＠IT
Editor’s Eye

機械学習によるリアルタイム分析機能も使って、サイバー攻撃をスピーディ・高精度に検知：EMCジャパン、「RSA® Security Analytics 10.6」を発売

» 2016年05月27日 10時00分公開

[PR／＠IT]

【編集長】内野の視点――年々高度化するサイバー攻撃。あらためてセキュリティ対策のアプローチを見直したい

＠IT編集長　内野宏信
＠IT情報マネジメント時代から、「ビジネスとITの連携」をテーマに開発・運用のトレンドを多数取材。SystemDesignフォーラム担当

　近年、情報漏えいをはじめ、セキュリティ事件が相次いでいます。ブランドや社会的信頼の失墜、金銭被害など、企業が受けるインパクトの大きさは言うまでもないでしょう。これを受けて、各種ログなどを監視して脅威をいち早く検出するSOC（Security Operation Center）や、セキュリティインシデント対応を行う専門チーム、CSIRT（Computer Security Incident Response Team）を組織する企業も年々増えています。

　しかしサイバー攻撃も高度化、複雑化し、ファイアウォールやウイルス検知ソフト、IDS／IPSをすり抜ける攻撃も増えるなど、もはや完全に防御することは難しくなっているのが現実。たとえ攻撃されても「攻撃されたことをいかに早く検知し、対処できるか」がセキュリティ対策の新たなポイントとなっています。

　こうした中で注目されているのが、ピンポイントの対策を積み重ねるのではなく、さまざまなシステムのログやイベントを統合管理し、横断的に相関分析することで脅威をいち早く検知、対処する「セキュリティインテリジェンス」というアプローチです。そしてこの実現手段として、ログやイベントを分析し、異常があれば検知、アラートを発するSIEM（Security Information and Event Management）が、今のセキュリティ対策に不可欠なものとして多くの企業が導入を検討しています。

　本リリースで紹介される「RSA SA 10.6」もそうしたSIEMの1つ。ログとパケットを横断的に分析することで、「マルウェアが外部との通信や感染活動を行う『C&C活動』を自動的に検出」「マルウェアが感染領域を広げる『ラテラルムーブメント』を検知」など、「脅威をいち早く検出」するための機能をしっかりと押さえています。またマルウェアの検知・特定は、その活動パターンを定義したパターンファイルと照合する方法が一般的ですが、本製品の場合、新たなサイバー脅威を見つける「機械学習の技術を利用したリアルタイム行動分析エンジン」を追加しています。検知のスピード・精度を高める上で、この点も大きなポイントといえるでしょう。

　「多種類の情報ソースを分析し、“重要情報を”ダッシュボードに可視化、詳細をドリルダウンできる」ことも見逃せません。被害を最小限に食い止めるためには「インシデント対応の優先順位付け」がカギとなります。その点、こうした優先順位付けを支援する機能は、SOCやCSIRTの活動を真に有効なものとする上で必須ともいえるでしょう。セキュリティは「コスト」ではなく「投資」です。本リリースを1つの参考に、セキュリティ対策の在り方を見直してみてはいかがでしょうか。

EMCジャパン、標的型サイバー攻撃の早期検知能力が向上したRSA® Security Analytics 10.6を発売
～機械学習によるリアルタイム分析機能を追加～

2016年5月10日、東京発：

EMCジャパン株式会社（略称：EMCジャパン、本社：東京都渋谷区、代表取締役社長：大塚　俊彦、URL: http://japan.emc.com/）は、機械学習によるリアルタイム行動分析機能の追加により、標的型サイバー攻撃を早期に検出する能力が向上した「RSA® Security Analytics 10.6（アールエスエー　セキュリティ　アナリティクス10.6、以下 RSA SA）」の提供を開始しました。攻撃の特徴的な行動を自動的に検知するため、早期の対応が可能になります。

標的型サイバー攻撃では、社内の多数のPCが攻撃者の制御下に置かれているといったことや、企業の情報資産が不正に外部へ送信されたことを、数カ月から数年も気づかないといった事案が多く見受けられます。攻撃による被害を最小化するには、侵入したマルウェアが活動を開始する前に見つけ出して施策を展開することが望まれます。しかし、特に攻撃の初期段階では不審な行動の判定が難しく（*1）、その結果、侵入されたPCが足がかりとなって、組織内のPCのマルウェア感染がさらに拡大して遠隔操作できるPCが増えたり、C&C活動（*2）と呼ばれる外部への通信を長期間にわたって見逃したりすることで、被害が生じてしまいます。

「RSA SA」は、機械学習の技術を利用したリアルタイム行動分析エンジンの追加により、攻撃の検知能力と調査能力が大幅に向上しました。リアルタイム行動分析エンジンは、攻撃の顕著な兆候であるC&C活動を、人手を介すことなく自動的に検出します。また、侵入したマルウェアが制御できるPCを増やすラテラルムーブメント（*3）を検知します。さらに、多種類の情報ソースを取り込んで過去のインシデントとともに分析し、攻撃が疑われる不審な行動を自動的に特定してダッシュボード表示します。これにより、インシデントの全領域が把握しやすくなり、調査や対処の優先付けが容易になります。「RSA SA」では、脅威の真偽を判断するための高いセキュリティスキルが不要となり、調査の手間や時間も大幅に削減できます。

RSA SA 10.6の特長

「RSA SA 10.6」の特長は以下のとおりです。

迅速な検知と分析により、攻撃を早期に認識

「RSA SA」の検知機能には、C&C活動やラテラルムーブメントの検知手法があらかじめ組み込まれています。攻撃を早期に検知することで初期対応を迅速に開始でき、被害を把握するまでの時間を短縮し、調査すべき範囲の拡大を抑えられます。

「検知手法の例」

ビーコニング（*4）活動、組織内でほとんど通信していない通信先ドメインや比較的最近登録されたドメイン、リファラー（*5）の無いHTTPヘッダなど、複数の事象をC&C活動の指標として認識しています。膨大な情報からこれらを適切に識別し、相関分析により攻撃または攻撃の予兆として通知します。
不正なWindowsログイン試行、実行形式ファイルのファイルサーバへのコピーや実行などについて複合的にログデータを分析し、ラテラルムーブメントの試みとして検知、行為者の特定が可能です｡

優先付けが容易になり、対応までの時間を短縮

「RSA SA」は、「RSA ECAT（*6）」から得られるエンドポイント情報や、ブラックリスト、ホワイトリスト、過去のインシデント情報などの多種類の情報ソースを調査ワークフローに取り入れています。重要情報が可視化されたダッシュボード表示により、インシデントの全領域を即時に把握することができます。さらに、ダッシュボード上の様々な要素をドリルダウン（図）していくことにより、詳細を確認でき、対応の優先順位付けが容易かつ迅速に行えます。