し、脅威の進行を素早く理解し、誤検知／見逃しの解消を簡素化したいチームにとって不可欠です。
課題：遅く断片化したインシデント対応
攻撃が発生したときは一秒一秒が勝負です。Sysdigの脅威リサーチによれば、攻撃者が被害を与えるのに必要な時間は平均10分にすぎません。ツールがランタイム中に実際に起きたことをリアルタイムで捕捉できなければ、不完全または欠落したフォレンジックデータを抱えたまま右往左往することになります。これは、敵が誰でどこにいるのかを理解しないまま軍事的な反撃を試みるようなものです。さらに、対応プロセスの各コンポーネントに対する責任が多くのチームや個人に分散していることが多く、サイロや死角が生まれます。その結果、運用上の非効率が生じ、複数の事業部門のスピードが必然的に低下します。
解決策：自動化され、きめ細かなインライン対応機能
システムコール、コンテナアクティビティ、クラウド監査証跡の自動取得を含む、インシデント対応機能を提供するCDRソリューションを探しましょう。Sysdigは、クラウド環境とオンプレミス環境の両方でフォレンジック証拠を即座に利用可能にし、より迅速な調査、封じ込め、復旧を実現します。Sysdigはさらにインライン対応も提供しており、対応ワークフローに沿って、悪意あるプロセスの停止や、侵害されたコンテナの停止・一時停止・強制終了をアナリストが実行できるようにします。
課題：セキュリティスキルギャップが脅威対応を遅らせる
クラウドセキュリティ人材の不足は現実であり、魔法のように解消されることはありません。多くのチームはすでに手一杯です。この逼迫は、膨大なクラウドアラートの調査に苦戦しているチームをさらに追い込み、ましてやカスタム検知ルールの構築・維持まで手が回らなくなります。加えて、従来型環境から移ってきた新任アナリストの多くは、クラウドと、その本質的なチームアプローチのもとで働く経験が限られています。
解決策：AIセキュリティアシスタント
スキルギャップを解消し、AIによる支援でチームを加速できるCDRプラットフォームを選びましょう。SysdigはSysdig Sage™により、プラットフォーム全体にAIを統合しています。Sysdig Sageのコンテキスト認識機能はCDRワークフローを加速し、セキュリティチームがランタイムセキュリティイベントを容易に理解できるよう支援します。たとえば、アナリストは検知を引き起こしたコマンドラインの説明をSysdig Sageに尋ねるだけで済みます。さらに、脅威の修正と是正のための推奨される次のステップをSysdig Sageに求めることで、解決に向けて前進できます。これにより、ユーザーはより迅速に行動できます。Sysdig Sageは解決までの時間を大幅に短縮し、あらゆるスキルレベルのチームがクラウドセキュリティの専門家のように運用できるようにします。
結論
ハイブリッド環境とクラウドネイティブ環境が新たな標準となるにつれ、セキュリティは、イノベーションの速度を落とすことなく、資産が存在するあらゆる場所を保護できるよう適応しなければなりません。適切なクラウド検知・対応プラットフォームが提供するものは次のとおりです：
- リアルタイムの深いランタイム可視性
- 自動相関とクラウドコンテキストを備えた高精度のクラウド検知
- 透明性が高くカスタマイズ可能な検知
- 自動化され、きめ細かなインライン対応機能
- セキュリティスキルギャップを埋めるAI支援
Sysdigはこれらの要求を満たすために目的特化で構築されており、セキュリティチームに、ハイブリッドおよびマルチクラウド環境全体で検知・対応・強化を行う能力を提供します。
クラウドにおける検知と対応でSysdigがどのように役立つか、確認してみませんか？
👉 デモをリクエスト して、Sysdigの仕組みをご確認ください。
翻訳元: https://www.sysdig.com/blog/top-5-features-to-look-for-in-a-cdr-solution
