内野宏信@IT情報マネジメント時代から、「ビジネスとITの連携」をテーマに開発・運用のトレンドを多数取材。近年、情報漏えいをはじめ、セキュリティ事件が相次いでいます。ブランドや社会的信頼の失墜、金銭被害など、企業が受けるインパクトの大きさは言うまでもないでしょう。Team)を組織する企業も年々増えています。サイバー攻撃も高度化、複雑化し、ファイアウォールやウイルス検知ソフト、IDS/IPSをすり抜ける攻撃も増えるなど、もはや完全に防御することは難しくなっているのが現実。攻撃されても「攻撃されたことをいかに早く検知し、対処できるか」がセキュリティ対策の新たなポイントとなっています。した中で注目されているのが、ピンポイントの対策を積み重ねるのではなく、さまざまなシステムのログやイベントを統合管理し、横断的に相関分析することで脅威をいち早く検知、対処する「セキュリティインテリジェンス」というアプローチです。Management)が、今のセキュリティ対策に不可欠なものとして多くの企業が導入を検討しています。10.6」もそうしたSIEMの1つ。ログとパケットを横断的に分析することで、「マルウェアが外部との通信や感染活動を行う『C&C活動』を自動的に検出」「マルウェアが感染領域を広げる『ラテラルムーブメント』を検知」など、「脅威をいち早く検出」するための機能をしっかりと押さえています。マルウェアの検知・特定は、その活動パターンを定義したパターンファイルと照合する方法が一般的ですが、本製品の場合、新たなサイバー脅威を見つける「機械学習の技術を利用したリアルタイム行動分析エンジン」を追加しています。検知のスピード・精度を高める上で、この点も大きなポイントといえるでしょう。「多種類の情報ソースを分析し、“重要情報を”ダッシュボードに可視化、詳細をドリルダウンできる」ことも見逃せません。被害を最小限に食い止めるためには「インシデント対応の優先順位付け」がカギとなります。その点、こうした優先順位付けを支援する機能は、SOCやCSIRTの活動を真に有効なものとする上で必須ともいえるでしょう。セキュリティは「コスト」ではなく「投資」です。本リリースを1つの参考に、セキュリティ対策の在り方を見直してみてはいかがでしょうか。SA)」の提供を開始しました。攻撃の特徴的な行動を自動的に検知するため、早期の対応が可能になります。標的型サイバー攻撃では、社内の多数のPCが攻撃者の制御下に置かれているといったことや、企業の情報資産が不正に外部へ送信されたことを、数カ月から数年も気づかないといった事案が多く見受けられます。攻撃による被害を最小化するには、侵入したマルウェアが活動を開始する前に見つけ出して施策を展開することが望まれます。攻撃の初期段階では不審な行動の判定が難しく(*1)、その結果、侵入されたPCが足がかりとなって、組織内のPCのマルウェア感染がさらに拡大して遠隔操作できるPCが増えたり、C&C活動(*2)と呼ばれる外部への通信を長期間にわたって見逃したりすることで、被害が生じてしまいます。SA」は、機械学習の技術を利用したリアルタイム行動分析エンジンの追加により、攻撃の検知能力と調査能力が大幅に向上しました。リアルタイム行動分析エンジンは、攻撃の顕著な兆候であるC&C活動を、人手を介すことなく自動的に検出します。侵入したマルウェアが制御できるPCを増やすラテラルムーブメント(*3)を検知します。多種類の情報ソースを取り込んで過去のインシデントとともに分析し、攻撃が疑われる不審な行動を自動的に特定してダッシュボード表示します。これにより、インシデントの全領域が把握しやすくなり、調査や対処の優先付けが容易になります。スキルが不要となり、調査の手間や時間も大幅に削減できます。10.6」の特長は以下のとおりです。SA」の検知機能には、C&C活動やラテラルムーブメントの検知手法があらかじめ組み込まれています。攻撃を早期に検知することで初期対応を迅速に開始でき、被害を把握するまでの時間を短縮し、調査すべき範囲の拡大を抑えられます。「検知手法の例」ビーコニング(*4)活動、組織内でほとんど通信していない通信先ドメインや比較的最近登録されたドメイン、リファラー(*5)の無いHTTPヘッダなど、複数の事象をC&C活動の指標として認識しています。膨大な情報からこれらを適切に識別し、相関分析により攻撃または攻撃の予兆として通知します。不正なWindowsログイン試行、実行形式ファイルのファイルサーバへのコピーや実行などについて複合的にログデータを分析し、ラテラルムーブメントの試みとして検知、行為者の特定が可能です。ECAT(*6)」から得られるエンドポイント情報や、ブラックリスト、ホワイトリスト、過去のインシデント情報などの多種類の情報ソースを調査ワークフローに取り入れています。重要情報が可視化されたダッシュボード表示により、インシデントの全領域を即時に把握することができます。ダッシュボード上の様々な要素をドリルダウン(図)していくことにより、詳細を確認でき、対応の優先順位付けが容易かつ迅速に行えます。SA」は、攻撃を侵入させないための防御中心のセキュリティ対策では防ぎきれない攻撃を早期に発見して被害を低減するための標的型サイバー攻撃対策ソリューションです。攻撃の初期:単独の事象だけでは攻撃か否かを見極めるのが困難であることが多い。そのため、相関分析等により関係性を見い出して判定する。&Controlの略。侵入したマルウェアが外部との通信を行ったり、感染活動を行ったりする。侵入に成功したマルウェアが、外部からダウンロードしたツールやWindowsのビルトインツールを使用して偵察活動を行い、アクセスや権限をコントロール下のPCに不正に与え、感染領域を広げる。ビーコニング:社内の端末から、外部の同一のIPアドレス宛に定期的に通信が行われている状態。価格と提供について販売開始:2016年5月10日(火)販売価格:本バージョンでの価格変更はありません。価格例:いずれも保守、消費税別。提供について:EMCジャパンおよびEMCジャパンのビジネスパートナーから提供します。E-mail:tomoko.shimamiya@rsa.comもっと詳しく知りたい方におすすめのカスペルスキー製品の資料をまとめてダウンロードすることができます。左のチェックボックスにチェックを入れ、「資料ダウンロード」ボタンを押して下さい。キーマンズネット会員の方は、こちらからログインしてご利用下さい。別ウインドウでキーマンズネットのページが開きます。キーマンズネット会員では無い方もご利用いただくことができます。対応のブラウザで見てください。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。