EDR、IAM、CASB、クラウド・ポスチャー・ツールを導入しているにもかかわらず、攻撃者はまだすり抜けようとしている。
なぜか？あなたのスタックは予防のために構築されたものであり、 ハイブリッド環境全体でリアルタイムに検出するための ものではないからだ。
データセンター、キャンパス、リモートワーク、アイデンティティ、クラウド、IoT/OT環境など、インフラが拡大するにつれ、ツールはサイロ化され、攻撃者が今日どのように活動しているのかが見えなくなっている。
彼らはもはやソフトウェアを悪用するのではなく、 コントロールの隙を突いてくるのだ。
それぞれのツールは役割を担っている。しかし、クラウド・コントロール・プレーン、統合されたアイデンティティ、東西トラフィックなど、これらのツールを併用すると盲点が生じる。本書では、これらの盲点を埋める方法を紹介する。
なぜギャップはスタックよりも速く成長するのか？
あなたのツールは 、既知の脅威を阻止するために構築された。しかし、攻撃者はあなたのスタックよりも早く進化している。単にログインして 紛れ込むことが できれば、もはや脆弱性を悪用する必要はない。
IBMによると、成功した侵害の40％は、エンドポイント、クラウド、IDなど複数のドメインに関与している。つまり、攻撃者は単に1つの弱点を突いているのではなく、互いに連携していないツール間で弱点を連鎖させているのだ。
従来のツールは重要なシグナルを見逃している：
- EDR はエンドポイントのアクティビティに焦点を当てますが、Microsoft 365やEntra IDのアカウントの不正使用や横検知 しません。
- EPPは 、既知のmalwareブロックするが、ファイルレス攻撃、クレデンシャルの不正使用、リビング・オフ・ザ・ランドのテクニックを見逃す。
- CASB は SaaS ポリシーを実施するが、リアルタイムの特権乱用や連携された信頼の悪用に対する可視性が欠けている。
- CSPM CSPMは設定ミスを発見するが、ID攻撃、zero-day 脅威、インサイダーリスク、データ流出は監視しない。
- CWPPはエージェントを持つ ワークロードを保護するが、管理されていないワークロードやID レイヤーのアクティビティを検知 ことはできない。
- CNAPP CNAPPはクラウドツールを統合して いるが、依然として振る舞い 信号と東西の雲の動きを見落としている。
- SASE は、クラウド・リソースへのアクセスを制御するが、ユーザーがアプリケーション内部で何を行うかは見ることができない。
- IAM は、誰がログインできるかを管理するが、有効なクレデンシャルが乱用されたり悪用されたりした場合は検知 できない。
- PAMは 、既知の特権アカウントを保護するが、シャドウ・アドミンや、フェデレーティッド・ アイデンティティ・パスにおける不正使用を見ることはできない。
- UEBA は行動発生後にリスクスコアを割り当てるため、リアルタイムで行動するには遅すぎることが多い。
- SIEM はアラートを集約するが、そもそも攻撃を検知できるツールからのアラートに限られる。
- SOAR はワークフローを自動化するが、その効果は上流のアラートの質とタイミングに完全に依存する。
SOCはノイズに圧倒され、重要なことを調査するためのコンテキストを欠いている。その一方で、攻撃者はエンドポイントからクラウド、アイデンティティまで、気づかれることなく環境全体を素早く移動します。
ガートナー社でさえ、検知と対応は進化する必要があると認識している。新たに発表された ネットワーク検知とレスポンスのマジック・クアドラントのマジック・クアドラントで、ガートナーはNDRを、他のツールが見逃す脅威を検知するための重要なレイヤーとして強調している。
見えないものを守ることはできない。そして今日、目に見えないものこそ、攻撃者が素早く動き、姿をくらませないために使っているものなのだ。
セキュリティ・スタックの盲点を暴く
私たちは 攻撃の隙を見逃さないを作成しました。これは、攻撃者が日々悪用している重要な盲点を明らかにするのに役立つものです。このeBookでは、従来のツールでは不十分な点、そして、攻撃される前にそのギャップを埋めるために何ができるかを明らかにしています。
クラス最高のツールは、完全なカバレッジを意味しない。
今日の環境は、オンプレミスのインフラ、クラウドのワークロード、SaaSアプリケーション、IDプロバイダーにまたがっています。攻撃者は、ツールがサイロ化され、切り離されたままである間に、複数のドメインにまたがるアクションを連鎖させ、そのスプロールを利用します。
この資料は、SOCが自信を持って対応するために必要な明確さを与えてくれる。
ここで学ぶことは以下の通りだ：
- 攻撃者はツールの欠陥ではなく、ツール間の盲点を突く
- 可視性が損なわれる4つの主要分野：エンドポイント、クラウド、ネットワーク、アイデンティティ
- Scattered Spiderモデル化した実際のハイブリッド攻撃シナリオで、攻撃者がどのようにあらゆる段階で検知を回避するかを示す。
- セキュリティ・ギャップ・マトリックス（8ページ）は、一般的なツールがキル・チェーン全体にわたって攻撃者の活動を見落としている箇所をマッピングしたものである。
- Vectra AIがネットワーク、アイデンティティ、クラウドを横断してAI主導 リアルタイム検知を実現し、他のツールが見逃しているものを明らかにする方法
これは、より多くのコントロールを積み重ねることではありません。脅威がエスカレートする前に食い止めることができるように、実際に何が起きているかを見ることなのだ。
自分のスタックで十分だと思い込むのはやめよう。
隙間を見つける。隙間を埋める。