自動応答機能の選択肢

　脅威に対する自動的な応答機能を組み込んでいるSAOシステムは多いが、脅威が特定された後のエスカレーションには幾つかの選択肢が生まれる。

　最速でリスクを食い止める方法は、自動的に対応するようプログラムされたSAOのサービスを導入することだ。そうすれば脅威を迅速に抑えることができる。ただ、誤検知が起こったりそれに基づいた対処がなされたりした場合に問題が起こる。つまり、結果的には、最も速く回復されるが、それに伴うリスクも最も高くなる。従って、これは緊急度の高いアラートにのみ使用されるべきである。

　別の選択肢としては、手動応答がある。セキュリティアナリストが何らかの調査中に問題に遭遇した場合、SAOを手動で実行して、案内される対処法に従って処置をする方法だ。この方法はリスクが低くて済むが、MTTDやMTTRの観点から言えば、長い時間がかかってしまう。

　3つ目の選択肢は、このシステムに自動応答時と同様の手順を踏ませるが、実際に処理を行う前に、人手による承認を求めるようにすることである。

　これらの応答の選択肢は、アラートの種類や、企業の対処能力に応じて選ぶべきである。

　また、これらの選択肢を取ることで、セキュリティチームがインシデントに対する標準的な対処方法を構築する手助けとなる。最終的には詳細なワークフロー管理が可能となるだろう。自動化を標準化する、ということは、インシデントが起きた場合に、定められた流れにそってイベントを起こしていくことを意味する。インシデントに対する応答のプロセスがより円滑になるということである。多くのシステムでは、企業のチケット発行管理システムに基づく応答内容から事例が作成されることになる。

　利用中のシステムによっては、特定の要素を収集し、その処理を自動化する必要がある場合もある。このプロセスは、もし人為的なミスを無くせるのであれば、データの整合性維持に役立つだろう。

　例えば、エンドポイントにおいてイベントが検知された場合、システムはこのプロセスの一環として処理をする。サイバー犯罪捜査用にメモリのキャプチャーを取ったり、ファイアウォールまたはネットワークへのアクセスを制御する製品を介して、システムをネットワークから隔離したり、運用チームに通知したりする。これら全てを自動化できれば、システムが独立した処理によって支援を行える。SAOを活用することで、企業は現在のセキュリティ投資している金額よりも多くの付加価値が得られるだろう。

SAOでセキュリティアナリスト人材が不要に？

　多くのベンダーは、それぞれの製品が新人レベル（エントリーレベル）のセキュリティアナリスト人材に取って代わる、としている。

　私見では、SAOがセキュリティアナリストに取り替わることはなく、むしろセキュリティアナリストが現在の役割をこなす補助になると考えている。現在、ベンダーは従来手法でセキュリティアナリスト業務に集中的に取り組んでいるが、決してSAOによってこの業界を完全に無人化できるわけではない。SAOは、既にセキュリティ業界に身を置いている人が能力を向上させ、より巧みに防御や検知ができるようになり、また、エントリーレベルの社員が脅威をより良く理解する助けとなる。

　私は、さまざまな面からSAOへの取り組みはSIEMの進化やセキュリティアナリストの代用ではなく、業界の進歩として考えている。

　SAOは、セキュリティ業界において話題となっているが、一過性ではなくこの技術が運用チームの業務をより簡単なものにし、企業が被るリスクを抑えられるようにする、というある種のトレンドに沿って進んでほしい、と期待している。