ホーム Topics NDR ネットワークでの検知と対応(NDR)とは何か?
IBMのネットワークの検知と対応ソリューションの詳細はこちら セキュリティー・トピックの最新情報を購読する
クラウド、携帯電話、指紋、チェックマークのピクトグラムをコラージュしたイラスト
NDRとは何か

ネットワークの検知と対応(NDR)は、人工知能機械学習、行動分析などのシグネチャベースではない手法を用いてネットワーク上の疑わしいまたは悪意のあるアクティビティを検知し、サイバー脅威に対応するという、サイバーセキュリティー・テクノロジーの一分野です。

NDRは、ネットワーク・トラフィック・モデルを生のネットワーク・トラフィック・データから抽出するために開発されたテクノロジーであるネットワーク・トラフィック分析(NTA)から発展したものです。NTAソリューションに行動分析と脅威対応機能が追加されたことを受け、業界アナリストのGartner社が2020年にこのカテゴリーをNDRと改名しました。

NDRが重要な理由

ネットワークは今日の接続された世界の基盤であり、脅威アクターにとっては主な標的となるものです。

従来、組織はネットワーク・セキュリティを確保するために、ウイルス対策ソフトウェア、侵入検知システム(IDS)、ファイアウォールなどの脅威検知ツールに依存していました。

これらのツールの多くは、シグネチャベースの検知アプローチを採用しており、サイバー脅威のシグネチャ・データベースと侵害の兆候(IOC)を照合することで脅威を特定します。

シグネチャとは、既知のサイバー攻撃に関連するあらゆる特徴を指します。たとえば、特定のマルウェアのコードや特定のフィッシング・メールの件名などが挙げられます。シグネチャベースのツールはネットワークを監視し、以前に検出されたシグネチャを検出した場合にアラートを発生させます。

シグネチャベースのツールは、既知のサイバー脅威をブロックするには有効ですが、新しい、未知の、または新たな脅威の検知は困難です。また、以下のような、固有のシグネチャを持たない脅威や、正規の動作に似た脅威を検知することも困難です。

  • 盗んだ認証情報を悪用してネットワークにアクセスするサイバー攻撃者

  • ビジネス・メール詐欺(BEC)攻撃(ハッカーが役員のメール・アカウントを偽装または乗っ取る攻撃)
  • 意図せずに危険な行為を行う従業員(会社のデータを個人のUSBドライブに保存したり、悪意のあるEメールのリンクをクリックしたりすることなど)

ランサムウェア集団やその他の高度で持続的な脅威は、可視性のギャップをエクスプロイトしてネットワークに侵入し、監視を行い、特権を昇格させ、適切なタイミングで攻撃を仕掛ける可能性があります。

NDRは、組織がシグネチャベースのソリューションで生じたギャップを埋め、ますます複雑化する最新のネットワークのセキュリティーを確保する際の支援を行います。

NDRは、高度な分析、機械学習、行動分析を用いて、既知のシグネチャがない潜在的な脅威も検知できます。このように、NDRはリアルタイムのセキュリティー・レイヤーを提供し、他のセキュリティー・ツールが見逃してしまうような脆弱性や攻撃を組織が発見する手助けをします。

IBM Security X-Force脅威インテリジェンス・インデックス

IBM Security X-Force Threat Intelligence Indexを利用すると、サイバー攻撃への対策や対応をより迅速かつ効果的に行うためのインサイトを得ることができます。

NDR ツールの仕組み

ネットワークの検知と対応ソリューションは、ネットワーク上の脅威を管理するために、プロアクティブかつ動的に対応するアプローチを採用しています。NDRツールは、ネットワークのアクティビティとトラフィックのパターンをリアルタイムで継続的に監視・分析して、サイバー脅威を示す可能性のある疑わしいアクティビティを特定します。

NDRソリューションによる脅威の検知には通常、以下にある5つの手順で構成されます。

  1. データを収集する
  2. ネットワーク動作のベースラインを設定する
  3. 悪意のあるアクティビティを監視する
  4. インシデントに対応する
  5. 時間をかけて改良する
1. データを収集する

NDRソリューションは、遠隔地にあるデータの収集と送信に自動化を用いるテレメトリという手法により、生のネットワーク・トラフィック・データとメタデータを取得します。

NDRツールは、多くの場合、エンドポイント、ネットワーク・インフラストラクチャー、ファイアウォール、その他のソースからデータを収集し、ネットワークの包括的なビューを提供します。収集されたデータには、ネットワークのパケット・データ、フロー・データ、ログ・データなどがあります。

2. ネットワーク動作のベースラインを設定する

NDRツールは、行動分析、AI、機械学習を使用してデータを評価し、正常なネットワークの動作とアクティビティのベースライン・モデルを確立します。

3. 悪意のあるアクティビティを監視する

ベースラインを設定した後、システムはネットワーク・トラフィックをリアルタイムで継続監視します。NDRは、その時点におけるネットワーク・アクティビティをそのベースラインと比較して、データ窃盗やその他の潜在的な脅威を示す可能性のある逸脱を検知します。

このような逸脱には、不正アクセスの試み、異常なデータ転送、異常なログイン・パターン(通常時間外でのデータへのアクセスなど)、または未知のWebサーバーとの通信などが含まれる可能性があります。

4. インシデントに対応する

NDRソリューションは、不審なアクティビティを検知すると、セキュリティ・チームに警告を発して対応を促します。一部のNDRツールは、脅威を軽減する自動アクションも実行できます。これらの自動対応には、悪意のあるIPアドレスのブロック、侵害されたデバイスの隔離、不審なトラフィックを制限してさらなる被害を防ぐことなどが含まれます。

5. 時間をかけて改良する

NDRシステムは、検知された脅威や対応からのフィードバックを組み込むことで、ネットワーク・アクティビティのモデルを継続的に適応させます。また、セキュリティ・アナリストや脅威インテリジェンスフィードからのインプットも統合します。この継続的な改良により、新たな脅威や進化する脅威を検知して、それに対応する際のNDRツールの精度と有効性が向上します。

NDRのメリット

NDRソリューションは、従来のシグネチャベースの脅威検知ツールよりも優れたさまざまな機能を提供します。これらの機能には、以下のものが含まれます。

リアルタイムの脅威検知機能

NDRソリューションは、リアルタイムの監視と分析を提供し、潜在的な脅威をより迅速に特定して対応できるようにします。一部のNDRツールでは、潜在的な脅威の重大度に基づいて優先順位を決定し、セキュリティー・チームやセキュリティー・オペレーション・センター(SOC)にアラートを送信することもできます。

ネットワークの境界および内部における包括的な可視性

NDRは、オンプレミスおよびハイブリッドクラウド環境におけるすべてのネットワーク・アクティビティの可視性を提供します。この包括的な可視性により、組織はより多くのセキュリティー・インシデントを未然に防ぐことができます。

NDRソリューションは、ネットワーク・トラフィックの南北方向(出口と入口)と東西方向(内部)の両方を監視するため、ネットワーク境界における侵入とネットワーク内部での横移動の両方を検知できます。ネットワーク内の異常を特定できる機能は、NDRが待ち構えている高度な脅威を捕まえるのに役立ちます。一部のNDRツールは、暗号化されたトラフィックに潜む脅威も検知できます。

AI搭載の脅威分析

NDRは、AIと高度な機械学習アルゴリズムを活用して、ネットワーク・データを分析してパターンを特定し、潜在的な脅威(従来のツールでは見過ごされがちな未知の脅威も含む)を特定します。

インシデント対応の自動化

一部のNDRソリューションには、疑わしいネットワーク接続を切断するなど、攻撃が発生している最中にその攻撃を阻止できる自動対応機能があります。NDRツールは他のセキュリティー・ツールとも統合でき、より複雑なインシデント対応計画を実行することができます。たとえば、脅威を検知した後、NDRはセキュリティー・オーケストレーション、自動化、対応(SOAR)プラットフォームに、事前に定義された対応プレイブックを実行するよう指示します。

脅威インテリジェンスとの統合

多くのNDRツールは、MITRE ATT&CKフレームワークなどの脅威インテリジェンス・フィードやデータベースと統合できます。これらの統合により、動作モデルを強化し、脅威検知の精度を向上させることができます。その結果、NDRツールは誤検知が少なくなります。

脅威ハンティング

NDRソリューションは、セキュリティー・チームがこれまで検知されていなかった脅威を積極的に検索する脅威ハンティング活動に使用できるコンテキスト・データと機能を提供します。

NDRのデメリットとなりうるもの

NDRソリューションにはメリットがあるにもかかわらず、限界がないわけではありません。現行のNDRツールの一般的なデメリットには次のようなものがあります。

複雑さとコスト

NDRツールには、ハードウェア、ソフトウェア、サイバーセキュリティー担当者への多額の投資が必要となる場合があります。たとえば、初期設定には、ネットワーク・セグメント全体にセンサーを導入することや、大量のネットワーク・トラフィック・データを保存するための大容量データ・ストレージに投資することなどが含まれます。

拡張性における問題

成長を続けるネットワークに合わせてNDRソリューションを拡張することは、容易ではありません。データ・フローの増加でリソースに負担がかかり、ボトルネックが生じる可能性があり、大企業では脅威の検知と対応ソリューションの効果が低下する可能性があります。

誤検知

NDRツールは多くの誤検知を発生させ、セキュリティー・チームをアラート疲労に陥れる可能性があります。正常パターンから少しでも逸脱すると、疑わしいものとしてフラグが立てられ、時間の無駄につながり、本当の脅威を見逃す可能性があります。

プライバシーと規制に関する懸念

暗号化通信を含むネットワーク・トラフィックを継続的に監視すると、プライバシーの問題が生じる可能性があります。一般データ保護規則(GDPR)PCI-DSS(Payment Card Industry Data Security Standard)などの規制を遵守しない場合、多額の罰金や罰則が科せられる可能性があります。

NDRおよびその他のセキュリティー・ソリューション

今日の企業ネットワークは分散化が進み、データセンター、ハードウェア、ソフトウェア、IoT(モノのインターネット)デバイス、オンプレミスとクラウド環境のワークロードを接続する大規模なネットワークとなっています。

組織とそのセキュリティー・オペレーション・センター(SOC)は、これらの複雑なネットワークを完全に可視化する堅牢なツールセットを必要としています。NDRと他のセキュリティー・ソリューションと組み合わせたソリューションへの依存度が高まっています。

たとえば、NDRはGartner社が提唱した概念「SOC Visibility Triad(SOC可視化トライアド)」の1つであり、EDR(エンドポイントの検知と対応)およびセキュリティー情報とイベント管理(SIEM)と並んで位置付けられています。

  • EDR(エンドポイントの検知と対応)は、組織のエンドユーザー、エンドポイント・デバイス、IT資産をサイバー脅威から自動的に保護するように設計されたソフトウェアです。NDRがネットワーク・トラフィックの「俯瞰図」を提供するのに対し、EDRは個々のエンドポイントにおけるアクティビティの補足的な「地上図」を提供することができます。

  • SIEMは、サーバー、アプリケーション、デバイスなど、異種のセキュリティー・ツールやネットワーク・ソースからセキュリティー関連のログやイベント・データを収集し、関連付けます。NDRツールは、ネットワーク・トラフィックのデータと分析結果をSIEMシステムにストリーミングすることでこれらの取り組みを補完し、SIEMのセキュリティーと法規制遵守の有効性を強化します。

最近では、SOCは拡張検知と対応(XDR)ソリューションも採用しています。XDRは、エンドポイント、ネットワーク、クラウド・ワークロードなど、組織のハイブリッドITインフラストラクチャー全体にサイバーセキュリティー・ツールを統合します。多くのXDRプロバイダーはNDR機能を備えており、オープンXDRソリューションは組織における既存のNDR機能を活用して、既存のセキュリティー・ワークフローに組み込むことができます。

関連ソリューション
脅威の検知と対応ソリューション

IBMの脅威検知および対応ソリューションを活用すると、セキュリティーの強化と脅威検知の迅速化が図れます。

脅威の検知と対応ソリューションの詳細はこちら
クラウド・セキュリティー・ソリューション

自信を持ってハイブリッドクラウドに移行し、クラウド・ジャーニーのあらゆるフェーズにセキュリティーを統合します。

クラウドセキュリティソリューションの詳細を見る
マネージド・インフラストラクチャーとネットワーク・セキュリティー・サービス

実績のあるセキュリティー・スキル、専門知識、最新ソリューションで、高度なサイバーセキュリティーの脅威からインフラストラクチャーとネットワークを守ります。

マネージド・インフラストラクチャーとネットワーク・セキュリティー・サービスの詳細はこちら
参考情報 データ侵害のコストに関する調査 2023年

データ侵害においては、ランサムウェアによる身代金請求や情報漏洩による被害コストを増減させる要因を自分ごと化して理解することが、侵害に対する備えを強化するために重要です。

生成AIの時代のサイバーセキュリティー

今日のセキュリティー環境がどのように変化しているか、また、課題を乗り越えて生成AIのレジリエンスを活用する方法について学びます。

人工知能とは

人工知能(AI)はコンピューターと機械を活用して、人間が持つ問題解決能力と意思決定能力を模倣します。

次のステップ

IBMのサイバーセキュリティー・サービスは、アドバイザリー、統合、マネージド・セキュリティー・サービスに加え、攻撃および防御機能を提供します。 弊社は、専門家からなるグローバルチームと独自のパートナー・テクノロジーを組み合わせて、リスクを管理するカスタマイズされたセキュリティ・プログラムを共創します。

サイバーセキュリティー・サービスはこちら