戦略的セキュリティ自動化で投資価値を引き出す

セキュリティ自動化は長らく議論の的でした。何を、いつ、どのように自動化するか。時折の挫折にもかかわらず、コンセンサスは自動化が前進の道であるというものです。今日の現実は、自動化がもはやオプションではなく、必須であることを確認しています。

多くの組織がすでに重要なセキュリティとインシデント対応（IR）タスクの基本的な自動化を導入していましたが、2020年の出来事が触媒となりました。ThreatQuotientのNoor Boulos氏によれば、最近のSANSレポートは、世界的なパンデミックが自動化導入を加速させ、企業に優先順位と将来のロードマップの再評価を促したことを示しています。調査は北米、ヨーロッパ、アジア太平洋、アフリカのあらゆる規模の企業を対象としています。

主なポイント：

• 組織のほぼ3分の1が、COVID-19パンデミックによって自動化計画が加速したと報告。
• 80％以上がコアセキュリティとIRプロセスを少なくとも部分的に自動化（2020年は47％）。
• インシデント対応の自動化が最も急増し、大規模自動化が2020年の10.5％から2021年には28.3％へと18ポイント上昇。
• セキュリティ運用とアラート処理が引き続きトップ焦点で、35.5％が大規模自動化を達成。
• 今後、85％が今後12か月以内に主要なセキュリティとIRプロセスの自動化を拡大する予定。

これらの結果は、セキュリティライフサイクル内で自動化のタイミングを図り、ビジネス価値を最大化することの重要性を強調しています。ThreatQuotientでは、データが効果的な検知と対応自動化の基盤であると強調しています。レポートで強調された2つの主要ユースケース、アラートトリアージとインシデント対応を検討しましょう。

アラートトリアージ：

セキュリティアナリストは、ノイズの多いSIEMルールとデフォルトの防御設定によって生成される大量のアラートに直面します。量と速度を管理するため、アナリストは外部脅威データとインテリジェンスフィードを直接SIEMに供給することが多いです。しかし、2つの課題が残っています：

第一に、膨大な外部脅威データがSIEMを圧倒し、多くの非文脈的アラートを生成し、アナリストによる集中的な調査を必要とします。第二に、現在のツールには、脅威インテリジェンスをSIEMに統合する前に文脈と関連性を提供する堅牢な意思決定支援が欠けています。したがって、優先順位付けが、アナリストを行動可能なアラートに集中させるために不可欠です。

ThreatQプラットフォームでは、関連する脅威インテリジェンスのみをSIEMに供給することで無駄なアラートを排除できます。プラットフォームは脅威データに文脈、関連性、優先順位を自動的に適用し、SIEMに到達する前に効率と効果を高めます。

環境に合わせたカスタム脅威インテリジェンススコアにより、精密な優先順位付けが可能になります。脅威データの焦点を絞ったサブセットをキュレーションすることで、SIEMは誤検知を減らし、より優雅にスケールします。

インシデント対応：

従来のSecurity Orchestration, Automation, and Response（SOAR）ソリューションはプロセス自動化に焦点を当てています。しかし、検知と対応に適用すると、意思決定ロジックがハードコーディングされ、すべてのプレイブックで更新が必要になるため、プレイブックが扱いにくくなる可能性があります。この複雑さはプレイブックの増加に伴い増大し、ノイズの多いデータを自動化するとノイズが増幅される可能性があります。

ThreatQ TDR Orchestratorは、シンプルでデータ駆動型のSOARアプローチを採用します。ここではデータ自体がプレイブックをトリガーし、自動アクションから得られたインサイトが分析にフィードバックされ、将来の対応を改善します。インテリジェンスを個々のプレイブックではなくプラットフォームに埋め込むことで、設定とメンテナンスが大幅にシンプルになり、より効率的で効果的な自動化成果につながります。ユーザーはデータを事前にキュレーションし優先順位を付け、関連アクションを自動化し、対応手順を合理化できます。

著者はThreatQuotientのNoor Boulos氏です