ネットワークの脅威レーダーで見えない攻撃を発見
サイバー攻撃は、日常のトラフィックパターンに紛れながら、ひそかに進行することがあります。ネットワークを守るには、問題発生後に素早く対応することだけではなく、まずは問題を早期に検出することが重要となります。
ManageEngine NetFlow Analyzerのセキュリティ分析機能は、よりスマートで直感的なネットワーク監視とセキュリティ強化の手段を提供します。未加工のトラフィックデータを実用的な情報に変換することで、ネットワーク自身が絶え間ない監視役として機能できるよう支援します。ルールエンジンと機械学習の連携、そしてMITRE ATT&CKの手法・戦術とのマッピングにより、被害が発生する前に高度な脅威を特定できるようになります。
詳細なセキュリティとコンテキストを提供
NetFlow Analyzerのセキュリティ分析は、フローデータを利用してエージェントレスで異常を検出し、リスクを評価し、脅威に優先順位を付けます。適応的な挙動学習、コンテキストに基づくスコアリング、業界標準の脅威マッピングを取り入れ、従来の監視から更に一歩踏み込んだセキュリティを提供します。
本機能の特長の一つは、アセットベースのアプローチです。セキュリティ分析は、変動するIPアドレスではなくDHCP経由で取得したホスト名とMACアドレスを利用してネットワークデバイスを識別し、IPアドレスが変わっても資産を継続的に識別・追跡できるようにします。これにより、監視対象のすべてのアクティビティで一貫したコンテキストが確保されます。
各資産の学習フェーズを経て、機械学習モデルが挙動のベースラインを構築します。ルールエンジンを活用して、使用パターンや通信フローを分析します。分析を継続することでしきい値を最適化することで、誤検知を削減し、問題となる異常な挙動のみを浮かび上がらせます。
リアルタイムの異常検出
セキュリティ分析機能では、静的なしきい値による判断だけでなく、コンテキストを踏まえた分析情報を提供することで、意味のある通知を発報します。
例えば、通常はHTTPSアプリケーションを100MB程度しか使用しない資産が、突然1GBを超える通信を行った場合、システムは数値だけに基づいてフラグを立てることはありません。むしろ、逸脱の重大度とネットワーク全体のコンテキストを考慮してイベントスコアを付与します。このスコアは時間とともに変化し、すぐに対応が必要な脅威の優先順位付けに役立ちます。
イベントはMITRE ATT&CKフレームワークとの連携によって強化され、検出された各異常は既知の攻撃手法にマッピングされます。これにより、運用チームは何が起きたかだけでなく、なぜ重要なのかについての分析情報も得ることができます。
イベントスコアリングでは、関与する攻撃者の数、ルールの重大度、異常の大きさ、イベントの新しさが考慮されるため、過去のノイズではなく現在進行中の脅威に集中できます。
NetFlow Analyzerのセキュリティタブでは、脅威に関連するすべてのアクティビティを確認できます。イベントは時間帯、手法グループ、アセットごとに探索できます。サーバー側でのソートにより可視性が向上し、選択したイベントをCSV形式で書き出してレポート作成や調査に利用することも可能です。イベントの詳細には、攻撃者と被害者、ルール違反、重大度スコア、MITREマッピング、さらには関与した具体的なトラフィックを含み、各インシデントの情報や傾向をより正確に把握できます。
セキュリティ分析でデータ流出を検知
例えば、ある組織において、侵害されたエンドポイントがオフピーク時間帯にわずかな量の機密データを流出させ始めたとします。
従来のセキュリティツールでは、この挙動があまりにも小さく、シグネチャーにも一致せず、ファイアウォールも作動しないため、見逃されてしまいます。しかし、NetFlow Analyzerのセキュリティ分析は、資産の通常の挙動からの逸脱を認識し、それをMITREにおける既知の戦術にマッピングして、優先度の高いイベントを生成します。NetFlow Analyzerのこの情報を用いて、セキュリティチームによる早期の対応と、深刻な情報漏洩の未然防止を支援します。既存のフローデータを活用し、先回りした脅威検出を実現します。
NetFlow Analyzerのセキュリティ分析の概要
セキュリティ分析機能で実現可能な事項は以下の通りです。NetFlow Analyzerでは、単にイベントを検出することに留まらず、関連性が高く、タイムリーで、実行可能なインテリジェンスを提供します。
- フローベースで機械学習駆動の分析により、脅威を早期に検出
- 誰が、何を、どこで、どのように行ったかという完全なコンテキストのもとでインシデントを把握
- 適応型学習によりノイズと誤検知を削減
- 動的なイベントスコアリングと時間加重の重大度により、実際のリスクに優先順位付け
- MITRE ATT&CKフレームワークを利用して、脅威を現実の戦術にマッピング
- 一時的なIPアドレスではなく、継続的な資産識別子を使用してデバイスを正確に追跡
※セキュリティ機能を利用する場合は、セキュリティ機能有効化のシステム要件に準拠している必要があります。詳細はセキュリティ分析機能の有効化方法のヘルプページをご覧ください。