公開日
2023年10月26日
Security Playbooks 活用
～負荷なく対処速度を上げて”安心”しよう！～
こんにちは、カスタマーサクセスマネージャの大森です。お客さまにご利用いただいている製品/ソリューションの効果を最大化いただくために、日々活動しています。
今回は、弊社Trend Vision One™（以下 Vision One）担当ソリューションアーキテクトの長田さんと、自社に合った効果的なVision Oneの運用について会話し、「Security Playbooks」活用による効率化について考えてみました。
Vision One担当ソリューションアーキテクトの長田です。皆さんがより自社にあった運用をしていただくためのお手伝いができればと常々考えています。
1. Trend Vison Oneって今までの製品と違うよね？
今日はお客さまの立場でお話させていただきますのでよろしくお願いします！さっそくですが、Vision Oneってこれまでの”検知”を主軸にしたトレンドマイクロ製品と運用の考え方も違いますよね。
そうですね。Vision Oneは、セキュリティリスクを可視化し、検出>>調査>>対処 を一気通貫でできるプラットフォームなので、検知時だけではなく、潜在的なリスクの把握やレポートにもご利用いただけるソリューションになっています。お客さまの環境のセキュリティ全様を可視化して、Next Actionの必要性を判断できる、必要なアクションをすぐに起こせる、というところに価値があると考えています。
今までみたいに「対処できない検知があった時だけログインする」ではないんですね。期待値は大きいものの、色々な情報が見え、できることが多すぎて、どう使えばよいか戸惑うことも・・・。
Vision Oneは、トレンドマイクロの豊富な脅威情報を活用して、本当に対応が必要な脅威の検知のみを視覚的にお知らせします。なので、まず、影響範囲の確認と優先度の高い対処を実施することを目的に設計された機能「Workbench」を使うのがよいと思います。運用面からもいきなりいろんなことはできないと思いますので。
この「Workbench」がXDRを効率的に運用するために、トレンドマイクロの英知を集結した機能ですので、ぜひ有効に使っていただきたいです。
2. いつでも運用は楽な方がいい
なるほど。今まで点でしか見えなかった脅威（自社の弱点）を、線や面でみることからですね。相関が見えると、パッとどの端末が感染・攻撃のリスクを抱えているかあまり知識がなくてもわかりますね。
下図を見ると・・・とりあえず、このタイトルのメールは注意喚起して、この端末は調査してみようか、とすぐに思えますね。
もちろん、より詳細な調査も可能ですが、お客さまの状況に応じて実際に行えるオペレーションは変わってきますし、自社にあった運用で始めていただくのが息切れしないコツではないでしょうか。
対応の運用に慣れてくると、ある程度決まった対応になってきますね。端末を隔離したり、不審なファイルを収集したり。この調査画面上からすぐに処理ができるのは魅力的ですが、いつも同じ作業となると、人依存にならなくてよい一方、もっと効率化を図れるのではと思ってしまいます。また、セキュリティ専任の方だけが運用しているわけでもないので即時対応のオペレーションが現実難しい場合もあったりします。
自動化しましょう！Vision Oneでは、可視化されたリスクをトリガーに、簡単に定型アクションを設定して自動化することができます。
*ASRM ; Attack Surface Risk Management アタックサーフェスリスクマネジメント | トレンドマイクロ (trendmicro.com)
自分でスクリプト組んだりするのはちょっとハードルが高いです・・・。
Vision Oneではよく使われるシナリオを想定してテンプレートを用意しています。ご要望や脅威の状況に応じて今後変更が入るかもしれませんが、今は8種類ご用意があります。
さっき話していた、「検知時に端末を隔離」したり、「不審なファイルを収集」したりもできそうですね。
できます！「不審なファイルを自動でSandboxに送る」なんてこともできます。せっかくなので、指定した検知があった場合に端末を自動で隔離したい場合についてご紹介します。
3. 自動化サンプルケース：
Workbenchに出力された端末の隔離を自動化してみる
「自動対応Playbook」というテンプレートを使って、Workbenchにアラートが出力された際に、対象の端末を自動でネットワーク隔離することができます。Workbenchの画面から対象の端末を右クリックすることで、任意のタイミングで手動隔離することができますが、このSecurity Playbooksをご利用いただくことで人の手を介せず迅速に対応可能になります。
一次対応を迅速に行うことで、さらなる感染拡大や情報漏洩の防止を期待できそうです。「アラートに気づくのが遅れて感染が広がってしまう」という状況は、特に様々な運用を兼務していたりすると発生していまいそうで、運用担当としては気が気ではないですから・・・。
端末はネットワーク隔離しても、Vision Oneとの接続は保たれており、その後の調査は問題なく行えますので、隔離すべき検知を把握できたらVision Oneに隔離させてしまうのがよいのではないでしょうか。
一例にはなりますが、下記のようにテンプレートを活用しつつも、自社の運用に合わせて処理を行わせることができます。この設定で実際に端末側で隔離が行えるのか試してみたので動画も参考に確認してみてください。
隔離時にポップアップがあがるので、ユーザにも隔離されたことがわかりますね。ただ規定のメッセージではユーザが混乱しそうなので、事前にセキュリティリスクに伴う隔離運用があることをユーザに伝えておく必要がありそうです。
特にアクションを実施する対象がユーザ端末の場合は、ユーザとのコミュニケーションなども全体運用の中で考えていただくとスムーズな運用になると思います。まず、Security Playbooksでユーザには影響しない（隔離処理はしない）設定のみをしておき、具体的にどのような処理プロセスになるのかを試されると、実際に必要な運用イメージがわきやすいと思います。
利用するにも動作確認が必要とお客さまがおっしゃっていましたが、ユーザ影響がなければ気軽に試せそうです。
4. 何を自動化する？
Vision Oneは脅威の全体像が可視化されて、どこに弱点があるのかわかりやすくなる一方で、運用しきれない懸念もありました。実際には絞り込まれたアラートのみが表示されているので、できることから実施し、アクションが定型化できたら自動化していく、という流れを作れるとよいのかもしれませんね。
いやいや、対応全部を一度に自動化しようと思うと大変。「特定の脆弱性が見つかったときだけ」「エビデンス収集だけ」と処理を区切って自動化すると、少しづつ手を離せるものが増えてくるのではないでしょうか。また、先ほど紹介したように、Security Playbooksでユーザに影響しない処理だけを設定して処理の内容や流れを把握することもできるので、まずは気軽にお試しで自社で活用できそうな設定をして体感してみてください。実行したSecurity Playbooksの結果は一覧で確認できますよ。
自社に合った自動化運用がつかめてきたら、ロジックを追加して拡張していけばいいんですね。既存のアラート確認・対応プロセスが動いていれば、お試しでSecurity Playbooksを設定してもセキュリティレベルは下がりませんし、適用すれば、負荷なく対応速度が上がりますので、Security Playbooksの活用で、お客さまによりセキュアな環境を維持できる実感をもっていただけそうです。
フローチャートに沿って設定するだけなので、テンプレートを活用する形で試してみたいと思います。まずは、、、「何かあったらまず抜線！」運用をされているお客さまに「①隔離処理なしPlaybookで運用確認→②隔離処理を追加設定して自動化！」と段階的にお試しいただき、業務時間外も安心していただきたいと思います。
ぜひ自社に合った効率的で効果的な運用方法を探ってみてください。より必要な機能があれば教えてくださいね。そして、どうしても運用が厳しい場合もトレンドマイクロにご相談ください。解決方法を一緒に検討いたします！
トレンドマイクロ株式会社
エンタープライズカスタマーサクセス部
デジタルカスタマーサクセスマネージャーグループ
大森 華子
トレンドマイクロ株式会社
セールスエンジニアリング部
Vision One チーム
長田 倫明