ESET/サイバーセキュリティ情報局
SASEで通信を可視化しても安心できない？ 導入後の運用課題とSOCの役割を解説
本記事はキヤノンマーケティングジャパンが提供する「サイバーセキュリティ情報局」に掲載された「SASEは導入して終わりではない。SOCが求められる理由とは」を再編集したものです。
クラウド活用やリモートワークの普及により、企業の通信経路は分散・複雑化している。SASEを導入すれば通信やセキュリティイベントを一元的に可視化できる一方、脅威の分析や判断、初動対応には継続的な運用が必要だ。本記事では、SASEによる通信の可視化と、導入後に生じる運用課題を整理した上で、SOCが果たす役割を解説する。あわせて、セキュリティ運用を支援する「Cato SASEクラウド向けSOCサービス」の特長を紹介する。
なぜ今、SASEが求められているのか
近年、クラウド活用やリモートワークの普及により、企業の通信経路は社内外に分散し、複雑化している。VPNやファイアウォール、Webフィルタリングなどを個別に運用する構成では、通信状況の一元的な把握や、複数製品のログを関連付けた分析が難しくなりやすい。また、暗号化通信の増加も、通信内容の把握を難しくする要因となっている。
こうした課題への解決策として導入が進んでいるのが、ネットワークとセキュリティをクラウド上で統合するSASE（Secure Access Service Edge）だ。拠点、クラウド、リモート端末を含む通信に共通のセキュリティポリシーを適用し、複数の機能から出力されるログやイベントを一元的に確認しやすくなる。
ただし、SASEによって通信やセキュリティイベントを可視化できても、どのアラートに対応すべきかを判断し、必要な初動対応を行う作業まで自動的に完結するわけではない。可視化された情報を実際の対応につなげる継続的な運用が、SASE導入後の重要な課題となるのだ。
ゼロトラスト・セキュリティ・モデルはクラウド時代の最適解となるのか？
https://eset-info.canon-its.jp/malware_info/special/detail/220825.html
Cato SASEクラウドによる通信の一元的な可視化
SASEソリューションの1つとして「Cato SASEクラウド」が挙げられる。社内外の拠点、クラウドサービス、リモート端末を含めた通信をクラウド基盤へ集約し、ネットワークとセキュリティを一元的に管理する。
Cato SASEクラウドでは、IPS／NGAM、SWG、CASB、DLPなどのセキュリティ機能を1つの基盤で利用できる。共通の管理画面から設定や運用を行い、複数の機能から出力されたログやイベントを横断的に確認できるため、通信状況の把握やインシデント調査に活用しやすい。
拠点やリモート端末からの通信をPoP（Point of Presence）に集約することで、場所を問わず共通のセキュリティポリシーを適用できる。これにより、分散した通信やセキュリティイベントを一元的に把握し、その後の分析や調査に活用できる。
キヤノンマーケティングジャパン社では、クラウド移行に伴う通信経路の複雑化や、暗号化通信の増加による通信内容の把握の難しさに対応するため、Cato SASEクラウドを導入した。PoPを経由する通信を一元的に可視化することで、リスクの高いアクセス先のブロックや異常な通信の確認が可能になり、通信状況に応じた帯域制御にも活用している。ただし、可視化されたログやアラートを実際の対処につなげるには、脅威の分析、優先順位の判断、初動対応を継続的に行う体制が欠かせない。
SASEとは？変わりゆくクラウドのセキュリティ対策
https://eset-info.canon-its.jp/malware_info/special/detail/230725.html
SASEは導入後の継続的な運用こそが重要
SASEは、ネットワークとセキュリティを一元的に管理し、通信やセキュリティイベントを可視化する基盤となる。一方で、SASEを導入するだけでセキュリティ運用が完結するわけではない。導入後には、可視化されたログやアラートを継続的に監視し、必要な対応につなげる運用が必要になる。
SASE運用で頻繁に見られる課題として、以下のようなものが挙げられる。
1）ログやアラートの分析
SASEによって通信やセキュリティイベントを可視化できても、最終的な対応要否や業務への影響を判断する必要がある。その際に、端末、利用者、接続先、通信内容といった情報を関連付けて分析しなければならない。
さらに、担当者にはIPS、SWG、CASB、DLP、マルウェア対策を含めた、複数のセキュリティ機能に関する幅広い知識も求められる。
2）対応の優先順位付け
SASEから継続的に発生するアラートのすべてが重大なインシデントを意味するわけではない。マルウェア感染や情報漏えいにつながるリスク、対象となる端末や利用者、影響範囲を踏まえて、対応の優先順位を判断する必要がある。
緊急度の高い事象を早期に見極め、限られたリソースを優先的に割り当てることが重要となる。限られた担当者だけで継続的に分析する場合、業務負荷や属人化が課題となり得る。
3）検知後の初動対応
脅威の兆候を検知しても、確認や対応が遅れれば、マルウェア感染や情報漏えいなどの被害が拡大する恐れがある。被害を抑えるには、状況に応じて、感染が疑われる端末の隔離、不正な接続先のブロック、マルウェアの駆除といった初動対応を迅速に検討・実施する必要がある。
そのためには、アラートの監視・分析から、対応要否の判断、通知、暫定対処までを一連の流れとして運用できる体制が必要となる。また、夜間や休日を含め、いつ発生するかわからないインシデントへの備えも課題となる。
SASEの運用を支えるSOCの役割
こうしたSASE導入後のセキュリティ運用に活用されているのがSOC（Security Operation Center）である。SOCは、SASEなどから収集したログやアラートを継続的に監視・分析し、複数の情報を関連付けながら、インシデントの可能性や脅威度を評価して必要な対応へつなげる専門組織だ。
SASEによる「通信やセキュリティイベントの可視化や検知」と、SOCによる「検知された情報の分析・判断・対応」を組み合わせることで、セキュリティ運用の実効性を高められる。
自社でSOCを構築・運用する場合には、セキュリティに関する専門人材の確保や教育が必要になる。さらに、夜間や休日を含めた継続的な監視体制や、インシデント発生時の連絡・対応フローも整備しなければならない。こうした体制を自社だけで構築するのが難しい場合には、SOC業務を外部の専門事業者へ委託することも選択肢の1つとなる。
SOC（Security Operation Center）がクラウド時代に求められる理由とは？
https://eset-info.canon-its.jp/malware_info/special/detail/230905.html
Cato SASEクラウド向けSOCサービスの特長
こうしたSASE導入後のセキュリティ運用に活用できるのが、「Cato SASEクラウド向けSOCサービス」である。Cato SASEクラウドから取得したログやアラートを監視・分析し、脅威度の高い事象を確認した際には顧客へ通知する。さらに、専門家によるインシデントの連絡や暫定対処の提案、条件を満たした端末の自動隔離などを通じて初動対応を支援する。SASEによる通信の可視化に加え、その後の分析・判断・初動対応を補完できる点がメリットとなる。
同サービスには、以下のような特長がある。
1）自動対応と有人対応を組み合わせた監視・分析
Cato SASEクラウドから取得したログやアラートは、SOC基盤によって24時間365日監視・分析される。AIを活用した相関分析によって脅威度や緊急度を評価し、優先度の高いアラートを自動通知するほか、所定の条件を満たす場合にはESET PROTECTとの連携によって、感染が疑われる端末をネットワークから自動的に隔離できる。ただし、対象端末がESET PROTECTで管理され、ログから端末を特定できることが前提となる。
これに加え、平日9時～19時には専門家による有人対応を提供する。有人対応時間帯に発生し、一次レベル判定で「優先度：高」とされたアラートは、発生から10分以内に自動通知される。その通知から60分以内を目安に、専門家がインシデントの連絡と暫定対処の提案を行う。
こうした自動対応と有人対応の組み合わせによって、アラートの検知だけでなく、その内容を評価して迅速な初動対応につなげることができる。
2）インシデントの根本原因調査や再発防止策の検討まで支援
基本サービスでは、監視・分析、自動通知、インシデント連絡、暫定対処提案、QA対応、インシデント結果報告を提供する。さらにオプションとして、インシデントに関するデータや傾向を分析し、発生原因を洗い出す根本原因調査も用意されている。
調査結果を踏まえ、恒久的な対処や再発防止策の検討を支援する。調査結果や提案内容、インシデント対応の経緯については、セキュリティインシデントレポートとして報告される。
このように、検知から初動対応だけでなく、インシデント発生後の原因究明や改善策の検討まで、一連の流れを支援できることが利点である。
3）月次・年次レポートによる継続的な改善支援
SOCの運用では、個々のインシデントに対応するだけでなく、継続的に運用状況を振り返り、改善することも重要となる。
オプションで提供される月次レポートでは、インシデントやアラートの発生状況、対応状況、アラートチューニングの内容などを整理して報告する。これにより、誤検知の削減効果や運用上の課題を把握しやすくなる。また、年次レポートでは、年間を通じたインシデントの傾向や運用上の課題を整理する。さらに、Cato SASEクラウドのベストプラクティスに基づく改善策や、次年度に向けた改善アクションを提示する。
こうしたレポートを活用することで、SOCによる監視・対応を一時的な対策にとどめず、継続的なセキュリティ運用の改善につなげられる。
SASEによる通信の可視化と、SOCアウトソーシングの活用
SASEの導入によって、分散した通信やセキュリティイベントを一元的に把握しやすくなる。しかし、可視化されたログやアラートから脅威の有無や対応の優先順位を判断し、必要な対処につなげるには、継続的な監視・分析と対応するための体制が欠かせない。
そこで有効になるのが、SOCの活用だ。Cato SASEクラウド向けSOCサービスを活用することで、可視化されたログやアラートを継続的に監視・分析し、優先度の高い事象について通知を受けられる。さらに、有人対応時間帯には専門家から暫定対処の提案を受けられるほか、所定の条件を満たす端末については、ESET PROTECTとの連携による自動隔離も可能だ。専門人材を自社だけで確保する負担を抑えながら、脅威の早期発見と適切な初動対応につなげ、被害拡大のリスクを抑えやすくなる。
SASEによる「可視化」と、SOCによる「分析・判断・初動対応支援」を組み合わせることが、SASE導入後におけるセキュリティ運用の実効性を高めるポイントとなる。
本記事はアフィリエイトプログラムによる収益を得ている場合があります