XDRソリューション最適な選択肢の選択

XDRソリューションとは？

XDR（Extended Detection and Response）ソリューションは、ITエコシステム全体の脅威を簡素化されたビューで把握し、全体的なアプローチで対処します。XDRソリューションは、複数のセキュリティ製品を統一されたまとまりのあるプラットフォームに統合し、アラートをレポート・ソース間のタイムラインに整理します。組織は、エンドポイント、サーバー、ネットワーク・トラフィック、クラウドIaaS機能、クラウドSaaS機能、資格情報、権限など、エンティティに対する潜在的な攻撃に対する可視性の欠如に悩まされることがよくあります。

XDR は、企業がより迅速かつ優れた成果を達成できるよう、リアルタイムの洞察の獲得を支援します。企業はXDRを採用することで、検知、保護、対応の取り組みを改善することができます。脅威の検知を一元化することで、企業は運用セキュリティ担当者の生産性を向上させることができます。また、XDR はセキュリティ・スタックの総所有コストの削減にも役立ちます。

ネイティブXDR対オープンXDR

ネイティブXDRネイティブXDRベンダーは、同じベンダーのセキュリティ・スタックからデータを収集・照合し、コンテキストと分析機能を追加するフロントエンド・ツールを提供している。

ネイティブ XDR ソリューションは、エンドポイント、ネットワーク、クラウド、アイデンティティ、電子メールなど、一般的な XDR エンティティやセキュリティ管理ポイントに必要なすべてのセンサーを提供する傾向があります。さらに、このソリューションは、脅威の検出とインシデント対応のためのデータに裏打ちされたバックエンド機能を提供します。

オープンXDRベンダーは、既存のエコシステムのすべてのベンダーとログソースに統合し、さまざまなベンダースタック間で相関させ、セキュリティインテリジェンスと相関関係を介してコンテキストを追加しながら、すべての関連データを分析するソリューションを提供します。通常、オープンXDRベンダーは、主にバックエンドのワークフローエンジンと分析を提供しています。

主要なオープン XDR ベンダーは、脅威の検出とインシデント対応（TDIR）のライフサイクル全体だけでなく、複数またはすべての攻撃フェーズにわたって必要な処方的コンテンツを提供することもできます。これは、一般的なセキュリティ・オペレーション・センター（SOC）のシナリオを解決するのに役立ちます。

XDRソリューションの仕組み

XDRソリューションは以下の主要機能を提供する：

分析と検出

XDRソリューションは、セキュリティイベントの高度な自動解析と回避的脅威の検出を可能にします。これには以下が含まれます：

• すべてのネットワーク・トラフィックの分析 -XDR は、外部および内部のネットワーク認証とトラフィックの両方を分析し、内部脅威、漏洩した認証情報、またはネットワーク境界に侵入した脅威を検出します。
• 脅威インテリジェンス -XDRは、脅威インテリジェンスのフィードと、次のような一般的な攻撃フレームワークにマッピングされたデータを使用して、セキュリティイベントにコンテキストを追加できます。MITRE ATT&CKマトリックスにマッピングされます。
• AI主導の検知 -XDRは、さまざまな機械学習アルゴリズムを使用して動作しきい値を設定し、潜在的なゼロデイ攻撃の動きを含む環境内の異常なアクティビティを検知します。

インシデント対応

セキュリティ・インシデントが検出されると、XDRソリューションが提供する：

• インシデントに関連するすべてのデータの相関 -アラートをグループ化し、複数の異種セキュリティスタックソースにまたがる意味のある攻撃タイムラインを構築することで、セキュリティチームが攻撃を可視化し、根本原因を特定し、対応に優先順位をつけることができる。
• 中央ダッシュボード -XDRソリューションにより、セキュリティチームは、複数のログインを管理し、複数のツールやインターフェイスを学習し、操作することなく、1つのコンソールからインシデントを調査し、対応することができます。
• レスポンスの自動化とオーケストレーション -XDRは、自動化されたプレイブックを使用してインシデントに対応したり、セキュリティアナリストが同じ中央インターフェイスから一貫したレスポンスをトリガーしたりすることができます。

柔軟なフレームワーク

XDRソリューションは、さまざまなITシステムやセキュリティシステムと統合することができ、通常、時間の経過とともに利用が拡大する：

• セキュリティ・オーケストレーション -XDRは既存のセキュリティ・コントロールと統合し、対応の自動化とセキュリティ・ポリシーの一貫した展開を可能にします。
• スケーラビリティ -XDRソリューションは通常クラウドベースであり、データ量や分析要件を容易に拡張でき、保存期間も柔軟に設定できます。
• AIトレーニング-XDRは機械学習アルゴリズムに基づいており、組織固有のデータをパターン化し、時間の経過とともに精度が向上する。

正しいXDRソリューションを選ぶ前に考慮すべき質問

XDRソリューションはクロススタックの可視性を提供するか？

包括的なXDRプラットフォームは、異種セキュリティスタックや分散ネットワーク上の複数の攻撃ポイントだけでなく、複数のセキュリティレイヤーからテレメトリーを取り込むことができます。これにより、受信アラートの継続的な監視と管理が可能になります。さらに、XDR ソリューションは脅威インテリジェンス・フィードを取り込み、隠された脅威をプロアクティブに検索します。

XDR ソリューションはAdvanced Analyticsを提供するか？

XDRソリューションは、自動化されたAIベースのイベント相関を提供し、セキュリティ・グループにインテリジェンス・アラートを送信してインシデントのタイムラインを構築できなければならない。

効果的な XDR ソリューションは、一般的なサードパーティツールからのシグナルと脅威インテリジェンスソースからのデータを使用して、一般的な脅威を特定します。また、セキュリティチームが脅威に対処するために使用できる組み込みのワークフローとプレイブックを提供する必要があります。

これはXDRソリューションの「コンテンツ」的側面であり、セキュリティチームが自らシナリオを特定・定義することなく、特定の脅威検知シナリオにどれだけ対応できるかということである。

XDRソリューションはSIEMと統合できますか？

オープンXDRとSIEMは、どちらも脅威の検知、調査、対応（TDIR）機能を含むことができる。例えば、 と は、自動化フレームワークや高度な分析エンジンなどの構造的コンポーネントを共有している。Exabeam Fusion XDR Exabeam Fusion SIEM

しかし、SIEMとオープンXDRの中核となる機能と、それぞれのソリューションの設計思想は、両者を明確に区別しています。SIEMとオープンXDRは異なるシナリオを想定して設計されているからだ：

• オープンXDRは、機能的カバレッジが異種スタックにわたる脅威の検知と対応に主眼を置いている場合の運用に適している。
• SIEMは、脅威の検知や即時のインシデント対応だけでなく、履歴の参照やログイベントの保存など、必要な機能範囲を超えなければならない場合の運用に適している。これは、多くのコンプライアンス要件の要因となっている。

組織は、TDIR に特化して小規模にスタートすることに関心を持つことがある。このような企業は、後にログの一元化やコンプライアンスなど、他のセキュリティ運用分野に範囲を拡大することを計画していることがほとんどです。このような場合、組織は、例えばコンプライアンス・パッケージを追加したり、TDIR以外のダッシュボード機能を提供したりすることで、SIEMへの容易なアップグレードパスを提供するオープンなXDRソリューションを選択することができる。

理想的には、どのようなソリューションも、一般的なシナリオと高度なシナリオの両方について、あらかじめパッケージ化されたコンテンツを提供し、成果ベースのアプローチを使って規模に応じて提供することである。

XDRソリューションは対応を自動化できるか？

効果的なXDRソリューションは、複数のドメインにまたがる対応プロセスを自動化する。インシデントを軽減する効果的なレスポンスをトリガーすることができなければならない。効率的な修復を実現するために、各レスポンスは事前に定義され、繰り返し実行可能でなければならない。また、攻撃が進行している場合、チームは任意の段階で介入することができます。レスポンスを定義する際、SOCチームとリーダーシップは、短期的なレスポンスと攻撃を無力化する長期的な対策を明確に定義する必要がある。

Exabeam Fusion XDR

Exabeam Fusion XDRクラウド提供型ソリューションである「TDIR」は、成果ベースのアプローチを採用し、脅威の検出とインシデント対応（TDIR）を効率的に解決するための処方的ワークフローと、あらかじめパッケージ化された脅威固有のコンテンツを提供します。何百ものサードパーティセキュリティツールとの事前構築済みの統合と、市場をリードする当社の行動分析が、複数の製品からの弱いシグナルと通常の動作の理解を組み合わせ、他のツールでは見過ごされる複雑な脅威を発見します。特定の脅威タイプに特化した所定のワークフローと事前パッケージ化されたコンテンツにより、SOCはTDIRをより成功させることができます。単一の集中管理画面からトリアージ、調査、対応活動を自動化することで、アナリストの生産性を飛躍的に高め、対応時間を短縮します。