初動対応も含めた説明責任を果たすための重要な基盤に組織内CSIRTとSOCの運用に欠かせないSplunk Enterprise

インシデントの通知が自動化され、発生後の追跡も容易に

現在Splunkは、データセンター内のプライベートクラウド基盤に構築された仮想環境上で動かしており、社内の限定された環境でのみWebコンソールにアクセスできるようになっています。次世代ファイアウォールやプロキシサーバ、EDRなどさまざまなシステムからログを収集し、Splunk内で分析、スコアリングされた形でリスクが提示されます。SOCでの監視は24時間365日の運用体制でアウトソーシングを行っており、緊急性の高いインシデントのみ、PoC (Point of Contact)のスマートフォンへ通知される運用です。

ASICS-CSIRTでは、インシデント発生後の動きなどをログから追跡し、例えば情報漏えいのインシデントであれば、誰がいつどんな形で情報を持ち出したのかの流れをSplunkによって、ログ解析や調査をする運用とな っ て い ま す 。「SOCの運用を社内の人材だけで行うと過重労働となりかねないため、働き方改革の観点からも外部に監視業務を一部アウトソーシングする体制を整備しています。Splunkによって人手を介さずにログを自動解析してアラートが通知されるようになっており、運用にかかる時間や工数を減らしながら、正確に処理できるようになっています」と谷本氏は説明します。

初動対応としての説明責任が果たせる“コスパの良さ”を高く評価

日々のセキュリティ業務に利用しているSplunkで す が 、「 何 か イ ン シ デ ン トが発生した場合でも、ログの証跡からきちんとした説明責任が果たせる最低限の環境が整備できた」と谷本氏は評価します。「個人情報はもちろん、例えば靴のデザインやその製造プロセスといった知的財産の漏えいにつながるようなものは、当社の外部からの攻撃だけに限りません。社内の内部犯行も含め、その情報がどう移転していったのか、ステークスフォルダに対して上場会社として、説明責任が伴います。Splunkによってログを分析し、その証跡が負担なく示せるのは大きな効果。しかも、デジタルフォレンジックの専門的な経験や技術がなくても、上司や経営層にすぐに伝えることができます。非常にコストパフォーマンスの高い製品」と谷本氏。なお、Splunkによってログ分析が効率化できるようになったことで、経営効率化の名のもとに人を切ることなく、社内リソースをそのまま温存しながら働く環境が改善できるようになった点も見逃せないと谷本氏。

Splunkはランナーと一緒に手を携えるトレーナーのような存在

Splunkの魅力について谷本氏は「他製品との親和性も高く、当社のようなユーザ企業のビジネス環境に対しても、柔軟にフィットしてくれる点です。またベンダー市場の中でセキュリティ活用以外にも、強いイニシアチブを 持 っ て お り 、巨 大 なITベンダーのように買収を繰り返すこともない。ホリゾンタルではなくバーティカルに、ユーザ企業へのビジネスパートナーとして、Win-Winな関係で付き合えることも私には合っています」と力説 し ま す 。ま た 器 で あ るSplunkだ か ら こ そ 、周 辺 ツ ー ル と コ ラ ボ レ ー シ ョ ンすることで大きな効果を発揮してくれる点も魅力の1つ だ と い い ま す 。「 リアルタイムな検知を可能にするMSS/SOCとEDRとの連携もSplunkならでは。ランナーが一緒にトレーナーと手を携えてゴールを目指す、つまりは強力なツールをSplunkが支えながら、企業に大きな効果を与えてくれる存在です」と谷本氏は評価します。今ではセキュリティ業務の中心にSplunkがあり、それぞれ相関的に結び付けている状況です。他にも、Splunkを通じて導入企業とコミュニケーションする機会が増えているという副次的な効果も。「我々が本社を構える神戸では、まだユーザーコミュニティが東京ほど成熟しておりませんが、我々の活動がその一助になればと考えています」と谷本氏。

内部不正対策の強化に向けた積極的な脅威のハンティングを加速

今後については、内部不正対策という視点で新たなソリューションについても検討したいと谷本氏は語ります。「プライバシーの問題はありますが、行動監視やふるまいなどを逐一把握することで、情報漏えいや不正な持ち出しについての迅速な対策も必要です。そこで、積極的に脅威のハンティングを行いつつ、事前サービスの面でASICS-CSIRTを強化するべく、サービスの充実を図りたいと考えています。そこで将来的には、Splunk User Behavior Analytics (UBA) のような仕組みについても興味を持っています」と谷本氏は語ります。また、現状の活動は、国内を中心とした展開ですが、海外も含めた形でガバナンスを強化するための仕組みも検討していく必要性を感じています。「一部海外領域でのログもPoC (Proof of Concept) としてSplunk内に展開していますが、2018年5月に欧州で成立したGDPR（General Data Protection Regulation）や 中 国 に お け る サ イ バ ー セ キ ュ リ テ ィ 法 な ど 、ロ グ の 移 転が 難 し い 部 分 も 出 て き て い ま す 。リ ー ジ ョ ナ ル なSIEMを各国に設置するといった、新たな時代に適した工夫も必要になってくるはず」と谷本氏。

ログを含めたビッグデータ解析という世界では、同社がメインとしているスポーツ関連のビジネスに役立てるようなアプローチにも期待を寄せていると谷本氏。「実は、野球の硬式ボールにセンサーを内蔵した投球測定用ボールを提供しています。このセンサーから得られるビッグデータを記録更新のためのアプローチに役立てることもできるはず。業界を活性化させる手段の1つとしてSplunkが活用できることを社内にも広めていきたい」と今後について谷本氏に語っていただきました。