医療における発見の遅れによるコスト
医療業界は、14年連続でデータ漏洩による被害額が最も高い業界となっています。IBMの「2025年データ漏洩コスト報告書」によると、医療業界におけるデータ漏洩の平均被害額は現在742万ドルに達しており、これは全業界平均のほぼ2倍に相当します。また、組織がインシデントを特定し、その拡大を食い止めるまでに平均279日を要しています。この「検知のタイムラグ」とは、データ漏洩が発生してからSOCチームが異常に気付くまでの期間を指します。
「予防」ではなく「対応」を目的として構築された検知モデル
同組織の主要なセキュリティツールは、エンドポイントの可視性を中心に設計されていた。不審なファイルは、ユーザーのデバイスや臨床システム上で実行されて初めてフラグが立てられた。つまり、検知されるたびにインシデント対応が始まることになり、インシデントの予防にはつながっていなかった。EHR（電子カルテ）へのアクセスが侵害されたり、医療機器間の通信が途絶えたりすると、患者ケアに即座に影響が及ぶネットワーク環境において、このような一連の流れは運用上、到底受け入れがたいものだった。SOCは、脅威を源流で阻止するのではなく、常に被害の収拾に追われていた。
ファイルのボリュームが、VMベースの分析の限界を露呈した
電子メールの添付ファイル、共有ドキュメント、外部とのファイル交換などを通じてファイルベースの脅威が増加するにつれ、チームはこのツールの実行検証機能をより積極的に活用するようになりました。仮想マシンベースのワークフローでは、分析ごとに複数の仮想環境を立ち上げる必要があり、処理件数が増えるにつれて処理時間が予測不能になっていました。
IBMの調査によると、特に医療分野においてフィッシングが最大の攻撃経路であることが判明しました。つまり、電子メールを介して送信される悪意のあるファイルが、単に増加傾向にあるだけでなく、主要なリスクとなっているということです。SOCには、ファイルの除去にどれくらいの時間がかかるかを予測する確実な手段がなく、ファイルへのアクセスが患者のワークフローの根幹をなす臨床環境において、その予測不可能性は、チームが回避できないリスクとなっていました。
VMによるスケーリングは、問題が雪だるま式に膨らんでいく原因となっていた
ファイル量が増加するにつれて、より多くのVMリソースが必要となりました。スループット需要の増加は、そのままインフラのオーバーヘッドにつながり、ピーク時には処理の遅れが生じ、調査の待ち行列が滞る事態となりました。すでに最小限の人員で運営されていたSOCは、これに加えて分析のボトルネックにも直面することになりました。数千人のユーザーが利用し、病院、外来施設、研究環境の間で絶えずファイルがやり取りされるネットワークにおいて、同組織はVMベースのスケーリングで実現可能な実用的な限界に達していました。
妥協できなかった基準
SOCは、運用上の失敗から直接導き出された4つの要件を基に評価に着手した。それぞれの要件は、既存のツールでは解消できなかった課題に対処するものであった。
- 実行前に脅威を阻止する
- 未知の脅威や検知を逃れる脅威に対しても、精度を維持する
- 処理量にかかわらず、一貫した分析速度を実現する
- VMインフラの拡張を伴わないスケーリング
検知の段階が上流に前倒しされた
同組織は、OPSWATの「MetaDefender Aether」を採用しました。導入から数週間のうちに、チームがここ数年経験したことのない現象が発生しました。それは、エンドポイントがファイルを認識する前に、ファイルの侵入が阻止されるようになったことです。以前はエンドポイントのアラートを引き起こしていた脅威も、そこまで到達する前に阻止されるようになりました。この変化は、運用面だけでなくアーキテクチャ面でも生じました。可視性と対応のためにEndpoint ツールは引き続き導入されていましたが、もはやそれらは第一線の検知手段ではなくなりました。その役割は、ネットワークの境界へと移行したのです。
エミュレーションにより、VMのボトルネックが解消された
VMベースの分析では、各実行ごとに仮想環境を起動する必要がありましたが、MetaDefender Aetherのエミュレーションベースの適応型サンドボックスは、ファイルを命令レベルで実行します。分析は平均10秒で完了し、従来のサンドボックスよりも40倍高速であり、このプラットフォームは1サーバーあたり1日50,000件以上のファイル分析に対応しています。
エミュレーションは命令レベルで動作するため、サンドボックス環境を検知するように設計されたマルウェアによる検知が著しく困難になります。VM分析下では動作が停滞したり、通常とは異なる挙動を示したりする脅威も、エミュレーション環境下では期待通りに実行されるため、回避策を講じたサンプルでは隠蔽されてしまうような挙動が露呈します。SOCは、複数の病院からなるネットワークが生み出す膨大な処理量においても、一貫性があり予測可能な分析速度を確保し、99.5％の検知率を達成しました。しかも、これを実現するためにVMインフラを追加する必要はありませんでした。
即座に措置を講じられる状態で届いた検知情報
チームの調査業務の負担を変えたのは、検知のスピードと、各検知に伴って得られる情報でした。単に追跡調査が必要なフラグが表示されるのではなく、各結果には、レピュテーションデータ、行動分析、信頼度に基づくリスクスコア、そして脅威ハンティングのコンテキストがすでに付随していたのです。
組み込みの脅威インテリジェンスは、URL、IPアドレス、ドメインをリアルタイムのインジケーターと継続的に照合し、動的解析が開始される前に不審なファイルにフラグを立てます。機械学習（ML）を活用した脅威類似性検索により、SOCは関連するマルウェアの亜種を特定し、改変された脅威やこれまでに確認されていない脅威を検知するとともに、不審なファイルを既知の悪意あるパターンと関連付けることが可能となり、すでに人員が逼迫しているアナリストの手動によるトリアージの負担を軽減しました。
「対応」から「予防」への道
SOCアナリストに「最初に何が変わったか」と尋ねれば、答えは皆同じです。それは「処理待ちリスト」です。ファイルは処理され、未処理の案件が積み上がることもなく、実際に調査対象となった案件についても、追跡が必要なフラグではなく、レピュテーションデータ、行動分析、リスクスコアといった背景情報がすでに付随した状態で届きました。
MetaDefender Aether導入前後のセキュリティ運用
能力 | 以前 | その後 |
検出タイミング | 実行後、エンドポイントに依存する | 実行前、境界部にて |
解析速度 | 負荷がかかると変動し、予測不能になる | 安定しており、平均で約10秒 |
スケーラビリティ | VMに依存し、高負荷時にボトルネックが発生する | 1台のサーバーあたり1日50,000件以上のファイル、VMのオーバーヘッドなし |
SOCの作業負荷 | IRサイクルの繰り返し、手動による選別 | エンドポイントでのインシデントの減少、状況に応じた判定 |
脅威の対応範囲 | 既知の脅威への対応 | 回避型マルウェア、ゼロデイ、および改変された亜種 |
患者ケアのスピードに合わせて構築されたセキュリティ
この医療サービスプロバイダーは、ワークフローの中でセキュリティが機能するポイントを変更しました。境界での予防対策が、事後対応型のエンドポイント対応に取って代わり、分析の滞りが解消されて一貫した処理能力が確保され、かつては手作業による優先順位付けを必要としていた調査も、今ではすでにコンテキストが付加された状態で行われるようになりました。
医療セキュリティチームにとって、今後進むべき道は、この組織がたどった道と同じです。すなわち、検知を前段に移し、分析を遅らせるインフラを排除し、臨床現場が求めるスピードで機能するセキュリティ体制を構築することです。
