エネルギー供給事業者がOPSWATを活用し、アラートの氾濫を解消、ゼロデイ攻撃の検知精度を向上

この組織では、自動化されたワークフローに、実際の脅威と無害な活動を区別するために必要な行動の文脈が欠けていたため、脅威ハンティングによって過剰なアラートが発生していました。その結果、アナリストはアラートを手作業で確認・検証することに多大な時間を費やすことを余儀なくされ、調査の遅延を招くとともに、SOC全体でアラート疲労が増大しました。

環境が拡大し、脅威の数が急増するにつれ、重要なシグナルを雑音から見分けることがますます困難になりました。脅威ハンティングは、検知の迅速化につながるどころか、かえって対応を遅らせ、自動化された出力結果への信頼を損なうことが多くなりました。その結果、重要なエネルギーインフラの保護を担うセキュリティ部門において、運用上の負担が増大しました。

クエリの実行速度の遅さや使用量ベースのライセンス体系により、調査を迅速かつ広範囲に実施することが制限されたため、脅威ハンティングは対応に追われることとなりました。未知のマルウェアや改変されたマルウェアを迅速に評価しなければならない環境において、この遅延は、SOCが確信を持って迅速に行動する能力を低下させていました。

スケーラビリティの問題も事態をさらに悪化させた。使用量ベースのライセンス体系により、チームやワークフロー全体で脅威ハンティングを適用できる範囲が制限され、自動化の強化や対象範囲の拡大には多額のコストがかかることになった。アラートの件数や運用上の要求が増加するにつれ、脅威ハンティングの処理能力が追いつかず、SOCの作業負荷と利用可能な検知処理能力との間に、ますます大きなギャップが生じてしまった。

これらの課題に対処するため、同組織は既存の自動化された脅威ハンティングワークフローMetaDefender 置き換え、ゼロデイ攻撃や検知回避型脅威の特定に特化した検知主導型のアプローチを採用しました。SOCは、外部のインジケーターのみに依存するのではなく、行動分析、脅威インテリジェンス、および自動優先順位付けを単一の検知パイプラインに統合した統合プラットフォームを導入しました。

この転換により、同組織はアラートの情報補完という段階を超え、大規模かつ分散型のエネルギー環境の要件に見合った、明確な判定、迅速な結果、そしてスケーラブルなパフォーマンスを実現する脅威ハンティングモデルを確立することができた。

MetaDefender 、組織のSOCワークフローに統合され、不審なファイルや関連するセキュリティアーティファクトを自動的かつ大規模に分析するようになりました。このプラットフォームは、外部コンテキストだけでアラートを補完するのではなく、命令レベルのエミュレーションを用いてファイルを実行することで、静的解析やインジケーターベースのインテリジェンスでは検出できなかった悪意のある動作を明らかにしました。

各分析からは、アナリストが即座にアクションを起こせる単一の結果が導き出され、これにより調査の曖昧さが解消され、対応が迅速化された。

実施における主要な要素

• エミュレーションベースの適応型サンドボックス技術により、ファイルを安全に実行し、回避的または休眠状態の挙動を数秒で検知する
• 行動分析の結果を、グローバルおよび社内のテレメトリデータと関連付けるための脅威インテリジェンス機能を内蔵
• 脅威のスコアリングと優先順位付けにより、アナリストが最もリスクの高い活動に優先的に注力できるよう支援する
• 機械学習を活用した類似性検索により、関連するマルウェアの亜種を特定し、より広範な攻撃キャンペーンを解明する

MetaDefender 、ユーザー単位やクエリ単位のライセンスモデルではなく、ボリュームベースのモデルを採用しているため、SOCはコストの急増を懸念することなく、自動化と対応範囲を拡大することができました。これにより、組織は一貫したパフォーマンスと予測可能な運用コストを維持しつつ、チームや拠点全体で脅威ハンティングを拡大することが可能になりました。

即時の検知能力の向上にとどまらず、同組織は時間の経過とともに継続的に改善される脅威ハンティング機能を構築しました。分析されたすべてのファイルが新たな行動データを提供し、プラットフォームに組み込まれた脅威インテリジェンスを強化するとともに、関連する脅威やこれまでに確認されていない脅威を特定するSOCの能力を高めました。

MetaDefender 、機械学習を活用した類似性検索を活用し、分析結果間の行動パターンを関連付けることで、マルウェアの亜種、共有インフラ、および新たな攻撃キャンペーンを特定しました。これにより、SOCは事後対応型の調査から予防的な脅威ハンティングへと移行し、そうでなければ過去のデータの中に埋もれたままだったかもしれない脅威を特定することが可能になりました。

MetaDefender 導入により、同組織は脅威の検知精度を向上させると同時に、チームにとって日々のセキュリティ運用をより持続可能なものにしました。その効果は、SOC全体における検知実績と意思決定の質の両面で顕著に表れました。

• 業務リスクの低減とインシデント関連コストの回避
• ノイズ低減によるセキュリティ投資の有効活用
• 外部のサイバーセキュリティサービスへの依存度の低減

チームへの影響

• より明確な結果とチーム間の連携強化により、調査のスピードアップと確実性を向上
• セキュリティ上の成果とビジネスの優先事項を整合させる、拡張性のある脅威ハンティングモデル

運用上のメリット

• 重要な資産は、より一貫性があり、予測可能な形で保護されます
• セキュリティ運用は、大規模な環境でも持続可能である
• SOCチームは、より迅速かつ的確に、そして自信を持って業務を遂行しています

同組織は、サイバーセキュリティのパフォーマンスを事業上の優先事項と人的リソースの両方に整合させ、重要なエネルギーインフラを長期的に保護することに成功した。その成果は、業務、チーム、そして経営陣の各レベルで明確に表れた。