インシデント調査後になってしまう「駆除」フェーズを早期化、自動化するには――ソフォス：＠ITセキュリティセミナー2018.2

2018年2月15日に大阪で開催された＠ITセキュリティセミナーで、ソフォスは、同社が提唱する「シンクロナイズドセキュリティモデル」の挙動と効果を解説した。

[宮田健，＠IT]

ソフォス セールスエンジニアリング本部 技術ソリューション部長 セキュリティエバンジェリスト 佐々木潤世氏

　＠ITは、2018年2月15日、大阪で「＠ITセキュリティセミナー」を開催した。本稿では、ソフォスの講演「攻めのインシデント対応　〜シンクロナイズドセキュリティ〜」の内容をお伝えする。

　企業内でセキュリティインシデントが発生した場合、管理者はPCやモバイル、サーバ、ファイアウォール機器など、それぞれのプラットフォームを熟知した上で監視を行う必要がある。「この課題を解決するため、SIEM（Security Information and Event Management）やEDR（Endpoint Detection and Response）ソリューションを導入しても、根本的な“駆除”フェーズはどうしても調査後になってしまい、人間が対応する必要があった」と、ソフォス セールスエンジニアリング本部 技術ソリューション部長 セキュリティエバンジェリスト 佐々木潤世氏は指摘する。

　ソフォスの「シンクロナイズドセキュリティモデル」では、デバイス内のエージェントと次世代ファイアウォールが独自のプロトコルで情報交換を行い、端末上で感染が検知された瞬間にネットワークを仮想的に隔離し、影響を最小化できるという。

　ソフォスのソリューション「Sophos Intercept X」の最新版では、これまでのアンチエクスプロイトやランサムウェア対策の機能に加え、ディープラーニングやハッキング行為の防止強化策が追加され、デバイスで情報を収集、分析すると同時に、問題のあるファイルの“駆除”や“隔離”をシステムが自動で行えるようになる。

　「Sophos Intercept Xを使うと、“駆除”フェーズが、より前段階になるため、インシデント対応の自動化、早期措置を行える」（佐々木氏）

インシデント対応のワークフロー（出典：ソフォス）