あなたのチームは時間内に次のゼロデイを受け入れますか？
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
脅威の検知と対応（TDR）とは、組織がサイバーセキュリティーの脅威を検知、調査、軽減するために使用するツールとプロセスを指します。高度な検知方法、自動対応機能、および統合セキュリティー・ソリューションを組み合わせて、組織がリスクを軽減し、進化する脅威のランドスケープに適応できるように支援します。
TDRは、セキュリティー・チームがインシデントを迅速に封じ込め、中断を最小限に抑えてシステムを復元するのに役立ちます。ランサムウェア、フィッシング、ゼロデイ・エクスプロイトなどの脅威がますます頻繁に見られるようになり、巧妙化しているため、組織は悪意のあるアクティビティーが被害をもたらす前にそれを捕捉するためのプロアクティブなストラテジーを必要としています。
リスクは高く、緊急の対応が求められています。Microsoftはそのエコシステム内で毎日約6億件のサイバー攻撃を検知しており、平均すると1秒あたり6,900件を超えます。組織にとって、これはデータ侵害の試みがほぼ絶え間なく続くことを意味します。
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
デジタル変革と、モノのインターネット（IoT）や人工知能（AI）などの新興テクノロジーにより、今日の組織の攻撃対象領域は劇的に拡大しています。
特に生成AIによって脅威ランドスケープに新たな側面が生まれ、プロンプト・インジェクションなどの手法を通じて悪用されています。しかし、IBM Institute for Business Valueの調査によると、生成AIのイニシアチブのうちセキュリティーが確保されているのはわずか24%にすぎません。
エンドポイント・セキュリティーは向上していますが、脅威アクターも進化し続けています。現代の攻撃者は、ネットワーク・トラフィックに微妙な異常を発生させることから、分散型サービス妨害（DDoS）キャンペーンを開始することまで、ますます複雑かつ巧妙な方法で機密データを標的にしています。
現在、多くの脅威アクターはAIを活用して攻撃を自動化し、検知を回避し、大規模に脆弱性をエクスプロイトしています。従業員や請負業者による内部脅威も増加しており、2024年には83%の組織が少なくとも1回の内部攻撃を経験しています。
セキュリティー・チームには、継続的な監視と迅速な対応を可能にするために、脅威検知ツールや対応ツールを侵入検知システム（IDS）や脅威インテリジェンス・プラットフォームと統合する階層型アプローチが必要です。これは技術的な向上だけでなく、投資対効果も明らかです。検知が向上すれば、誤検出が減り、トリアージが速くなり、避けがたくインシデントが発生した場合でも回復時間が短縮されます。
脅威の検知と対応のソリューションにより、以下のような幅広いセキュリティー・インシデントから防御されます。
サイバー脅威に対抗するために、組織は次の4つのコア・コンポーネントを中心に構築された階層化TDRストラテジーを利用できます。
脅威インテリジェンスは、既知の脅威と新たな脅威に関する詳細で実行可能な情報を提供します。脅威インテリジェンス・フィード（現在のサーバー攻撃と潜在的なサイバー攻撃を強調表示するデータ・ストリーム）を統合することで、組織は攻撃者の戦略を特定できます。また、MITRE ATT&CK（サイバー犯罪者の既知の敵対的行動に基づいてサイバーセキュリティーの脅威に対抗するための、継続的に更新される知識ベース）などのフレームワークを使用して、誤検知を減らすこともできます。
継続的な監視により、セキュリティー・オペレーション・センター（SOC）チームは疑わしいアクティビティーをリアルタイムで検知できます。脅威インテリジェンス・プラットフォームなどのツールは、ネットワーク・トラフィック・パターンやユーザー行動分析（UBA）などのデータを集約して相関させ、侵害のインジケーター（IOC）や潜在的な脅威を発見するのに役立ちます。
脅威が検出されると、自動対応ツールがエンドポイントを隔離し、侵害されたアカウントを無効にします。効果的なインシデント対応計画には、プレイブック、統合セキュリティー・ツール、利害関係者の調整、再止のためのインシデント後の分析が含まれます。
コアの構成要素では何を実行する必要があるかが説明されますが、個別のツールやテクノロジーは、それらのアクションをどのように大規模に実行するかが定義されます。機能は通常、潜在的なセキュリティー脅威を表面化させる検知テクノロジーと、それらを封じ込めて修復する対応テクノロジーの２つのカテゴリーに分類されます。
検知テクノロジーとプラットフォームは通常、次の4つの検知アプローチのいずれかに依存しています。
シグネチャー・ベースの検知では、ファイル・ハッシュやIPアドレスなどの既知のIOCを使用します。ただし、既知の脅威に対してはすばやく高い信頼性で対応しますが、新たな攻撃に対しては効果がありません。
異常ベースの検知は、ネットワーク・トラフィック、システム・パフォーマンス、またはユーザー・アクティビティーの予想されるパターンからの逸脱にフラグを立て、多くの場合、ステルス性の脅威、新たな脅威、またはゼロデイ脅威の発見に有効です。
行動ベースの検知は、ユーザーやシステムの典型的な振る舞いを長期にわたって監視し、機密データへの異常なアクセスやシステム間の横移動など、疑わしい変化を検知します。
インテリジェンス駆動型の検知は、外部の脅威インテリジェンス・フィードを統合して新たな戦術、技法、手順（TTP）を特定し、チームが高度な攻撃を早期に検知できるようにします。
最新の検出プラットフォームのほとんどは、可視性を向上させ誤検知を減らすために、これらのアプローチを多層的に使用しています。これらのアプローチを実現する検知ツールには、次のものがあります。
これらのツールは、AIや機械学習（ML）などの高度なテクノロジーと組み合わせると最も効果的です。これらを組み合わせることで、セキュリティー・チームは脅威に優先順位を付け、IOCを調査し、複数のユースケースで対応を効率化できるようになります。さらに、ID脅威の検知と対応（ITDR）やデータ・セキュリティー・ポスチャー管理（DSPM）などの高度なTDR機能を実現できます。
ID脅威の検知と対応（ITDR）：ITDRは、ログイン・アクティビティー、アクセス行動、権限昇格を継続的に監視することで、IDシステムの保護に重点を置いています。クレデンシャル・スタッフィングやアカウント乗っ取りなどの攻撃を検知し、アカウントのロックダウンやセッションの終了などのリアルタイムの封じ込めアクションをトリガーするのに役立ちます。
データ・セキュリティー・ポスチャー管理（DSPM）：DSPMは、クラウドおよびハイブリッド環境全体で機密データを検出、分類、評価するのに役立ちます。DSPMでは、データ・コンテキストをTDRワークフローに取り込むことで、チームが高リスクの脅威をより効果的に優先順位付けして修復できるようになります。
脅威が確認されると、対応の取り組みでは通常、封じ込め、修復、回復に重点が置かれるようになります。これらの取り組みは、リアルタイムのアクションから長期的な調査やプロセスの改善まで、幅広いアクティビティーに及びます。これには、次のものが含まれます。
自動化された封じ込めとプレイブックの実行には、エンドポイントの隔離、侵害されたアカウントの無効化、悪意のあるIPのリアルタイムのブロックなどが含まれ、多くの場合、SOARプラットフォームまたはXDRポリシーを介してオーケストレーションされます。
プレイブック主導の対応には、トリアージ、エスカレーション、通知、修復を通してアナリストをガイドするための、事前定義されたワークフローが含まれています。これらは、習熟度に応じて手動、自動、またはハイブリッドを選ぶことができます。
統合されたケース管理により、検知プラットフォームをITサービス・ツールに接続して、引き継ぎ、ドキュメンテーション、コンプライアンス・レポート作成を合理化できます。
インシデント後の分析には、フォレンジック調査、根本原因分析、検知ルールまたは対応ワークフローの改善が含まれます。
検知と対応は静的なものではなく、進化します。急速に変化していく脅威に対応するため、「高度な脅威検知と対応」と呼ばれるアプローチが登場しました。これには一般に、AI、行動分析、クロスドメイン相関、自動対応が組み込まれています。目標は、脅威をより迅速に検知するだけでなく、敵対者を出し抜くことです。
高度なストラテジーにより、精度が向上し、セキュリティー・オペレーション・チームは新たな脅威に適応して、機密データを保護し、全体的な体制を強化できるようになります。コア・テクノロジーを導入することで、組織は次のようなアプローチを通じて検知と対応能力を強化できます。
効果的な脅威の検知と対応プロセスには、アクティブな脅威を阻止するための自動アクションが含まれます。ただし、高い効果性を誇るチームは、アラート疲労、時間の経過に伴うアラートの調整、学んだ教訓の文書化など、人間的な対応も考慮に入れています。これらのセキュリティー対策と継続的なセキュリティー体制評価を組み合わせることで、チームは進化する脅威に先んじることができます。