脅威インテリジェンスによるインシデント対応業務の効率化

優れた、十分に準備されたインシデント対応計画は、サイバーセキュリティインシデントに対する構造化されたアプローチを可能にするため、組織にとって極めて重要です。今日では、セキュリティインシデントの影響を受けるかどうかという問題はもはや意味を持たず、将来のインシデントに適切に対処する準備ができているかどうかという問題に取って代わられています。

Threat Huntingに関する以前の記事では、SOCチームが潜在的な脅威に先手を打つために使用する高度な手法について探求しました。今回の記事では、一歩下がってインシデントレスポンダーの基本的な責任について説明し、脅威インテリジェンスを組み込むことで、より強固なサイバーセキュリティ体制のためにインシデント対応業務をいかに強化・効率化できるかについて深く掘り下げます。

インシデント対応とは

インシデント対応とは、組織がサイバーセキュリティインシデントを識別、管理し、その影響を軽減するために使用する体系的なアプローチと手順です。これらのインシデントは、データ侵害やマルウェア感染から、フィッシング攻撃やシステムへの不正アクセスまで多岐にわたります。インシデント対応の目標は、被害を制限し、復旧時間とコストを削減し、将来のインシデントを防止するために状況を管理することです。

この活動は主にCSIRT(Computer Security Incident Response Team)内のインシデントレスポンダーが担当し、Tier 1からTier 3のSOCアナリスト、セキュリティエンジニア、管理者など、さまざまな役割で構成されることがあります。

インシデントレスポンダーは通常、あらゆる種類のインシデントに対処するために、「1+7ステップ」手法(「ドラムロール」とも呼ばれる)として知られる構造化されたプロセスに従います。

インシデント対応の「1+7ステップ」手法

1. 準備:あらゆるセキュリティインシデントに効果的に対応できるように組織を準備する。

• インシデント対応計画を策定し、維持する。
• インシデント対応チームを構築し、訓練する。

2. 検知:潜在的なセキュリティインシデントを迅速に識別し、確認する。

• ネットワーク、システム、アプリケーションを監視して潜在的なインシデントを識別する。
• インシデントの重大度と影響に基づいて検証し、分類する。

3. 対応:識別されたインシデントに対処するための即座の行動を取る。

• インシデント対応チームと初期対応手順を起動し、さらなる分析と潜在的な法的措置のための証拠を保全しながらインシデントを封じ込める
• インシデントの範囲と影響を評価する。

4. 軽減:被害を制限し、インシデントによるさらなる影響を防止する

• 被害を最小限に抑えるための封じ込め戦略を実施する(例:影響を受けたシステムを隔離する)。
• 短期的および長期的な封じ込め措置が講じられていることを確認する。

5. 報告:インシデントの詳細を文書化し、伝達する。

• タイムライン、影響、対応措置を含む詳細なインシデントレポートを、経営陣、影響を受けた関係者、および必要に応じて規制機関などの利害関係者向けに準備する。
• コンプライアンスと将来の参照のために記録を保持する。

6. 復旧:通常運用を復元し、システムが安全に機能していることを確認する。

• クリーンなバックアップからシステムとデータを復元し、すべてのシステムが正常かつ安全に動作していることを確認する。
• すべての問題が解決されていることを確認するため、残留脅威や新たな脅威の兆候がないかシステムを監視する。

7. 修復:将来同様のインシデントを防止するために根本原因に対処する。

• インシデントの根本原因を特定し、除去する。
• 追加のセキュリティ対策を実装し、再発を防止するためにセキュリティポリシーと手順を更新する。

8. 教訓:インシデント対応プロセスと全体的なセキュリティ態勢を改善する。

• インシデント対応チームと利害関係者によるインシデント後のレビューを通じて、成功点と改善点を識別する。
• 得られた知見に基づいて、インシデント対応計画、ポリシー、手順を更新する。

CTIはインシデント対応にどのように適合するか

Cyber Threat Intelligence (CTI)は、インシデント対応プロセスの各フェーズに統合され、サイバーセキュリティインシデントの検知、対応、復旧における組織の能力を強化します。CTIは最終的に組織の全体的なセキュリティ態勢を強化します。

CTIがインシデント対応のステップにどのように適合するかをご紹介します。

準備のより詳細な範囲の定義

CTIは、現在の脅威、敵対者が使用する戦術、技術、手順(TTP)に関する情報を提供します。組織のコンテキストに関連する最新の脅威環境を理解することで、インシデント対応計画をより正確にし、対応チームは正確なシミュレーション演習を実施できます。

検知の改善

CTIは、検知エンジン(E-X-N/DR、SIEM、FW、IDS/IPSなど)にとって不可欠な燃料である侵害指標(IOC)と潜在的な脅威指標を提供します。高品質の脅威インテリジェンスフィードは、セキュリティイベントの監視と検知を改善し、CTIデータと内部ログを相関させることで潜在的なインシデントの識別を支援します。

対応アクションの優先順位付け

CTIは、脅威アクターの動機と目的に関するコンテキストを提供し、インシデントレスポンダーが対応の取り組みに優先順位を付け、リソースをより効果的に割り当てることを可能にします。

軽減の指針

CTIを使用することで、インシデントレスポンダーは脅威の潜在的な影響と拡散を理解し、最適な封じ込め方法の識別を支援できます。

復旧の強化

CTIは、インシデントに関連するIOCが対処されたことを検証することで、復旧フェーズ中およびその後にシステムが安全であることを保証します。また、復旧後の持続的な脅威の監視も支援します。

修復の支援

CTIは、インシデントの根本原因の特定と対処を支援します。敵対者の手法を理解することで、長期的な修正を実装し、脆弱性を除去し、セキュリティ管理を改善できます。

報告と教訓の充実

インシデントレポートにCTIを含めることで、脅威の包括的な理解が得られ、インシデントの性質と影響について利害関係者に情報を提供します。CTIをより広範なセキュリティコミュニティと共有することは、集団的な防衛努力をサポートし、規制報告要件へのコンプライアンスを支援します。

インシデント対応にOpenCTIを効果的に使用する方法

準備

OpenCTIは、すべてのセクターと地域における脅威インテリジェンスにとって価値があります。セキュリティレポートとダッシュボードは、組織のコンテキスト(業界、所在地、サプライチェーンなど)における最新のトレンドを追跡するための重要な指標を提供し、最も関連性の高い脅威に備えたカスタマイズされたインシデント対応計画を可能にします。

OpenCTIダッシュボード

検知:効率的なIOC共有とイベント調査

セキュリティイベントの検知とトリアージは、それ自体が独自の記事に値する複雑なトピックですが、ここで簡単に概要を説明します。

Cyber Threat Intelligence (CTI)を使用した検知の改善は、検知ツール(FW、IPS、NDR、EDR、XDR、SIEMなど)に高品質の指標を供給することから始まります。これは、あらゆるThreat Intelligence Platformの中核機能です。さまざまなプロバイダーから指標を収集し、統合、標準化、処理することで、特定のコンテキストに関連する指標をフィルタリングできます。コンテキストは組織によって異なりますが、一般的には業界セクター、所在地、組織自体とそのサプライヤーなどの要因が含まれます。組織のコンテキストに関連する指標をマッチングすることで、膨大な数の指標(多くの場合数百万)を、検知ツールが取り込める管理可能な量(数千または数十万)に削減できるという大きな利点が得られ、また誤検知も減少します。

OpenCTIは、広範な指標管理機能と、より重要なこととして、自動化プレイブックを提供することでこれを促進します。プレイブックの目的は、アナリストやセキュリティオペレーターを面倒で反復的かつ時間のかかるタスク(データのラベル付け、エンリッチ、割り当て、取り消しなど)から解放し、インシデント調査などのより高付加価値の活動に集中できるようにすることです。

OpenCTIの自動化プレイブック

対応

OpenCTIは、内部セキュリティツール(FW、IPS、NDR、EDR、XDR、SIEMなど)からのセキュリティイベントを含む内部脅威インテリジェンスの取り込みを可能にし、内部インテリジェンスと外部データを相関させます。この相関は、トリアージ、優先順位付け、調査を大幅に支援します。

生成されたセキュリティイベントは、イベント>インシデントセクションに表示されます。

セキュリティインシデント概要

セキュリティインシデントビューは、セキュリティツールによって共有されたセキュリティイベントの脅威インテリジェンスの視点を提供します。インシデントページから直接作業することも可能ですが、徹底的な分析を行うためにインシデント対応ケースを作成することをお勧めします。

インシデントビュー

IRケースにより、正しいプロセスが守られ、適切なタスクが適切なチームメンバーに割り当てられることを保証するために、より良いコラボレーションとワークフローオプションが可能になります。さらに、単一のIRケースで複数の関連インシデントからのデータを一元化し、状況のより包括的な概要を提供できます。

OpenCTIのすべての調査ツールがここで役立ちます。

タクティクスマトリックスビュー

これにより、タクティクスフレームワークにおける手法がハイライトされ、配置されます

タクティクスマトリックスビュー

相関ビュー:

これにより、このインシデントが他の類似のインシデントにリンクできるかどうかが示されます。例えば、ホストfiligran-host1.frが同じエンティティを含む2つのインシデントに関与していることがわかります

相関ビュー

調査ビュー:

ピボット機能により、近隣の関係を簡単に閲覧し、次のことをハイライトできます。

• ハッシュファイル(またはイベントで報告されたその他の要素)にリンクされた指標
• 指標によって示されたマルウェア
• この攻撃に帰属する可能性のある脅威アクター
• この攻撃に言及している可能性のあるセキュリティレポート
• 利用された手法や攻撃パターン(TTP)
• 悪用された脆弱性やツール

調査

この情報を手にすることで、次のことを定義できるようになります。

• インシデントの重大度(どれほど深刻か?)
• 攻撃の背後にいる脅威アクター(彼らは誰か?)、彼らの手法(次の動きは何か?)、彼らの動機(何を求めているか?)

インシデントへの対応、軽減、復旧、修復は、インシデントの背後にいるのが誰で、何を求めており、どのように動作しているかを理解すれば、はるかに簡単になります

今後の使用のために識別された指標を保存し、協調的なサイバー防衛のために業界の仲間と共有することを忘れないでください。これは、すべての指標やオブザーバブルを選択し、専用のフラグでラベル付けすることで手動で行えます。ただし、IRケースが完了としてマークされたときに自動的に処理するプレイブックを通じて自動化することもできます。

ラベル付けと保存の自動化

報告

しばしば面倒なタスクと考えられている報告ですが、askAIの助けを借りて効率化できます。askAIはOpenCTIの視点からインシデントを要約するのに役立ちます。ただし、この要約は、OpenCTIで利用できない追加情報と、インシデントレスポンダーの洞察やコメントで補完する必要があります。

AIにレポートを生成してもらう

結論

インシデント対応は、あらゆるセキュリティポリシーの重要な構成要素です。堅牢なIR計画により、組織が攻撃に効果的に対応し、影響を最小限に抑えながらできるだけ早く復旧できることが保証されます。ただし、計画がどれほど優れていても、特に困難な(または壊滅的な)状況下では、厳格さと規律をもって実行する必要があります。

OpenCTIはインシデントレスポンダーにとって優れたツールですか?

間違いありません!OpenCTIは、インシデント対応計画の準備中に貴重な洞察を提供するだけでなく、重大でストレスの多いイベント中のインシデントレスポンダーのガイドとしても機能します。暗闇の中で苦労する代わりに、インシデントレスポンダーは、攻撃の背後にいるのが誰で、どのように動作しており、何を求めているかを迅速に判断できます。

冷静さを保ち、次のアクションを計画しましょう!

コメント、質問、フィードバックがありましたら、slackでお問い合わせください!