高等教育 | 導入事例

大学は、攻撃者が潜伏していたネットワークの可視性の死角を解消した

NDR によるリアルタイムのネットワーク検知・対応NDR 、大規模な大学は、高度な脅威が研究・教育システムに到達する前にこれを検知NDR

オアナ・プレドユ

この記事を共有する

【企業概要】当社のクライアントは、北米各地の複数のキャンパスに数千人の学生、教職員、研究員を擁する大学です。同大学は、研究ラボ、学部、クラウドベースの学習プラットフォーム、そして教職員、学生、研究に関する機密データを管理する管理システムにまたがる、高度に分散化されたIT環境を運用しています。多くの大学と同様、同大学もコラボレーションを支援するために設計された本質的にオープンなネットワークを採用しており、そのことが同大学を標的として特に狙われやすく、防御が困難な環境にしています。

背景：この大学は、ネットワーク境界で強力な保護機能を提供する境界防御およびエンドポイントセキュリティツールに依存していましたが、内部ネットワークの活動に関する可視性は限られていました。攻撃者がキャンパス内のシステム間で横方向に移動した際、その活動は数千人の学生、研究者、およびアプリケーションによって生成される通常のトラフィックに紛れ込み、検知されずに済んでいました。NDRを導入した後、同大学のSOCは内部ネットワーク通信を継続的に可視化できるようになり、アナリストは攻撃ライフサイクルの早い段階で不審な活動を検知し、機密性の高い研究システムに到達したり、業務に支障をきたしたりする前に脅威を調査できるようになりました。

事業の性質上、彼らの活動の完全性を守るため、この記事に登場する組織名は匿名とさせていただいております。

産業：

高等教育

場所

北米

サイズ

大規模大学ネットワーク

使用されている製品：

MetaDefender NDR

ネットワーク内部に潜む見えない脅威

この大学では、毎日、講義をストリーミング視聴する何千人もの学生、研究室間でデータセットを転送する研究者、クラウドベースの採点プラットフォームにアクセスする教員、そして登録情報や給与記録を処理する事務職員によるトラフィックがネットワークを賑わせている。複数のキャンパスにまたがり、研究室、学部、管理システムをつなぐ水平ネットワークは、これらすべての業務が円滑に進むよう構築されている。

その相互接続性ゆえに、ネットワークを内部から防御することはほぼ不可能でした。フィッシング攻撃、不正取得された認証情報、あるいは学生向けシステムの脆弱性を悪用して初期アクセス権を獲得した攻撃者にとって、こうした正当な活動は理想的な隠れ蓑となりました。SOCは境界線において強力な制御を行っていましたが、一度脅威アクターが内部に侵入してしまうと、そこで何が起きているかを把握する能力は限られていました。システム間の内部トラフィックは自由に流れており、何がどこへ移動しているのかについての可視性は限られていました。

内部ネットワークのトラフィックは事実上、検知不能だった

従来の監視ツールは、ネットワーク境界を出入りするトラフィックに重点を置いていました。研究ラボ、学術用アプリケーション、管理データベースなど、キャンパスインフラ全体にわたる内部システム間の通信は、その監視範囲外となっていました。そのため、これらのセグメント間では、横方向の移動、コマンド＆コントロール活動、攻撃者の初期段階の行動などが発生しても、アラートは発生しませんでした。SOCには、これらを監視する仕組みがなかったのです。

検出は下流の指標に依存していた

ネットワークレベルの可視性がなかったため、アナリストはエンドポイントのアラートやシステムの異常を頼りに、不審な活動を特定していました。こうした兆候が現れるのは、通常、攻撃者がすでにアクセス権限を拡大し、システム間を移動し、あるいは機密データの近くに潜伏した後になってからでした。SOCに通報が届く頃には、早期に封じ込めるための好機は、すでに失われていることが多かったのです。

キャンパスの構造が複雑だったため、行動分析を行うことは現実的ではなかった

キャンパスネットワーク上の活動は規模も多様性も極めて大きかったため、従来のツールではベースラインの設定や異常の特定が困難でした。研究環境、学生向けシステム、クラウドサービス、管理インフラからのトラフィックパターンは、それぞれ大きく異なっていました。攻撃者の行動と正当な活動を区別するには、既存のツールセットでは提供できないレベルの分析能力が必要でした。

SOCがキャンパス環境を守るために必要としたもの

大学のセキュリティチームには、自組織のネットワーク内部を可視化し、発見された問題に対して適切な対応を講じ、機密性の高い研究データや学生情報が適切に保護されていることを証明する能力が求められていました。具体的な選定基準は以下の通りです：

社内システム全体での早期発見

SOCは、エンドポイントのアラートがすでに発動した後ではなく、機密性の高い研究インフラや管理インフラに到達する前に、内部システム間を移動する脅威を特定する必要があった。

大量処理環境における分析結果への信頼性

何千ものユーザーとデバイスから絶えずトラフィックが発生する中、チームが必要としていたのは、手作業で仕分けなければならない大量のアラートではなく、信頼できる検知機能だった。

より迅速かつ徹底的な調査

アナリストは、脅威の範囲を迅速に把握するために、検知の時点で十分な背景情報を必要としており、関連性のない複数のツールから証拠を一つずつ集め直す必要がないようにする必要があった。

教育セクターのコンプライアンス要件への適合

同大学では、監査対応体制を整備し、学生および研究データに関するセキュリティ基準への準拠を実証するための、継続的な監視体制が必要とされていた。

キャンパス運営への影響を最小限に抑える

どのようなソリューションであれ、大学内の最新システムとレガシーシステムが混在する環境において機能し、かつ、導入時に大規模なアーキテクチャの変更を必要とせず、学務運営に支障をきたさないものでなければならなかった。

「死角」から「統合されたネットワーク可視性」へ

同大学は、 MetaDefender NDR を導入し、キャンパス環境全体の戦略的なネットワークセグメントに展開することで、内部の可視性のギャップを解消しました。主要なネットワークハブに配置されたセンサーにより、SOCは教育システム、研究ネットワーク、クラウドサービス、および管理インフラ間のトラフィックに継続的にアクセスできるようになりました。これにより、アナリストは初めて、大学の分散環境全体にわたるイースト-ウエストのネットワークアクティビティを一元的に把握できるようになりました。

MetaDefender NDR 、機械学習と行動分析を活用してネットワークアクティビティデータをNDR 分析し、異常なトラフィックパターンを特定し、システム間の横方向の移動を検知し、コマンド＆コントロール通信を明らかにします。AIを活用した異常検知モデルは、攻撃者が環境内にさらに侵入する前に、通常のキャンパス内トラフィックに紛れ込んでいる攻撃者の行動を示す微妙な兆候を洗い出します。

統合された脅威インテリジェンスにより検知情報が自動的に強化され、アナリストには単なる指標ではなく、状況に応じたアラートが提供されました。SOCは、複数のシステムに分散したデータを照合する代わりに、単一のプラットフォームから攻撃者の活動に関するネットワークレベルの包括的な可視性を得て、インシデントの調査を行うことができました。

SOCの可視性とキャンパスのセキュリティに対する明確な効果

MetaDefender NDR導入後、同大学のSOCは、エンドポイントのアラートやシステムの異常を待つという事後対応型の姿勢から、脅威がまだ活動中の段階でそれを検知・調査できる事前対応型の姿勢へと転換しました。

影響範囲	運営上のメリット
ネットワーク可視性	キャンパスネットワーク全体にわたる内部のイースト・ウエスト・トラフィックを継続的に詳細に可視化
脅威の検知速度	横方向の動きや不審なコミュニケーションパターンの早期発見
調査の効率性	統合されたネットワークレベルのテレメトリを活用した、より迅速な根本原因分析
研究の保護	検出能力の向上により、機密性の高い学術研究や知的財産を保護
インシデント対応	ネットワークの状況を完全に把握した、より連携の取れたSOC対応
コンプライアンス対応体制	教育セクターのセキュリティ基準に沿った、強化された継続的監視