どのような組織でも、セキュリティインシデントへの対応が最大の弱点の1つであることは疑う余地がない。このプロセスは確かに自動化する必要性がありそうだ。

　セキュリティインシデントに効果的に対応する方法は1つしかない。それは良質な情報を得ることだ。だが、どのように入手すればよいだろう。それは、インシデントレスポンスツール、セキュリティ管理およびその両者が実現する可視性に全てが掛かっている。だが、そうした情報の管理方法について考える必要がある。セキュリティインシデントへの対応に苦慮している最中は特にそうだ。そこで頼りになるのが、インシデントレスポンス管理プラットフォームと呼ばれる比較的新しい分野だ。インシデントレスポンス管理プラットフォームは、企業のインシデント対応管理の弱点を補う優れた方法になる。

インシデントレスポンス管理プラットフォームの仕組み

　インシデントレスポンス管理プラットフォームは自動化とオーケストレーションにより、セキュリティチームがセキュリティインシデントに対応する時間とリソースを最小限に抑える。

　多くのベンダーが提供するツールには、1回に1つの問題を順番に掘り下げて調査するのではなく、もっと広い範囲でセキュリティインシデントに対処する優れた機能が搭載されている。インシデントレスポンスツールは、モバイルからクラウドまでと、その間に存在するほぼ全ての要素に対し、セキュリティ制御センターに非常によく似た機能を提供する。ツールは、社内のリソース不足が原因で見逃されたり、見送られたりすることが多いネットワークイベントを分析して修正する。

　イベントに対して追加で自動分析を行う場合、ベンダーや他のソースから提供されるクラウドサービスのスレット（脅威）インテリジェントリソースを使用する。こうしたリソースを基に、疑わしい問題を解決するために必要な手順を特定する。最終的には、影響を受けたシステムに修正が施され、インシデントが解決したと見なされる。

　ローカルであれ、オンプレミスであれ、クラウドであれ、セキュリティインシデントの発生時点、実態、攻撃者、場所、手段を特定にするための情報はあまりにも多い。それこそ、把握することも、遅れずに付いていくことも容易ではない量だ。できることなら、自動化することが重要だ。この分野でもインシデントレスポンス管理プラットフォームが際立つ存在になる。

インシデントレスポンスツールの機能

　インシデントレスポンスツールは、既存のセキュリティ管理と連係することで対応に必要な洞察を得る。システムログ、Cisco Systemsのトラフィックフロー可視化技術「Netflow」、ID情報、エンドポイントの警告などから集めた情報を基に、ネットワーク環境全体でセキュリティに関する異常を全て検討する。インシデントレスポンスツールが調査する具体的な脅威や攻撃には以下のようなものがある。

• フィッシング攻撃
• マルウェア感染
• パスワード攻撃
• データ漏えい
• 特権の社内での悪用

　インシデントレスポンス管理プラットフォームは次の手順を自動化する。十分に裏づけがなされたインシデント対応計画にはこの手順を組み込む必要がある。

• 対応すべきイベントに関するセキュリティ警告を検知または受信する。
• アクティブな情報や、フォレンジックの生成物を使って何が起きているかを調べる。
• 検疫、パッチ適用、再イメージ化、セキュリティ管理の調整などによりインシデントを解消する。

　最近、筆者は一流と考えられているセキュリティ環境を対象とするセキュリティレビュープロジェクトに携わった。面白いことに、確かに環境はトップクラスだったにもかかわらず、入退出点、情報の流れ、エンドポイントの接続性に伴う脆弱（ぜいじゃく）性が数多く見逃されていた。インシデント対応計画については言うまでもない。これはコンプライアンスのチェックボックスで確認される要件は満たしていても、それを除けば実際の価値は最低限のものだった。当然、インシデント対応に資するリソースも限られていた。この種のギャップを小さくするのに役立つのがインシデントレスポンスツールだ。

　インシデントレスポンスの管理をすることは、白旗を上げることだろうか。悪事を働くハッカーの優位を認め、事後対応型のセキュリティにのみ専念すべきだと宣言することになるのだろうか。そんな印象を持たれることは間違いない。常々推奨してきたことは、セキュリティ問題の大部分（80％）を生み出している既知の問題の一部（20％）を修正するという対策だ。このことは、特にVerizonの「Data Breach Investigations Report」（データ漏えいの調査報告書）では毎年説明されている。これは何十年も前から存在する基本原則にすぎず、容易に解決できる問題だ。しかし、非常に多くのIT担当者はこの事実を見落としている。

　規模の大小を問わず、実に多くの企業が、本格的なプラットフォームや最新のインシデントレスポンスツールはおろか、インシデント対応計画を文書にさえしていない。この状況は変えるべきだ。

　セキュリティインシデントはいずれ必ず起こる。セキュリティ専門家はこの事実を認めなければならない。その後、可能な限り効率よくインシデントに対処するために必要なことをするべきだ。インシデント対応のコンサルタントやフォレンジック調査員は喜んで招集に応じるだろう。そして、セキュリティ侵害で起こったことを解明し、面倒な事態を収束させる方法を編み出すに違いない。だが、企業にすれば、このような事態はできるだけ避けたいと考える。

　企業は基本的なセキュリティに備える必要がある。つまり、既知の問題が大部分のリスクを生み出している。だが、企業の多くは、こうした問題に合理的に対処するには遅過ぎるかもしれない。そのため、事後対応による方法が妥当になる。ほとんどの企業がインシデントレスポンス管理ツールから恩恵を得られることは間違いない。

結論

　セキュリティチームは早急にインシデントレスポンスツールに投資すべきだろうか。お勧めは製品を調査することだ。だが、まずは自社のリスクと、全体的なセキュリティ計画にこうしたツールが適合するかどうかを十分に把握する必要がある。恐らく、社内での調整が幾つか必要になるだろう。それによってツールが必要なくなる可能性もある。前述のように、セキュリティ侵害の予防につながりそうな問題をさかのぼって修正するには、環境が複雑過ぎたり、政治的圧力が強過ぎたりする場合もある。

　2、3年後のセキュリティ分野では、やや異なる視点から市場に投入される別の新種のセキュリティ製品が話題になっていることだろう。市場の進化として当然のことだ。むしろ、以前のセキュリティ制御が新しい形で繰り返されることでセキュリティが向上していくことになる。そうした方向にこそ進んで行くべきだ。