アラートを行動につなげる

攻撃者は、通常の見慣れた活動のように見せかけることで検知を逃れ、環境内を移動しながら潜伏し続けます。彼らは通常、次のような一貫したパターンに従います：

• アラートを発生させずに、有効な認証情報を使用してシステムにアクセスする  

• 信頼性の高い管理ツールや組み込みのシステムユーティリティ（LOLBins）を使用して操作する  

• 署名および閾値に基づく検出限界を下回る  

• 時間の経過とともに、通常のユーザーやシステムの動作に溶け込んでいく  

一般的な手法としては、現地リソースを活用した攻撃（LOLBins）、暗号化されたコマンド＆コントロール通信、および「スロー・アンド・ロー」型の認証情報悪用などが挙げられる。従来のツールは、行動パターンを関連付けずに個別のアラートしか生成しないため、こうした攻撃は組織的なキャンペーンとして検出されないことが多々ある。

SOCチームは膨大なアラート量に圧倒されており、その結果、アナリストは真の脅威に注力する代わりに、ノイズの検証に時間を費やすことを余儀なくされ、最終的には組織のリスクを高めてしまいます。これにより、次のような複合的な問題が生じます：

• 各チームは毎日数十万件のアラートを受信しています  

• ほとんどのアラートには背景情報が不足しており、手動での優先順位付けが必要となる  

• アナリストは、実際の攻撃ではなく、無害な活動や優先度の低い活動を調査している  

• 実際の脅威はより長く隠れたままであり、潜伏期間が長くなる

検知と対応を迅速化することで、攻撃者の潜伏時間を直接短縮し、攻撃の拡散範囲や被害規模を抑制できます。セキュリティチームが実際の脅威を迅速に特定し、対応することで、攻撃が深刻化する前に封じ込めることが可能になります：

• 検知から対応までの平均時間を短縮し、影響範囲を限定する  

• ランサムウェアの展開やデータの流出を未然に防ぐ  

• 重要なシステムや事業運営への支障を防ぐ  

• 信頼性の高い脅威に焦点を当てることで、SOCの効率を向上させる  

Vectra AI を導入した企業では、目に見える成果がVectra AI 。例えば、Globe Telecomでは対応時間を16時間から3.5時間に短縮し、Verifoneでは43万8,000件のイベントを、優先度の高いインシデントわずか6件にまで削減しました。