25年目のCisco Live! テーマは“IoE”と“Fast IT” 第4回

「Cisco Live 2014」で語った製品、サービス、そしてACIへの統合

セキュリティ分野で活発に動くシスコ、これからどう戦う？

課題解決に向けた3つの進化フェーズ、“脅威中心型”モデル

　パルマ氏とヤング氏は、現在の企業がセキュリティシステムに関して抱える数々の「課題」を列挙した。たとえば脅威／攻撃の高度化や、多数のベンダー製品で構成されるセキュリティシステムの複雑さと断片化、ITインフラとセキュリティとのより緊密な統合といった悩みをよく聞くという。

　こうした課題の解消に向け、シスコでは「3つのキーフェーズ」を踏まえた段階的な“進化”を考えていると、ヤング氏は説明する。

ヤング氏が示した「3つのセキュリティ進化フェーズ」

　第1フェーズは、適切なセキュリティソリューションをデリバリするための、「脅威中心型セキュリティ（Threat Centric Security）」モデルに基づくプラットフォームの構築である。攻撃の“流れ”を中心に据え、攻撃の前（Before）／最中（During）／後（After）という3つの段階で、それぞれどのような対策と対処が必要かを考え、セキュリティ手段を実装していく。

脅威中心型セキュリティモデル。攻撃前／最中／後の各段階で必要な対処を考える

　ヤング氏は、シスコも含め、これまで多くのセキュリティベンダーでは“Before”にフォーカスしてきたが、それだけではAPTなど最新の脅威に対抗することはできないことを強調する。たとえば「（攻撃の最中に）アクティブな攻撃を識別したり、（攻撃後に）すばやく影響範囲を確定したりしなければならない」（同氏）からだ。

　その実現のために、シスコでは3つの要素を重要視している。それは、何が起きているのかを「すべて可視化」すること、防御技術や製品ではなく「脅威にフォーカス」すること、多数のセキュリティ製品を後から付け加えていくのではなく「単一のプラットフォームにエンドトゥエンドのセキュリティ群を統合」することだと、ヤング氏は説明した。

　「大規模な顧客では、100社以上のセキュリティ製品を導入しているというケースもあった。だが、これで実際に攻撃を受けたとき、どの製品が有効に対処できるのか即座にわかるだろうか？ 次々に製品を買い足していく流れから脱却し、プラットフォームを統合していくことで、全体の機能が調和して動作することも期待できる」（ヤング氏）

　プラットフォーム統合の一環として、今回のCisco Liveでは“AMP Everywhere”のさらなる拡張が発表された。具体的には、新たにMac OS X対応のエンドポイント向けAMPや、外部クラウドに機密データを送信することなくファイル解析を行えるプライベートクラウド向けAMP仮想アプライアンスが新たに提供される。

高度なマルウェア検知／防御技術を、エンドトゥエンドのあらゆる部分に適用する“AMP Everywhere”

　また、AMPの最新アップデートにより、エンドポイントとネットワークの間で、それぞれ収集したセキュリティ侵害の痕跡（Indications of Compromise）データの関連付け機能が強化された。これにより、脅威の分析や優先順位付け、攻撃後の影響範囲の絞り込みなどがより迅速になるとしている。

　Cisco Liveで披露されたデモでは、マルウェア感染した端末から取得した情報をCognitive Threat Analytics（CTA）で解析し、タイムラインに沿って攻撃の全体像を明らかにしていく様子が示された。

Cognitive Threat Analytics（CTA）のダッシュボード（インシデントの解析画面）。大量のログ／トラフィックデータに基づき、あるマルウェアがいつ、どのような外部通信をしたかを可視化している。ここからさらに詳細な調査を進めることも可能

（→次ページ、Security-as-a-Serviceで専門人材不足を解決）