Kaspersky Ask the Analyst：セキュリティアナリストにアドバイスをもらう方法

Kaspersky のエキスパートは、SOC担当者や情報セキュリティ担当者から助けを求められることがしばしばです。私たちは、どういった理由からのリクエストが多いのかを分析し、お客様が必要とする分野の専門家に直接質問できる専門サービスを立ち上げました。

専門家の支援が必要な理由

サイバー攻撃の脅威は高まり続けています。サイバー犯罪者は目的達成の方法をこれまで以上に模索するようになり、アプリケーション、サーバー、VPNゲートウェイ、OSなどに新たなハードウェアおよびソフトウェアの脆弱性を発見すれば、直ちにこれを武器として使用します。日々何十万ものマルウェア検体が新たに出現し、大手企業や政府機関を含むさまざまな組織がランサムウェア攻撃の被害を受けています。また、新たな高度な脅威やAPTキャンペーンも、定期的に発見されています。

こうした状況では、脅威インテリジェンスが重要な役割を果たします。攻撃者のツールや戦術に関するタイムリーな情報があってこそ、適切な保護システムを構築することができ、インシデントが発生した際に効果的な調査を行い、ネットワーク内の侵入者を検知して追い出し、最初の攻撃経路を特定して攻撃の繰り返しを防ぐことができます。

脅威インテリジェンスを組織に適用するには、提供された脅威インテリジェンスデータを実際に活用できる、適格な社内スペシャリストが必要です。それ故に、こうしたスペシャリストは脅威の調査において最も貴重な人材であるのですが、サイバーセキュリティアナリストの雇用、トレーニング、維持には費用がかかるため、すべての企業が専門家チームを維持できるわけではありません。

よくある質問

Kasperskyには、お客様のサイバーインシデント対応を支援する部署がいくつかあります。具体的には、グローバル調査分析チーム（Global Research and Analysis Team：GReAT）、グローバル緊急対応チーム（Global Emergency Response Team：GERT）、脅威調査チーム（Threat Research Team）が対応に当たります。併せて250人以上の世界的なアナリストや専門家から成る集団です。彼らの元には、サイバー脅威に関するリクエストがお客様から数多く寄せられます。最近の依頼内容を分析したところ、以下のようなカテゴリーがあることが分かりました。

マルウェアまたは疑わしいソフトウェアの解析

頻度が高いのは、エンドポイントセキュリティの検知ロジックまたは脅威ハンティングのルールがトリガーされるシナリオです。企業のセキュリティサービスまたはSOCがアラートを調査し、悪意あるオブジェクトまたは疑わしいオブジェクトを発見しますが、詳細な調査を行うためのリソースが不足しています。そこで、検知されたオブジェクトの機能と危険性の見極めや、オブジェクトを除去した後にインシデントを確実に解消する方法について、当社エキスパートへ問い合わせが来ます。

当社のエキスパートは、お客様から提供されたものをすぐに特定できれば（当社では一般的な攻撃ツールに関する巨大なナレッジベースと、ユニーク数にして億単位のマルウェア検体を所持しています）、直ちに回答します。そうでない場合は、当社アナリストによる調査が必要であり、複雑な事例では時間がかかる可能性があります。

侵害の痕跡に関する追加情報

ほとんどの企業は、侵害の痕跡（IoC）としてさまざまな情報源を活用します。IoCの価値は、背景情報（痕跡とその重要性に関する追加情報）が得られるかどうかに大きく左右されます。しかし、背景情報が常に得られるとはかぎりません。例えば、SIEMシステム内で特定のIoCを見つけたSOCアナリストは、トリガーの存在を見つけてインシデントの可能性に気付くかもしれませんが、さらに調査を進めるための情報がなかったりします。

このような場合、検知されたIoCに関する情報のリクエストが当社に対して行われるのですが、こういったIoCは多くのケースで興味深いものと判明します。例えば、ある会社のトラフィックフィード（企業ネットワーク内からのアクセス）内に見つかったIPアドレスを受け取ったことがあります。そのアドレスにホストされていたものの中に、「Cobalt Strike」と呼ばれるソフトウェア管理サーバーがありました。Cobalt Strikeは、さまざまなサイバー犯罪に利用される強力なリモート管理ツール（シンプルな言い方をすると「バックドア」）です。これが見つかったということは、その企業がすでに攻撃を受けていること（現実の攻撃か訓練かは別として）はほぼ確実です。当社エキスパートは、このツールに関する追加情報を提供し、インシデント対応を直ちに開始して脅威の無害化とセキュリティ侵害の根本原因の追求を行うことを推奨しました。

戦術、技術、手順（TTP）に関するデータのリクエスト

攻撃の阻止またはインシデントの調査に必要なのは、IoCだけではありません。攻撃の背後にいるサイバー犯罪者グループを特定した後、SOCアナリストは、そのグループの戦術、技術、手順（Tactics, Techniques and Procedures：TTP）に関するデータを必要とします。攻撃者がどこからどのようにインフラ内へ侵入したのかを特定するには、攻撃グループの手口の詳細や攻撃者がネットワーク内に定着するためによく使う手法、データを密かに取り出す方法などの情報が必要です。こうした情報は、当社の脅威インテリジェンスレポートの一環として提供しています。

サイバー犯罪者の手法は、同一グループ内でも非常に多様であり、非常に詳細な報告書であっても、考え得るすべての手法を説明することは不可能です。したがって、当社のAPTレポートおよびクライムウェア脅威レポートを活用いただいているお客様からは、お客様に関連する特定の文脈における攻撃手法の特定の側面について、追加情報を求められることがあります。

当社ではこれまで、特別なサービスを通じて、またはテクニカルサポートの限られた枠組みの中で、そうした回答を提供してきました。しかし、リクエストの数が増えてきたことと、調査ユニットの専門技能および知識の価値を鑑み、専用のサービス「Kaspersky Ask the Analyst」を立ち上げることにしました。