ネットワークセキュリティツール

これは、ネットワークトラフィックを監視、収集、分析し、異常を特定して対応を行う活動です。これらの異常は、ネットワーク内における侵害の兆候（IOC）（すなわち、違反）である可能性があるため、組織のセキュリティツールには、潜在的な脅威をほぼリアルタイムで検知できるネットワークセキュリティ監視機能が備わっていることが不可欠です。

VIAVI Observer は、トラフィックに対してワイヤデータ分析とフローベースの分析の両方を行うことで、NetOps および SecOps のユーザーにネットワークの可視性を提供し、あらゆる組織のネットワークセキュリティ監視ツールにとって貴重な補完ツールとなります。

通常、これらには、複数の情報源から情報を集約するリアルタイムの脅威検知システム、脅威が発生した場合にユーザーに自動的に警告を発するシステム、および/または、不正な活動を示唆するトラフィックパターンやユーザーグループの異常を特定するための行動分析技術などが含まれます。

Observer は、これらのそれぞれに対し、強化されたフローと高忠実度のネットワークセキュリティフォレンジックの機能を提供します。

現代社会では、セキュリティ上の脅威は至る所に潜んでいます。セキュリティ侵害による影響は、かつてないほど深刻化しています。実際、情報漏洩による平均的な損害額は 800 万ドル以上にのぼり、組織が被る評判の低下による損害は、それをはるかに上回る可能性があります。サイバーセキュリティ対策への投資の必要性は、かつてないほど高まっています。

そこで、Observer のネットワークセキュリティ監視ソフトウェアの出番となります。Observer は、高度なトラフィックプロファイリングと IP ブラックリスト機能を活用し、不正な活動や無許可のデバイスを即座に特定することで、防御体制を強化します。これは脅威をプロアクティブに探り出すという点では役立ちますが、事後対応面についてはどうでしょうか？

完全な忠実度を誇るフォレンジック技術に裏打ちされた Observer のワイヤデータ収集機能により、セキュリティおよびネットワークチームはネットワークのほぼ完全な可視性を得ることができ、このワイヤデータは極めて重要です。実際、EMA の最近の調査によると、通常のサイバーセキュリティツールセットの一部としてワイヤデータを使用した企業では、セキュリティ侵害の検知と対応時間が短縮され、ワークフローやプロセスに対する信頼も高まっていました。これにより、運用チームの満足度が向上し、最適なサービス提供の推進に注力できる時間が増えることになります。

組織にとって、自社のネットワークの声に耳を傾けることは、これまで以上に重要になっています。 

Enterprise Strategy Group が実施した調査によると、調査対象となった IT 専門家の 91% が、エンドポイント、サーバー、およびネットワークのその他の部分に対する可視性が、セキュリティ監視の取り組みを強化することに同意しています。これは、さまざまな種類のネットワークインフラのソースからデータを収集する必要性を示しています。そうして初めて、組織は、潜在的な攻撃者がネットワーク内を移動する過程における侵害の真の「最初から最後まで」の全体像を適切に描くことができるようになり、この全体像はセキュリティ調査において極めて重要です。

実際、デバイスが追跡されておらず、許可されていない場合、最も無害なデバイスからも攻撃が来る可能性があります。Observer は、インフラ機器に耳を傾けることで、従来のネットワークセキュリティツールの枠を超え、ネットワークに何が接続されているか、また誰がネットワークを介して通信を行っているかを把握できるよう支援します。Observer を使えば、すべてのデバイスにわたって不正な活動を容易に検知できます。

ネットワークの速度とトラフィック量が拡大し続けるにつれ、どのパケットブローカーも、パケットを全く失うことなく、この成長に対応できるよう拡張できることが極めて重要です。Observer を使用すると、ネットワークとセキュリティチームは、業界トップのストリームトゥディスク速度を備えた、市場でも数少ないサードパーティによる検証を受けたワイヤデータ収集ツールの一つを利用できるようになります。つまり、セキュリティチームやネットワークチームは是正措置を実施する際に、全体像を把握できるようになります。

ただし、Observer は単なるパケットブローカーという枠を超えています。実際、Observer では、以下の 3 つの重要な機能を備えた自動化された脅威評価機能も提供しています。

• IP アドレスのブラックリスト登録：Observer は自動的に本部に接続して最新のブラックリスト登録 IP を取得し、それを過去のすべてのエンリッチドフローレコードと照合します。 
• SYN フォレンジック：Observer はまた、不正な活動と関連することが多い同期専用のフローレコードについてもアラートを発信できます。
• トラフィックプロファイリング：Observer の主な機能の一つは、エンリッチドフローレコードを用いて、ネットワーク上のデバイスのトラフィックプロファイルを構築することです。プロファイルはリアルタイムで更新され、ネットワーク上で今後発生するすべてのデバイストラフィックは、過去の挙動と照らし合わせて、異常な活動や不審な活動がないか評価されます。 

VIAVI のネットワークセキュリティソフトウェアを使用すると、プロファイル登録済みおよびブラックリスト登録済みの IP アドレスからの脅威の発信元と宛先をリアルタイムの脅威マップに集約できるため、組織のツールセットにとって貴重な補強となります。

この統合型脅威マップは、次のような具体的なネットワーク監視のユースケースを掘り下げるのに役立ちます。

• そのホストやデバイスは、先ほど何と通信していたのか？
• その不正なホスト/デバイスは現在どこにあるか？
• 誰がそのホスト/デバイスを使用していたか？
• このイベントについて、どのようなデバイス/インターフェイスの情報を収集することができるか？

侵害が発生した場合、事後調査に役立てるため、データの記録を残しておくことが不可欠です。そこで、Observer の完全忠実度型フォレンジック機能の出番となります。Observer の完全忠実度パケットキャプチャと、エンリッチドフローレコードを組み合わせることで、1 ペタバイトを超えるストレージを使用して、タイムスタンプや位置情報を含むすべての関連データを、長期間にわたり継続的かつ動的にキャプチャします。 

このため、IT チームは過去の特定のイベントや異常事態にさかのぼり、そのインシデントが誰に影響を与えたか、またいつ、どこで、どのように発生したかに回答することで、トラブルシューティングを行い、問題を解決することができます。

監視機能を備えたネットワークセキュリティツールを用いてこれを実現できることは、欧州の一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）といった新たなプライバシー法規が導入される中で、特に重要です。例えば GDPR の場合、侵害が発見された際、欧州で事業を行う組織は、侵害に関連するすべての情報を収集し、関連する規制当局に報告するまでに、わずか 72 時間しかありません。侵害が予想よりもかなり以前の時期に発生していた場合、これはは困難になる可能性があります。しかし、Observer のアーカイブ機能とワイヤデータキャプチャ機能を使用すると、組織は規制当局へ報告するためのワイヤデータ、エンリッチドフローレコード、および会話のメタデータを確実に確保することができます。

Observer は、従来のフローを再構築し、組織にセキュリティ監視のユースケースを提供します。Observer は、複数のデータソースをインテリジェントに統合してエンリッチドフローレコードを作成することで、ユーザーがカーソルを合わせたりスイープしたりするだけで、ユーザーから IP、さらに MAC への関連性や使用パターンなどを確認できる、アクセスしやすく拡張性のある可視化機能を提供します。

歴史的に見て、NetFlow は、セキュリティツールがネットワークに関する情報（特定のパケットの発信元および宛先の IP アドレス、タイムスタンプなど）を収集することができるようにする強力なデータセットでした。Observer のエンリッチドフローレコードは、通常の NetFlow のデータをはるかに超えており、NetFlow、SNMP、ユーザー ID、セッションの syslog など、複数のトラフィックやインフラのソースからのデータを統合することにより形成された、構造化された知見を提供します。 

これにより、セキュリティアナリストはデバイスの MAC アドレスを検索し、そこからその MAC アドレスに関連するすべてのユーザー ID を一か所で見つけることができ、Observer のフローベースの分析がもたらすネットワーク可視化の威力が実感されます。

ネットワーク可視性には、問題の是正に不可欠なもう一つの側面があります。それは、エンリッチドフローを完璧に補完するものであり、それがワイヤデータです。完全忠実度フォレンジック技術を搭載した Observer のワイヤデータキャプチャ機能は、パケットベースの重要な知見を提供し、侵害が検出された後に NetOps および SecOps が必要とする情報を提供します。脅威アクターがネットワークに接続されたホストのサービスを意図的に妨害するサービス拒否攻撃の場合、サービスを復旧させて正常に稼働させるまでに数週間を要することがあります。Observer のワイヤデータ分析を使用すると、ネットワークおよびセキュリティチームは、データがどこで、どのように侵害されたかを迅速に特定し、サービスが停止したドメイン（アプリケーション、ネットワーク、クライアント、サーバーのいずれであれ）を分離し、さらには、ソケットごとに 30 以上の KPI で算出されたエンドユーザのエクスペリエンススコアも把握できるため、機能の復旧を可能な限り迅速かつ円滑に行えるようになります。

一例としては、2019 年に報告された、NASA のジェット推進研究所（JPL）における火星探査ミッション関連データが流出したセキュリティ侵害事件が挙げられます。

2019 年 6 月に、悪意のあるアクターが、カリフォルニア州パサデナにある JPL のネットワークにアクセスするため、正式に許可されていない Raspberry Pi デバイスを標的にしました。このハッカーは 10 か月間、発見されることなく活動を続け、その間に 23 個のファイルから約 500MB のデータを盗み出しました。そのうち 2 つのファイルには、マーズ・サイエンス・ラボラトリー（MSL）のミッションに関連する国際武器取引規制（ITAR）の情報が含まれていました。

どのようにしてこれが起こったのでしょうか？ とりわけ、JPL の情報技術セキュリティデータベースでは、ネットワーク上の物理資産やアプリケーションを追跡しているはずでは？ まず、この Raspberry Pi は必要な審査と承認を受けていなかったにもかかわらず、接続されていました。 

そこで疑問が生じます。これを防ぐにはどうすればよかったのでしょうか？ その答えは、Flow のデータに見出すことができます。Flow ベースの分析を用いれば、特定のデバイス群だけでなく、ネットワークに接続されているあらゆるデバイスに関する情報をキャプチャすることができたはずです。ただし、どのフローデータでもというわけではありません。従来、フローはプロトコルや会話の「頻度」や「回数」を集計するために使用されてきましたが、エンリッチドフローレコードを使用することで、VIAVI はネットワーク全体で何が接続されており、誰が通信を行っているのかに回答できるよう支援します。将来のエンリッチドフローでは、MAC アドレスに関する情報や、さらには特定の IP アドレスに対するユーザー ID さえも結びつけることが可能になります。

エンリッチドフローに流入するソースの種類は、大きく 4 つのカテゴリーに分類できます。

• フローのソース：ルーター、スイッチ、ロードバランサー、パケットブローカー、ワイヤレス AP、ファイアウォール、VPN、プロキシサーバー、WinFlow
• デバイスのソース：SNMP/ARP/CAM、SNMP/WMI、LDAP、IPAM/資産管理/MDM、SD-WAN コントローラー
• クラウドのソース：AWS、Azure、Google Cloud
• ユーザーのソース：ドメインサーバー、認証サーバー

エンリッチドフローを使用すると、非常に小さな Raspberry Pi や、そのデバイスがネットワーク上で交わしているすべての会話を可視化できるようになります。具体的には、Observer のエンリッチドフローレコードにより、以下について知見を得ることができます。

• ネットワークデバイスの種類に関する情報
• インターフェイス情報
• QoS の表示
• IP から MAC からユーザーへの関係
• トラフィックコントロールグループ
• 使用パターン

VIAVI のプロフェッショナルサービスは、お客様が確実に VIAVI のネットワークセキュリティツールを最大限に活用できるようにします。当社のプロフェッショナルサービスのエンジニアは、ソフトウェアの導入、設定、およびトレーニングにおける特定分野のエキスパートの役割を果たします。

プロフェッショナルサービスは、以下の 4 つのフェーズで構成されています。

• 発見：お客様と協力し、要件や期待を記録します。
• 計画：お客様のネットワークセキュリティ監視およびパフォーマンスニースに基づき、Observer の導入に必要な各種前提条件について検討し、SOW（作業範囲記述書）を作成します。
• 実行：当社スタッフが現場に赴き、導入および設定のサポートを行います。
• トレーニング 当社は、必要に応じて、さまざまなネットワークセキュリティ監視およびパフォーマンスのユースケースに合わせた、カスタムメイドのトレーニング要件を提供します。

当社では、お客様との連携を図り、独自の顧客価値を提供するために、現場への訪問のたびにプロジェクトマネージャーとプロフェッショナルサービスエンジニアを派遣します。当社のプロフェッショナルサービスのチームは、一丸となって以下を行います。

• 管理者およびユーザーを対象に、Observer によるネットワークセキュリティ監視およびパフォーマンスに関するトレーニングを提供します。
• Observer を最大限に活用できるよう、ネットワークセキュリティ監視およびパフォーマンスに関する新たなユースケースを特定し、取り組みます。
• Observer の最も重要な側面について説明し、本製品の使い方をすぐに習得できるようにします。
• お客様の部門全体にわたってエンジニアと連携し、カスタムネットワークセキュリティソフトウェアアプリケーションの開発を行います。
• トレーニング中に議論された、すべての設定およびネットワークセキュリティ監視のユースケースに関する最新情報や資料を毎日提供します。
• サポートチケットの作成や、Observer のオンライントレーニングへのアクセスについて、知識の伝達を行います。