大企業のユースケース

EMCのRSA Security AnalyticsのWebサイト《クリックで拡大》

　一方、規模の観点で中小企業の対極に位置する大企業は、セキュリティ分析プラットフォームのスケーラビリティ、分析の深度と範囲、デジタルフォレンジック、監視について考慮しなくてはならない。管理の余分な負担が少ない方がいいのはもちろんだが、最優先事項は、パフォーマンスの高い包括的な分析を実行できることである。

　Juniper NetworksのJSA Series Secure Analyticsは、グローバル企業の需要も満たす複数のモデルを展開している。例えば、Juniper Networksの「JSA5800」は中堅企業向けの設計だが、「JSA7500」はグローバル企業に適している。今後大幅な成長が見込まれる中小企業は、まず「JSA3800」か「JSA Virtual Appliance」を導入して、将来的に大規模なアプライアンスに乗り換えることができる。仮想アプライアンスを選択する場合は、米VMwareの「VMware ESX 5.0」または「VMware ESX 5.1」を実行し、4基のCPUと12GバイトのRAMを搭載したサーバが必要だ。

　EMCのRSA Security Analyticsプラットフォームは、インフラのサポートを提供するモジュールと分析サービスを提供するモジュールの2つで構成されている。モジュールは、トラフィックレベルと分析要件に合わせてさまざまな構成で導入可能だ。

　EMCの「RSA Security Analytics Decoder」は、インフラモジュールの1つだ。これはリアルタイムでパケットとログデータを収集するネットワークアプライアンスで、さまざまな種類のログをサポートしている。このモジュールは、スケーラビリティと可用性を確保するためにネットワーク上に複数導入することが可能だ。「RSA Security Analytics Concentrator」もインフラコンポーネントの1つで、RSA Security Analytics Decoderのデータを集約する。セキュリティアナリストやセキュリティ管理者は、RSA Security Analytics Decoderで収集して、RSA Security Analytics Concentratorで集約したデータを「RSA Security Analytics Broker」または「RSA Security Analytic Server」を使用して処理することができる。

　RSA Security Analytics分散プラットフォームは、大規模なネットワークでの使用に適している。ネットワークトラフィックやログのボリュームが増加するごとに、インフラコンポーネントを追加できる。ただし、他の分散システムと同様、管理と構成は複雑だ。そのため、セキュリティ分析プラットフォームを監視および保守するための十分なシステムの管理サポートを確保しなくてはならず、それに向けた投資計画を立てる必要がある。

　RSA Security Analytics分析プラットフォームの分析モジュールは、ネットワーク、ログ、エンドポイントのデータをリアルタイムで分析して、イベントを検出する。また、徐々に収集されたセキュリティデータを保存およびリポートするアーカイブも用意されている。

高度で執拗な持続的標的型攻撃「APT」（Advanced Persistent Threat）への特化

　企業の規模は、セキュリティ分析のユースケースを分類する要素の1つでしかない。企業が最も重視している機能を考慮するのが、適切な場合もある。例えば、既に適切なエンドポイントの保護機能とデータ収集機能が導入されているなら、企業はAPTの検出に特化した製品を求めるだろう。このユースケースにぴったりなのは、分析の範囲と深度およびデジタルフォレンジックのサポートに重点を置いているセキュリティ分析ツールだ。

　Arbor NetworksのPravail Security Analyticsでは、APTをリアルタイムで検出するために複数の手法を用いている。このセキュリティ分析プラットフォームは、大量の未加工データを収集するためにフルパケットキャプチャーを使用する。このデータは、企業に対して複数の攻撃ベクトルが存在していることを特定するのに役立つ。ネットワークトラフィックのデータは、新しいデータが追加されるたびに保存および再分析される。例えば、ベンダーの監視機能によって新種の脅威が検出された場合、新しい検出方法を開発して導入することが可能だ。新しい検出方法で古いデータを分析して、攻撃が進行中かどうかを判断することができる。

　ネットワークを侵害してから、数週間にわたって活動を停止する攻撃者もいる。活動の停止期間が攻撃者にとって有利に働くのは、はっきりとした攻撃パターンを作り出す現在進行中の攻撃よりも、最小限の悪意のある活動の方が検出しにくい場合だ。トラフィックの履歴データを保持し、スキャンして攻撃の兆候を特定すれば、停止期間を作ることで攻撃者が得るメリットをある程度軽減できる。

　履歴データの分析に加え、トラフィックフローの分析も、APTを検出する上で重要だ。LancopeのStealthWatch Systemは、ネットワークのインシデントに関するフローレコードを使用して、高度な攻撃の段階を特定している。同製品には、異種データを統合して、ネットワークとデバイスに関する分析可能な1つのインシデントデータを作成するデータを収集する場所が用意されている。コンソールには最新のデータが表示され、高度な攻撃の過程で発生する重大なイベントに関する警告が表示される。

　Click SecurityのClick Commanderは、悪意のある攻撃者の行動を分析したり、キルチェーンの各段階の活動をプロファイルしたり、アラートやその他のカスタム通知を提供したりするのに最適だ。このツールには、活動のグラフを作成する仮想化ツールが用意されている。また、グラフで描画されたイベントを分析するために、動作主のプロファイルとコンテキストデータが提供される。