データがセキュリティ対策に生かしきれていない企業の現実
サイバー攻撃は年々継続的に増加している。2014年には攻撃対象が日本と特定できたものだけでも前年度の倍となる128.8億回の攻撃を受けた。近年ではオンラインバンキングを狙うマルウェアや標的型攻撃で被害が増加しており、昨年はPOSシステムを狙う攻撃で被害が急増した。内部不正も頭の痛い課題である。
企業の財産を脅威から保護するため、またコンプライアンスの必要性もあり、多くの企業がファイアウォールやアンチウィルスなどセキュリティ製品を導入している。多種多様な機器、ソフトウェアやツールがあり、セキュリティ機器が扱うデータは増えるばかりだ。
▲日本IBM セキュリティ・ソフトウェア事業部
テクニカルセールス＆ソリューションズ
中田 尚志氏
「あまりの量にデータが塩漬け状態となっているのが実情ではないでしょうか。ただログを溜めていても、瞬時に解析しないと意味がありません」と日本IBM セキュリティ・ソフトウェア事業部 テクニカルセールス＆ソリューションズ 中田尚志氏は断言する。何か問題が起きれば検索や分析をするものの、データが生かしきれていないということだ。
サイバー攻撃は年々高度化かつ多様化しているため、攻撃を完全に回避するための万能薬はない。「攻撃は常にどこかで受けている」ことを前提に、早期の検知に重点がおかれている。いかに素早く攻撃を検知し、必要な対策をとるかが被害を最小限に抑えるために重要な鍵となる。
最近ではログ収集から一歩進んだSIEM（Security Information and Event Management）製品が普及してきている。セキュリティ情報とイベント管理を組み合わせた製品だ。特定のイベントが発生したらアラートで通知し、イベントの相関を示したレポートを作成する。いわば監視とレポート作成支援のためのツールだ。
高い”インテリジェンス”を備えた次世代SIEM、「IBM QRadar」の持つ技術力
IBM QRadarはこうしたSIEMに”インテリジェンス”を加えた製品だ。これまでのSIEMと違う点は、セキュリティイベントに加えてネットワークのトラフィックのフロー情報を解析して、自動的に正規化、分析することだ。複数のイベントの組み合わせで危険度を総合的に判断し、より深い相関分析を実現する。QRadarの特徴としては豊富な解析ルールがあらかじめ提供されていること、リアルタイム性、解析の自動化が挙げられる。
350種類のデフォルトルール、1000種類以上の検索パターンとレポートを提供
一般的にセキュリティ機器を運用するとき、監視のための解析ルールは運用現場のポリシーや実情に合わせて独自に作成する必要がある。その点、QRadarは多くの解析ルールをテンプレートとして提供している。「QRadarは業界では最も多くのテンプレートを提供しています。お客様の70％がこのテンプレートを利用、あるいは活用しておいでです」と中田氏は言う。2015年3月の時点ではすでに350種類のデフォルトルールと1000種類以上の検索パターンとレポートがあり、今後も継続的にアップデート予定だ。
例えばイベントならセキュリティカテゴリー毎の分布やログ・ソース毎の分布、ファイアウォールの拒否/許可なら送信元/宛先のIP/ポート別などで検索できる。また検知対象範囲をセキュリティイベントとプロキシ連携からネットワーク・ペイロードなどフェーズに分けて順次拡張することが可能だ。検出できるアラートの種類が豊富なのもQRadarの優位点となる。
オフェンスAPIを利用することで、インシデント管理ツールとの双方向で連携
脅威を検出したら即座にアラートを発するため、素早く調査や対処にとりかかれる。危機管理の観点からするとリアルタイム性は非常に重要だ。日次や週次など定期的な解析運用では、対処が遅れてしまう。わずかな兆候でも即座に検知できれば、攻撃で生じる被害を極小化することができる。
QRadarのアラート通知機能はsyslog、SNMP、メールなど汎用（はんよう）的なインターフェースのほか、オフェンスAPIを利用することでインシデント管理ツールとの双方向連携がはかれるようになっている。インシデントの内容と重要性に応じて通知する担当者をきめ細かく設定できる。インシデントの発生から、QRadarの調査、担当者アサイン、クローズまでトータルに対応できる。
大量のログデータを横断的に自動解析――瞬時にデータの意味づけを行い、データを正規化
多種多様なセキュリティ機器を導入していると、1日に生じるログやイベントデータは何十万件にも及ぶことになる。この量だけでも脅威を探し出すのは至難の業である。解析ルールを巧みに設けても、新たな脅威ではすり抜けられてしまうこともある。また複数のデータを組み合わせてみないと異常と検知できないものもある。
「QRadarの解析ルールはFirewall、Proxy、認証、IPS、アンチウィルスなど多様なデバイスからの情報を統合的に解析できるようになっており、人手では不可能な解析を瞬時に行えます」（中田氏）
データの意味づけを行い、データを正規化して解析を行う仕組みになっている。解析の生産性を高めることができると、運用コスト削減にも役立つ。
次世代のインテリジェンスを搭載して「マグニチュード」で示す
本当に危険な兆候というのは一定の経験やノウハウを持つ専門家でないと検知は難しいとされてきた。複数のデータを横断的に集約し、通常では起こりえない異常を見つけ出して判断しないとならないからだ。単純にブラックリストに合致するかどうかだけではすまない。
「ブラックリストの情報は1時間おきに変わります。社内の人間がマルウェアに感染したから調べてほしいと、1ケ月前のURLやIPの情報をいただいても意味がありません。その時点でのブラックリストで調べないとダメなのです」（中田氏）
QRadarはSIEMに加えて、高度なセキュリティーインテリジェンスも持ち合わせている。民間では最大級となるセキュリティ研究機関となるIBM X-Forceからの最新の脅威情報を取得し、検出したイベントの相関分析解析を行う。
セキュリティイベント（アカウントの不正使用、脆弱性をついた攻撃、ウィルス/マルウェアの検知など）と、ネットワークトラフィック監視（ベースラインからの逸脱〔通常とは異なる振る舞い〕、ポリシー違反、セキュリティ機器を回避する攻撃など）を組み合わせることで不審なインシデントをいぶりだす。
さらにQRadarらしい特徴となるのが脅威を「マグニチュード」で示すところだ。脅威のインパクトを総合的に評価し「マグニチュード」という単一の指標で数値化する。
「QRadarの自動化の機能に、すべてのセキュリティ機器毎のイベント情報から、危険性の情報を全部マッピングするデータベースを持っています。このデータベースが様々な指標値で判断して、重み付けを行い、マグニチュードが決められます」（中田氏）
マグニチュードはセキュリティの高度な知識がなくてもインシデントがどれだけ致命的なのかを直感的に判断できる。企業として決断を下すべき立場に「結局のところ、今はどのくらい危機的な状況なのか？」を伝えるのに有用だろう。
QFlowで不審な通信をドリルダウンで詳細まで分析
また、インシデントを詳細に分析しようとすると、担当者は往々にして生のパケットまで見て調査する必要がある。生パケットまで見るとなると、けっこうな手間だ。
「QRadarのQFlowを用いれば、ダッシュボード画面からドリルダウンして通信のペイロード情報を調査することができます」（中田氏）
例えばQRadarではマルウェア感染によるビーコン通信の可能性があるトラフィックをダッシュボードに設定して監視することができる。ネットワーク・アクティビティグラフでは通信の時間帯や頻度、宛先IPから発信先の国が割り出され、通信の内容やペイロードなどの詳細を確認できる。
HTTP通信を装いながらも通信量が異様に小さい、ヘッダがHTTPの要件を満たしていない、片方向のみのTCP通信を行うものであれば、マルウェア感染によるビーコン通信の典型的な特徴となる。QFlowではオフェンスの詳細を検知したルールと照らし合わせながら確認することができる。攻撃の裏付けができるというわけだ。
「デプロイ期間が短い」「より多くのアノマリ異常を検出できる」「誤検知が減った」など顧客から高い評価
QRadarはベース製品とオプションから構成されている。ベース製品に含まれるのがログマネージャーとSIEMの相関分析だ。
オプションではモニタリングやフォレンジックに役立つツールが各種用意されている。フロー収集には「QFlow Collector」、リスク管理には「QRadar Risk Manager」、脆弱性の可視化には「QRadar Vulnerability Manager」、インシデントフォレンジクスには「QRadar Incident Forensics」という具合だ。セキュリティ監視に必要なものがワンコンポーネントでまとまっている。
システムコンポーネントとしてはイベントログ情報の収集は「Event Processor」、ネットワーク情報はQFlow CollectorとFlow Processorがあり、加えて「Console」からなる。規模に応じていくつかのモデルが用意されており、QRadar各コンポーネントを1台にまとめたオールインワンアプライアンスもある。スモールスタートできてスケールアウトが可能となっている。
さらにQRadarだと早期導入が可能となる点も優位な特徴だ。一般的にSIEM製品で運用を開始するまでには、コンサルタントが企業の方針や状況に合わせてルールをほぼ手作りすることになる。ログの選定から始まり、相関ルールの検討からルールの設計、作成、検証などを経てようやく運用開始にこぎつける。これらは必要な行程とはいえ、この期間にコンサルティング費用がかかることを忘れてはならない。
「SIEMの実装にかかる平均期間で比べると、従来型のSIEMでは15.5か月かかるところ、QRadarでは5.5か月と圧倒的に短い。QRadarでは相関ルールの検討から検証までがテンプレートを利用することで凝縮できます」（中田氏）
導入までの時間を短くできるということは、コンサルタント費用をその分圧縮できる。だから導入までのコスト削減につながるというわけだ。実際にQRadarを導入した顧客からは「デプロイ期間が短い」のほか、「より多くのアノマリ異常を検出できる」、「誤検知が減った」などの評価が寄せられているという。
ある事例では、継続して発生している不正な攻撃をセキュリティ機器によりブロックできていたものの、発信源を突き止められず放置していたそうだ。QRadarを導入することで原因を特定できて、発信源からの攻撃を遮断することに成功した。「被害を食い止められていた」という点ではQRadar導入以前と変わりないが、放置するか遮断できるかは大きな違いだ。QRadarならより高度なセキュリティ監視が実現できる。
中田氏は「QRadarはあくまでも運用の労力を減らすためのツールです」と念を押す。導入すれば攻撃を防げるというものではない。イベント監視や分析の効率性を高めるためのものだ。セキュリティ機器をすでに複数導入していてログを取得していつつも、データ分析やルール作成に手間がかかりデータを生かしきれてない現場であれば、QRadarの持つ高い技術力で、セキュリティ運用担当者の業務効率を飛躍的に高めることができるはずだ。
