フィッシングは、かつては簡単なアラートだった。文法の誤り。「Amazon.com」へのリンク。送信者アドレスが1文字だけ異なる。アナリストたちはそれを笑い話にしていた。攻撃者が気の毒に思えるほどだった。
あの時代は終わった。AIがその時代を終わらせた。
今日のフィッシングメールは文法的に完璧で、LinkedInから収集した詳細情報でパーソナライズされており、実際の請求書の支払期限の直後に届くようにタイミングが調整され、場合によっては「確認のためのコールバック」でクローン音声が続くこともあります。これまで従業員に教え込んできた、タイプミス、ありきたりな挨拶、不自然な書式設定といった危険信号は、攻撃者があなたと同じ言語モデルを使用しているため、もはや存在しません。
予防策で勝つことは決してできなかった
セキュリティ意識向上トレーニングは依然として重要です。メールフィルタリングも依然として重要です。しかし、数字の上で率直に言えば、攻撃者はたった1回のクリックを得られればよく、AIはそのクリックが発生する可能性を大きく高めただけです。ゲートウェイでフィッシングを100%阻止するという従来の計画は、そもそも現実的ではなく、四半期を追うごとにさらに非現実的になっています。
「すべてのフィッシングメールを阻止するにはどうすればいいですか？」と尋ねるのではなく、誰かがクリックしたときに実際に何が起こったのかを、どれだけ早く把握できるかを検討する必要があります。
これは予防ではなく調査の問題であり、インシデントが発生する前に、適切なログを適切な場所に用意できているかどうかに、成否がかかっています。
実際に重要なログ
これらすべてがすべての環境に当てはまるわけではありませんが、2つ以上欠けている場合は、フィッシング調査は推測に頼っていることになります。
- メールゲートウェイとメールフローログ。 ヘッダー、SPF/DKIM/DMARC の結果、添付ファイルと URL 書き換えの判定、および配信ステータス。ここでは、セキュリティ意識向上トレーニングのスクリーンショットに表示されている内容ではなく、ユーザーが実際に受け取った内容を確認します。Abnormal Security、Proofpoint、Gmailのトレースログなどのツールとの連携により、これらすべてがこのログに集約されます。
- アイデンティティおよび認証ログ。 MFAプロンプトの承認または拒否、新しいデバイスのサインイン、不可能な移動、条件付きアクセスの判断。フィッシングキャンペーンが認証情報窃取を目的としたものであった場合、ここでそれが成功したかどうかを確認できます。
- EDRとプロセス実行ログ。 これらは、クリック後に何が実行されたかを示します。マクロの実行、生成された子プロセス、および1週間前には存在しなかったドメインにアクセスしているものを探してください。
- DNSとプロキシのログ。 ユーザーのマシンは実際に悪意のあるドメイン名を名前解決したり接続したりしたのでしょうか、それともクリックは上流で傍受されたのでしょうか？新規登録ドメインは、依然として最も優れたシグナルの1つです。
- SaaSとメールボックスの監査ログ。 OAuth 同意付与とメールボックス ルールの変更は、ビジネスメール詐欺における静かな部分です。侵入に成功した攻撃者は、マルウェアを必要としない。誰も見ていない転送ルールがあればよいだけだ。
これらはそれぞれ、全体の一部の断片しか示していません。メールフローログには、フィッシングメールが配信されたことが記録されています。アイデンティティログには、3分後に誰かが別の場所からログインしたことが記録されている。どちらもストーリー全体は示していない。一緒に見ることで、初めて全体像が見えてくる。
5つのタブは調査ではありません
誰も認めたがらない部分ですが、ほとんどのフィッシング調査が遅いのはログが存在しないからではありません。ログが5つの異なるコンソールに分散しているため、処理が遅くなっています。アナリストは、CISOから最新情報の要求がある中で、プレッシャーのかかる状況下でそれらを手作業でつなぎ合わせています。
それが実際のボトルネックです。可視性ではない。相関の速さだ。
これこそがCloud SIEMが構築された目的です。メール、ID、EDR、DNS、SaaS監査データを、5つのブラウザタブではなく1つのタイムラインに集約します。インサイトが発生すると、サマリーエージェントは、生のフィールドの羅列ではなく、平易な言葉で何がトリガーとなったかを説明します。そこから、SOCアナリストエージェントが自律的に調査を行い、脅威インテリジェンスと相関付け、MITRE ATT&CKにマッピングし、証拠の痕跡が既に揃った状態でアナリストに深刻度の判定を渡します。「深刻度が高い、私を信じてください」というブラックボックスではありません。
自動処理だけでは不十分で、アナリストが「このメールボックスには過去30日間に転送ルールが追加されましたか」といった具体的な質問をする必要がある場合は、新しい Mobot が役立ちます。複数ステップの質問をすると、どのデータソースを取得すべきか、どの期間が適切かを判断し、結果をまたいで推論してくれるので、アナリストが5つのクエリ間を手動でピボットする必要がなくなります。
結び
フィッシングを阻止するのが難しくなったのは、攻撃者が賢くなったからではありません。彼らもあなたと同じツールにアクセスできるようになり、いまや従来のプロセスよりも速く動けるようになったからです。LLMをフィルタリングで上回ることはできない。しかし、最初のクリックが発生する前にログがすでに相関付けられているのであれば、調査でLLMを上回ることはできます。
あなたのチームが「クリック後に何が起こったか？」に実際どれくらいの速さで答えられるのか、気になりませんか？Sumo Logic Cloud SIEMのデモをご覧ください。
