ラピッドセブンの統合型クラウドSIEM「InsightIDR」はCSF要件を満たすか
本田：実際のセキュリティ製品について考えていこうと思います。古くはIDSやIPSにはじまり、機械学習を活用したネットワーク型検知製品、エンドポイント向けのEDR、さらにSIEMもあります。ただし運用担当者の監視が追いつかず、アラートが発生しても多すぎてスルーしてしまう現場もあります。これでは宝の持ち腐れです。
西尾：それでは検知と対応になりませんね。
本田：弊社ではセキュリティのリスク管理や運用の効率化に注力しています。脅威の検知や対応ですと、統合型クラウドSIEMの「InsightIDR」に複数の技術を統合し、端末やユーザーの行動分析を行います。
西尾：どんなところに独自性がありますか？
本田：「端末」や「ユーザー」という視点だけでなく、攻撃者の視点で脅威の分析を行うところです。Metasploitに代表される弊社が運営するコミュニティやセキュリティの研究、グローバルで提供するMDR (マネージド ディテクション & レスポンス) サービスから得られる弊社の知見に加え、セキュリティ業界で浸透しつつあるMITRE ATT&CKフレームワーク（攻撃者の攻撃手法や戦術を分析したナレッジベース）に沿った検出技術を提供しています。
西尾：クラウドを利用している環境についてはどうでしょうか。
本田：現在多くの企業でクラウドへの移行が進んでいますが、その多くはオンプレミスを併用するハイブリッドクラウドです。在宅勤務の増加でリモートワークも増え、リモートからクラウドサービスを使うことも増えています。かつてのように「企業内だけ守っていればいい」わけではありません。
企業ネットワーク、クラウド、リモートワークなど環境が多様化し、それぞれにセキュリティ対策を施しているものの、全体を包括的かつシームレスに監視できていないのが課題だと思います。その点、InsightIDRでは複数の環境に渡り、スムーズに脅威の分析を提供できていると考えています。
西尾：検知はリアルタイムでできていますか？
本田：近年では「Dwell Time」や「MTTD（Mean Time to Detect）」など、侵入を検知するまでの時間が注目されています。InsightIDRではこれまで述べてきた通り、複数の技術を統合しています。検知につながる点と点を線でとらえる仕組みがあり、短時間で効果的に検知できるようになっています。
加えて低コストで提供できるのも強みです。いくら高度な機能を保有していたとしても、大型のアプライアンスを何台も導入するとなると、工数も運用コストもかかってしまいます。InsightIDRはクラウド型なので導入の時間やコストを低く抑えられるのが強みです。
西尾：対応はどうですか？
本田：現実的には、人や組織・プロセスで対処すべきこともありますが、ツールで解決できる部分もあります。CSFの「対応」の中には「分析」カテゴリがありますが、インシデント発生時の調査や封じ込めといった部分は機械の力で自動化できます。
InsightIDRでは封じ込めとして、端末を隔離したり、Active Directoryで特定のユーザーを無効化することができます。インシデント「検知」から初動の「対応」までスムーズに行えて、単一の製品に組み込まれているのが強みです。
西尾：かつて「金で買える責任があるなら、買ってしまえ」という言葉を聞いたことがあり、すごく嫌いでした。任務を外部に委託すれば、自分たちで責任を抱えなくて済むというニュアンスです。この言葉はいまだに嫌いですが、セキュリティに関しては通用すると考えています。SOCのように外部に委託できて、月々のコストが釣り合うなら成り立つと思うのです。
本田：はい、製品に運用の内製化をスムーズに支援する機能が統合されていても、外部に委託したいお客さまが多いのが実情です。
そのため、InsightIDRをベースにしたマネージドサービス「Rapid7 MDR」のようなプロフェッショナルにアウトソース／委託して頂き、一定時間をかけてそのノウハウを吸収しお客さま自身のものにして頂く日が来ること、やがてこのようなサービスがなくてもインシデント対応・セキュリティ運用が内製でできる組織が増えていくことを期待しています。
