すべてのベンダーのピッチは同じ方法で始まります。クラウドネイティブに移行すれば、可視性の問題はすべて解決する、という話です。素敵な話ですね。ただし、2014年のデータセンターはそのメッセージを受け取っていませんし、製造現場は誰も触りたくない OT ネットワークを今も運用しており、「クラウド移行」の半分は実際には VPN トンネルでコロケーション施設のラックに接続されている Kubernetes クラスタです。
ハイブリッドはクラウドネイティブへの移行過程における一つの段階ではありません。ほとんどの組織にとって、それは永続的な状態です。つまり、脅威検出は、同じツールで監視されるように設計されたことのない環境全体で機能する必要があります。
ハイブリッド脅威検出のギャップは環境間の継ぎ目にある
AWS の検出を購入することはできます。Azure の検出を購入することもできます。オンプレミスのファイアウォールの検出を購入することもできます。ほぼ誰も購入しないのは、その間の境界の検出です。AD とクラウド IdP 間のアイデンティティブリッジ、両側でアクセス権を持つサービスアカウント、侵害されたラップトップと重要資産の間の唯一の防壁である VPN ゲートウェイです。
攻撃者はあなたのアーキテクチャ図を尊重しません。彼らは最短経路がある場所に向かい、その経路はほぼ常に、2 つのチームに属し、どちらも所有していない継ぎ目を通ります。
ハイブリッド脅威検出が実際に必要とするもの
ほとんどの「ハイブリッド脅威検出」コンテンツは、白紙の状態を想定しています。あなたのインフラはそうではありません。現在の状態からそこに到達する方法を説明します。
- 何かを購入する前に、継ぎ目をインベントリ化してください。アイデンティティ、ネットワーク、またはデータが環境の境界を越えるすべての場所をマップします。AD から Entra ID または Okta への同期、共有サービスアカウント、VPN ゲートウェイ、オンプレミス NAS からレプリケートされる S3 バケット、ハイブリッドノードプールを持つ Kubernetes クラスタです。このリストは通常、誰もが予想するより長く、複雑です。
- 相関させる前に正規化してください。AWS CloudTrail、Azure Activity Logs、GCP Audit Logs、ファイアウォールと IDS からのオンプレミスの syslog、および Kubernetes 監査ログはすべて、認証、アクセス、構成変更という同じ種類のイベントを、まったく異なる形式で説明しています。プラットフォームがそれらを一貫したスキーマにマップできない場合、アナリストはインシデント中に手動で翻訳することになります。これは新しいログ形式を学ぶのに最悪のタイミングです。
- アイデンティティとネットワークテレメトリを同じタイムラインに配置してください。クラウド IAM ポリシーの変更と 3 分後のオンプレミス VPN ログインは無関係かもしれません。または、それがインシデント全体かもしれません。別のツールに存在し、保持期間が異なる場合、その違いを判断することはできません。
- ログの出所に関係なく、MITRE ATT&CKにマップしてください。環境全体での一貫した検出ロジックは、個々の検出ルールよりも重要です。オンプレミスの検出とクラウドの検出が異なる分類法を使用している場合、同じ攻撃者の 2 つの異なるメンタルモデルを維持していることになります。
- 実際に境界を越えるプレイブックを構築してください。クラウド側の異常なアクセスで発火するインサイトは、アラートを生成したツールの端で停止するのではなく、オンプレミスのアセットインベントリとアイデンティティデータに対して自動的にエンリッチメントできる必要があります。
実際の運用ではどのようになるか
これがCloud SIEMの実際のユースケースです。AWS、Azure、GCP、Kubernetes、Linux、NGINX、オンプレミスのソースを 1 つの正規化されたパイプラインに取り込みます。「統一」を謳う切り離されたツールの集合ではなく。
DojoAI は、これらの異なるソース全体で推論を行い、各ソースを独立した島として扱うのではなく、クラウドコントロールプレーンからのシグナルをオンプレミスエンドポイント上のアクティビティに接続します。アナリストが 2 つを手動で結合する必要はありません。また、検出はソースに関係なく MITRE ATT&CK に一貫してマップされるため、SOC Analyst Agent は、VPC フローログから発生したか、まだプラグインされていることを忘れていたラック上のファイアウォールから発生したかに関わらず、同じ方法でインサイトをトリアージできます。
最後に
誰のインフラストラクチャもきれいではありません。被害を受ける組織は、ハイブリッドを実行している組織ではなく、それはほぼすべての組織です。環境ごとに検出を個別に購入し、継ぎ目が自動的に処理されると想定した組織です。攻撃者はすでに継ぎ目を見つけています。唯一の問題は、あなたが最初にそれらを見つけるかどうかです。
クラウドとオンプレミス全体で検出を実行していて、継ぎ目を感じていますか？Sumo Logic Cloud SIEM がハイブリッド環境をどのように処理するかをご覧ください。
