SOC担当者の負担低減へ Splunk ES 8.0の目玉機能とCiscoとの連携の未来

Splunk Services Japanは2024年10月31日にSplunk ES 8.0の一般提供を開始した。同バージョンの目玉機能によってSOC担当者の負担はどのように解消されるのか。また、Ciscoとの統合によってSplunk製品にどのような変化が訪れるのか。

[田渕聖人，ITmedia]

　Splunk Services Japanは2024年12月17日、SIEM（Security Information and Event Management）プラットフォーム「Splunk Enterprise Security 8.0」（以下、Splunk ES 8.0）の機能について解説する記者説明会を開催した。

　Splunk ES 8.0は2024年10月31日に一般提供が開始された。今回追加された新機能は、激化するランサムウェアの攻撃手法の変化に対応できる有効な防御を提供するという。

従来SOCが抱える困難な課題の解消を支援　Splunk ES 8.0の目玉機能とは？

　昨今のランサムウェア攻撃の主流はいわゆる「二重恐喝型」だ。被害企業をランサムウェアに感染させて、重要データを窃取・暗号化して復号を条件に金銭を要求するのに加えて、窃取した情報をリークサイトに公開すると脅すことでさらに恐喝を重ねる。

　ただこの手法が一般化したことで、防御側の対策も進歩した。多くの企業がバックアップソリューションを導入したことで、万が一ファイルが暗号化されたとしても、重要データを保護し、迅速な復旧が可能になった。

Splunk Services Japanの矢崎誠二氏（セキュリティ・ストラテジスト）（筆者撮影）

　一方でこれを受けて攻撃者側もさらに手法を変化させてきている。Splunk Services Japanの矢崎誠二氏（セキュリティ・ストラテジスト）は「防御側の進歩によって、最近のランサムウェアはもはや暗号化を実行せず、窃取したデータの暴露と引き換えに金銭を要求してきます」と述べる。いわゆる「ノーウェアランサム」だ。

　この他、ソフトウェアサプライチェーンリスクも問題だ。2020年にはSolarWindsの「SolarWinds Orion」のビルドプロセスにバックドアが仕込まれた。これによって同製品のユーザー1万8000社以上がマルウェアに感染し、特権が奪われたり、重要情報が漏えいしたりしたという。

　矢崎氏によると、このような脅威状況を踏まえると企業はネットワークやエンドポイント、クラウドなど複数のセキュリティ領域をまたぎ、多数のセキュリティ製品を導入する必要が出てきている。しかし複数の製品から出力されるセキュリティログやアラートをソリューションごとのコンソールで管理するのは運用が煩雑であり、各製品から出るアラートのひも付け、影響範囲の特定も困難だ。

　さらに攻撃者は監視が不十分な部分や、攻撃が成功しやすい領域から侵入や拡大を試みる。そのためSOCチームの間で、複数のセキュリティ製品のログやアラートを網羅的に収集、統合し、単一の環境で分析して早期に脅威を検知し、対処に結び付けるSIEMのニーズが高まっているという。

Cisco XDRとSplunk ESの統合で変わるSOCジャーニー

　こうしたニーズに応えるためSplunk ES 8.0ではSOC機能を強化する複数の機能を提供する。特に注目すべきは脅威の検出から対応、封じ込めまでの一連のプロセスをSplunk ESで一元的に実行できる点だ。

　複数のセキュリティ製品から上がって来るアラートを相関分析し、コンテキストに沿って単一のセキュリティイベントとして関連付ける。これよってノイズを極小化でき、本当に対処すべき問題が分かりやすくなる。「SOCの運用効率の劇的な向上が期待できる」（矢崎氏）。

　Splunk ES 8.0では脅威の検出ルールも強化されており、1700以上のルールに基づいて、セキュリティイベントを脅威フレームワーク「MITRE ATT&CK」で定められている攻撃者の行動と照らし合わせてマッピングする。これによってSOC担当者はこの問題がどのような内容で「いつ」「どこの」ホストで発生し、「どの」ユーザーが悪用されていたのかなどがセキュリティイベントを一目見るだけで判断できる。

Splunk ES 8.0のデモ画面。セキュリティイベントが一覧で分かりやすく表示されている（筆者撮影）

　脅威検知後の影響範囲の特定や封じ込めについては、「Splunk SOAR」との統合によって自動化されたアクションが実行できる他、脅威対処における各フェーズで推奨アクションを提案する新機能「Response Plan」を使うことで、より詳細な分析や対処が可能になる。この他、Splunk ESでは、生成AIツール「Splunk AI Assistant」のプレビュー版も提供されているため、SOC担当者の負担は一層低減されるだろう。

　矢崎氏は最後に「Splunk ESは今後、『Cisco XDR』との統合も視野に入れている。これらの製品を組み合わせることでSOCのインシデント調査や対応のジャーニーを包括的にサポートできるようになる」と締めくくった。

Cisco XDRとSplunk ESの統合の未来（出典：Splunk Services Japan提供資料）