インシデントレスポンスサービス：主な特徴と7つのトップクラスのソリューション

インシデント・レスポンス・サービスとは？

インシデントレスポンスサービスは、サイバーセキュリティの脅威や侵害への対処を支援するアウトソーシングチームへのアクセスを組織に提供します。これらのサービスは、攻撃が発生すると、セキュリティ・インシデントの管理、被害の最小化、システム機能の復旧を支援します。セキュリティ脅威の迅速な特定、緩和、文書化を実現します。

インシデントレスポンスの目標は、侵入直後に組織のITインフラストラクチャへのダメージを制御し、軽減することである。また、セキュリティ・チームは、インシデント処理と対応のプロセスを継続的に分析・改善することで、将来のインシデントに対する予防策を確立することができます。

インシデント対応サービスの市場動向を理解する

インシデント対応サービス市場増加すると見込まれている2031年までに419億5000万米ドルから1161億7000万米ドルへと拡大し、年平均成長率（CAGR）は18.52％となる見込みである。

この成長を後押ししている要因はいくつかあります：

• 各組織はクラウドファーストのアーキテクチャを導入している
• 各国政府は、より厳格なデータ保護規制を導入している
• サイバー保険の提供業者は、企業に対してインシデント対応のためのリテイナーを維持することをますます求めている。

また、サイバーセキュリティ・プラットフォームベンダーがマネージド・ディテクション・アンド・レスポンス（MDR）プロバイダーを買収する動きに伴い、市場は再編が進んでいます。これにより、組織は脅威の検知、調査、封じ込めを単一のサービスモデルに統合することが可能になります。

サイバー攻撃の高度化

サイバー攻撃は、特に銀行、金融、公益事業、重要インフラなどの分野において、その速度が加速し、引き起こす混乱も増大している。現在、攻撃者は侵害された環境内で迅速に動き回り、多くの場合、数時間、あるいは数分という短時間でデータを盗み出したり、業務を妨害したりしている。

この傾向により、感染拡大の封じ込めに重点を置いたインシデント対応サービスの需要が高まっています。組織にとっては、被害がさらに拡大する前に、感染したシステムを隔離し、侵害された認証情報を無効化し、横方向の移動を阻止できる外部の対応要員が必要とされています。

また、最近の攻撃では、クラウドインフラやID管理システムを標的とするケースが増加しています。攻撃者は、OAuthトークンの悪用やビジネスメール詐欺（BEC）キャンペーンなどの手法を用いて、従来のセキュリティツールを迂回しています。その結果、各組織では、ID関連の問題に対する迅速な是正措置や、クラウドに特化した対応能力を優先的に整備するようになっています。

規制およびコンプライアンス上の圧力

規制は、インシデント対応への投資を後押しする主要な要因となりつつあります。欧州連合（EU）のNIS2指令、PCI-DSS 4.0、および各地域のプライバシー規制などの法律や枠組みにより、組織は正式なインシデント対応プロセスを整備し、厳格な報告期限を遵守することが求められています。

現在、多くの組織は、技術的な是正措置に加え、法務、コンプライアンス、広報上の要件にも対応できるインシデント対応パートナーを必要としています。これには、証拠の収集、情報漏洩の報告、フォレンジック分析、および複数の管轄区域にわたる連携などが含まれます。

マネージド・ディテクション・アンド・レスポンスへの移行

マネージド・ディテクション・アンド・レスポンス（MDR）は、市場で最も急成長している分野の一つです。組織は、事後対応的なインシデント処理だけに頼るのではなく、継続的な監視や予防的な脅威ハンティングを求めるようになってきています。

MDRプロバイダーは、AIを活用した分析、自動化、脅威インテリジェンスを活用して、不審な挙動をより早期に特定し、対応時間を短縮しています。現在では、多くのサービスに、調査や封じ込めのプロセスを迅速化する自動化されたプレイブックが組み込まれています。

インシデント・レスポンス・サービスの主な特徴

インシデント対応サービスは、通常、以下の機能を提供する：

• 自動検知ツール：アルゴリズムや機械学習技術を使用して、潜在的な脅威や異常をリアルタイムで特定します。これにより迅速な対応が可能になり、攻撃者が損害を与える機会を減らすことができます。また、自動化されたシステムは、重大性と潜在的な影響に基づいてインシデントに優先順位を付けることができます。
• フォレンジック・ツールと技術：侵害の発生源と範囲を特定する。詳細な分析と調査を可能にし、データの回収、システムの脆弱性の分析、攻撃者の手法の特定を支援します。これは、インシデントを深く理解し、規制当局の監査や法的目的に役立ちます。
• 反復可能なプロセスと手順：セキュリティインシデントの管理における一貫性と有効性を確保する。これらのプロセスは事前に定義され、文書化されているため、インシデント対応チームがインシデントを処理する各段階をガイドする明確な枠組みが提供される。主な要素には、インシデントの検出、初期評価、封じ込め、根絶、復旧、インシデント発生後のレビューなどがあります。
• 迅速な封じ込め戦略：影響を受けたシステムを隔離し、攻撃の拡大を防止します。即座に隔離することで、ネットワークの中断を最小限に抑え、侵害の影響を軽減します。これには通常、侵害された領域へのネットワーク・アクセスをシャットダウンまたは制限する自動化プロセスが含まれます。
• システムの復元：インシデント解決後、影響を受けたシステムをネットワークに安全に再導入し、悪意のあるコードや脆弱性がないことを確認します。インシデント対応チームは、再暴露のリスクを冒すことなく、システムやデータをインシデント発生前の状態に復元します。多くの場合、リリース前に管理された環境でテストを行います。
• 根本原因分析（RCA）：セキュリティ侵害を可能にした根本的な問題を特定することを目的とする。根本的な問題に対処することで、将来の再発を防止する。この分析では、多くの場合、インシデントを最初から最後まで再検討し、技術やプロセスの欠陥を明らかにする。
• より広範なセキュリティ対策との統合：インシデント対応プロセスを全体的なITセキュリティ戦略と整合させ、組織の全レベルで一貫した保護を確保する。

インシデント・レスポンス・サービス

主要なSIEMソリューションを提供するExabeamは、複数のインシデント対応サービスプロバイダーと提携しています。ここでは、インシデントレスポンスでお客様を支援するために当社が信頼しているプロバイダーと、その主なサービスの特徴をご紹介します。

1.グーグル マンディアント

Google Mandiantは、20年以上にわたるインシデント対応の経験とリアルタイムの脅威インテリジェンスを組み合わせ、組織がサイバー攻撃への備え、検知、復旧を行うことを支援します。サービスは、事前の準備、技術的な対応、危機管理に及び、事前に合意された条件と2時間以内の対応時間を保証する柔軟なリテーナーモデルによって支えられています。

• インシデント対応契約：事前に合意された条件に基づき、サイバーセキュリティの専門家へ即座にアクセスでき、2時間以内の対応が保証されるほか、インシデント発生時の防御体制を強化するための予防的なサービスも提供されます。
• 侵害状況の評価：インシデント対応の経験とリアルタイムの脅威インテリジェンスを組み合わせ、企業環境全体において、過去または現在進行中の侵入の証拠を特定します。
• 危機管理コミュニケーション：組織が多面的な攻撃に効果的に対応できるよう支援し、ステークホルダーの保護と評判リスクの軽減に貢献します。
• サイバー防衛評価：防御能力を明確に把握し、より強固で回復力のあるセキュリティプログラムを構築するための優先順位付けされたロードマップを提供します。
• AIセキュリティサービス：AIシステム（トレーニングデータ、モデル、カスタムアプリケーションを含む）のエンドツーエンドのセキュリティを評価し、組織がAIを活用してサイバー防御能力を強化できるよう支援します。
• レッドチーム評価：特定の目的を追求する実際の攻撃者を模倣し、従来の評価では見過ごされがちな複雑な攻撃経路を明らかにします。

2.オプティヴ

Optivは、「発見」「緩和」「対応」という3つのフェーズを軸としたインシデント対応および復旧サービスを提供しています。これらのサービスは、初期の範囲特定からフォレンジック調査による記録作成に至るまで、インシデントのライフサイクル全体を網羅しており、24時間365日体制で提供されています。

• インシデントの発見：侵害を受けたシステムの評価を行い、侵害の性質と範囲を特定すること。これには、持続的な攻撃やマルウェアの封じ込めも含まれる。
• インシデント迅速対応（IRR）プログラム：根本原因を特定し、セキュリティプログラムのどの部分の不備がインシデントの一因となったかを明らかにするための体系的なアプローチ。
• インシデント対応コンサルティング：復旧手順やセキュリティ対策の改善に関するガイダンスに加え、実践的な技術サポートも併せて提供します。
• インシデント対応コンサルティング：攻撃者の行動を再現し、侵害の範囲を特定し、データ損失を把握するとともに、将来のインシデント発生リスクを低減するための対策を支援する、実践的な支援を提供します。
• 実務者チーム：1,000名を超えるセキュリティ実務者からなるチームが、文書化された方法論を適用し、各クライアントの環境やビジネス要件に合わせたサービスを提供しています。

3.ガイドポイント

GuidePoint Securityのインシデント対応サービスは、サイバーインシデントの範囲特定と調査、および是正策の策定に重点を置いています。サービス提供期間中、チームはクライアントが既に保有するツールやデータソースを活用し、必要に応じてそれらを補完しながら、ネットワーク、エンドポイント、ログ環境全体にわたる可視性を確保します。

• 明確な対応体制：準備、特定、封じ込め、根絶、復旧を網羅する業界標準のIRフレームワークに準拠し、タスク、成果物、連絡方法、報告頻度を定めた文書化された対応計画を策定しています。
• IR実務チーム：チームメンバーは、SANS、ISC2、Offensive Security、および主要なクラウドプロバイダーの認定資格を保有しており、ネットワークトラフィック分析、ホストのトリアージ、マルウェア分析およびリバースエンジニアリング、ならびにディスクおよびメモリのフォレンジック取得といった分野を網羅しています。
• 脅威対応の範囲：ランサムウェア、フィッシング、DDoS攻撃、内部者による脅威、高度で持続的な脅威など、さまざまな種類のインシデントに対応します。
• サイバー保険および法務調整：プロジェクト期間を通じて、サイバー保険会社や法律顧問と連携し、保険契約の要件や法的書類に関する対応を行います。
• IRリテーナー：IRチームへのオンデマンドでのアクセスを提供するとともに、インシデント発生前の準備態勢を強化するためのIR成熟度評価や支援体制の整備など、オプションの予防的サービスも利用可能です。
• ランサムウェアへの対応：ランサムウェアインシデントに特化した対応サービスを提供します。これには、交渉支援を必要とする可能性のある組織向けに、脅威アクターとの交渉を専門とする別途の顧問契約も含まれます。

4.CDW

CDWは、評価、戦略策定、マネージドセキュリティを網羅する幅広いサービスポートフォリオの一環として、インシデント対応を含むサイバーセキュリティ・アドバイザリーサービスを提供しています。事後対応としてのインシデント処理から、事前の備えに至るまで、セキュリティエンジニアのチームが24時間体制で対応いたします。

• vCISOサービス：セキュリティプログラムの成熟度向上と戦略的計画策定を支援するため、継続的に提供されるテクノロジーに依存しないセキュリティコンサルティング。
• 緊急時および予防的なインシデント対応：CDWのパートナーネットワークの支援のもと、初期のトリアージからインシデント対応、調査、フォレンジック分析に至るまでのセキュリティ侵害への対応を網羅しています。
• IR対応準備サービス：IRプログラムおよびプレイブックの策定、対応準備状況の評価、机上演習などが含まれます。
• 侵害の評価：脅威ハンティングツールおよびMITRE ATT&CK フレームワークを活用し、侵害の兆候を特定し、環境内のアクティブな脅威を洗い出します。
• SOCアドバイザリー：セキュリティオペレーションセンター（SOC）における運用上の課題、具体的にはベンチマーク、侵入テスト、技術導入、および自動化の機会の特定などについて取り上げています。
• 脆弱性評価：NISTやCISなどのフレームワークに基づき、境界、内部、および無線環境を対象に、セキュリティ対策の不備を特定します。

5.マクニンカ

Macnicaは、日本を拠点とするテクノロジー企業であり、攻撃者の動向、手口、および対策を追跡する「セキュリティリサーチセンター」で培われた知見を基盤としたセキュリティサービスを提供しています。同社のインシデント対応能力は、モニタリング、評価、コンサルティングといった幅広いサービス群と併せて提供されています。

• セキュリティアドバイザリーおよびコンサルティング：一般的なセキュリティアドバイザリーサービスに加え、組織が内部CSIRTを設立またはその体制を整備するための支援を含みます。
• セキュリティ評価：デバイス評価、プラットフォーム診断、攻撃対象領域の管理、Webアプリケーションの脆弱性診断、およびドメイン調査サービスを含みます。
• 監視および運用：SOCサービス、アクティブディレクトリによる監視、SIEMによる運用監視、EDRによる監視、およびWebサイトのセキュリティ監視が含まれ、複数のベンダーのツールに対応しています。
• インシデント対応と脅威ハンティング：脅威ハンティングおよびインシデント対応サービスを提供するとともに、発生中のインシデントに対する初期対応支援およびトリアージ機能も提供します。
• トレーニングおよびCSIRT演習：不審なメールに関するトレーニングや、社内のCSIRTチームの能力を検証・強化することを目的とした演習を提供しています。
• 脆弱性リスク管理：特定された脆弱性を管理し、優先順位を付けるためのSaaSベースの脆弱性リスクトリアージプラットフォームが含まれています。

6.アールテック

R-tecは、ドイツのサイバーセキュリティ企業であり、リテーナー契約モデルを通じてインシデント対応サービスを提供しています。月額固定料金により、所定の対応時間を保証した常時待機サービスがカバーされます。サービス内容は、インシデントへの備え、アクティブな対応、および事後分析に及びます。

• 保証された対応時間：サービスレベルには、「ベーシック」（月～金曜日のホットライン、6時間以内のリモート専門家による対応）と「プレミアム」（24時間365日のホットライン、4時間以内のリモート専門家による対応）があり、ご要望に応じて「カスタム」プランもご利用いただけます。
• インシデント対応の準備体制：インシデントが発生する前に、文書化された行動計画が整備されるよう、技術的および組織的な対策、プロセス、ツールを事前に整備しておくこと。
• フォレンジック分析および報告：調査結果をまとめた文書を作成し、社内チーム、外部サービスプロバイダー、当局、サイバー保険会社との連携を含め、組織が是正措置を実施できるよう支援します。
• 脅威インテリジェンスの統合：MISPベースのプラットフォームを通じて、年間100件以上のインシデント対応事例やレッドチーム活動から得られた知見を集約し、最新の攻撃者の戦術、手法、手順を検知および脅威ハンティング活動に反映させる。
• APT対応認定：R-tecは、ドイツ連邦情報セキュリティ局（BSI）から、高度な持続的脅威（APT）の攻撃者に対する防御に関するBSIの要件を満たす、認定APT対応プロバイダーとして認められています。
• 攻撃シミュレーション：さまざまな複雑さのレベルで攻撃シミュレーションを実施し、インシデント対応計画、内部プロセス、ツール、およびチームの対応能力を検証します。

7.レベルブルー

LevelBlueは、2024年にAT&T Cybersecurityから独立して設立されたマネージド・サイバーセキュリティサービス企業です。同社は、セキュリティオペレーションセンター（SOC）のグローバルネットワークを通じて、マネージド検知・対応、脅威インテリジェンス、コンサルティング、インシデント対応など、幅広いサービスを提供しています。

• インシデント対応およびフォレンジック：ストレージデバイスの取得・検査、およびシステムログやネットワークトラフィックからのデータ分析を通じて、デジタルフォレンジック調査を支援し、パターンを特定して攻撃者の行動を再現します。
• インシデント対応計画：組織と連携し、その組織に合わせたインシデント対応計画を策定するとともに、計画のテストを実施し、インシデントが発生する前に課題を特定します。
• インシデント対応リテーナー：オンデマンドでのインシデント対応（IR）アクセスを提供し、LevelBlue USM Anywhereプラットフォームと連携することで、複数のツールから個別にデータを正規化する必要なく、環境全体の可視性を確保します。
• マネージド検出・対応：世界中に8つのSOCを運営し、LevelBlue Labsチームによる脅威インテリジェンス調査を基盤として、24時間365日の監視を提供しています。
• AIを活用したセキュリティ運用：SentinelOneとの提携により、マネージドセキュリティ運用およびインシデント対応機能を提供し、検知および対応のワークフローにAIによる分析を組み込んでいます。
• 脅威インテリジェンス：AT&Tの主導で開発された脅威インテリジェンス共有コミュニティ「Open Threat Exchange（OTX）」へのアクセスが含まれており、組織に対してコミュニティから提供された侵害の兆候（IoC）や脅威データを提供します。

Exabeamプラットフォームの機能：SIEM、UEBA、SOAR、内部脅威、コンプライアンス、TDIR

Exabeam Fusion Enterprise Edition Incident Responderは、AIと自動化をセキュリティ・オペレーション・ワークフローに適用することで、サイバー脅威と戦うための総合的なアプローチを実現し、最も効果的な脅威の検知、調査、対応（TDIR）を提供します：

• AIによる検知は、ユーザーやエンティティの正常な行動を学習し、コンテキストを考慮したリスクスコアリングで脅威の優先順位をつけることで、リスクの高い脅威をピンポイントで検知します。
• 自動化された調査により、セキュリティ・オペレーションが簡素化され、異種データを相関させて脅威のタイムラインを作成することができます。
• プレイブックは、ワークフローを文書化し、アクティビティを標準化することで、調査と対応を迅速化します。
• 可視化は、最も戦略的な成果とデータおよび検出のギャップを埋めるためのフレームワークに対してカバレッジをマッピングします。

これらの機能により、Exabeamはセキュリティ・オペレーション・チームがより迅速、正確かつ一貫性のあるTDIRを実現できるよう支援します。