Security Insights
ネットワークエッジでのパケットレベル分析を備えたセキュリティアドオンにより、迅速かつ実用的なセキュリティインテリジェンスを提供します
主なポイント要点はAIの支援により生成されています。自動生成された要約には、時折誤りがあったり、重要な文脈が抜け落ちたりする場合があるため、完全な情報を得るには、必ずブログ記事の全文をご参照ください。この記事は、BlueCat LiveNX上で提供されるLiveWireアドオン「Security Insights」が、ネットワークエッジでのパケットレベル分析を活用して分断された可視性の問題を解消し、既存のフローおよびパケットデータをクラウドへの大量転送なしに実用的なセキュリティインテリジェンスへと迅速に変換する方法を説明します。技術的にはLiveNXのフローテレメトリとLiveWireのLiveFlowパケットキャプチャを相関させ、LAN/WAN/SD-WAN/データセンター/クラウド全体での異常検知、フォレンジック、および脅威ハンティングを可能にすることで、検知から対応までの時間を数時間から数分に短縮します。運用面では、集中型NDRによる遅延やコスト、データ欠落を回避し、SIEM、SOAR、XDRへのシームレスな統合でスケーラブルな保護と監査対応を強化することが主要な成果として挙げられます。
Security Insightsは既存のLiveNX/LiveWire環境でどのように動作し、従来の集中型NDRと比べて何が異なりますか？
Security InsightsはLiveNX UIから利用可能なLiveWireアドオンとしてネイティブに動作し、LiveNXのフローテレメトリとLiveWireのエッジでのパケットキャプチャ（LiveFlow）を相互に関連付けて分析します。従来の集中型NDRは大量のパケットデータをクラウドへ転送して分析するため、コスト、遅延、コンプライアンス上の懸念やデータ欠落が生じがちです。対照的にSecurity Insightsはエッジファーストの解析でフォレンジックレベルのパケット分析をローカルで実行し、クラウドへの不要なデータ転送を回避しつつNetFlow、IPFIX、sFlow、Ciscoのログ等のマルチテレメトリを統合することで、より高精度でリアルタイムな可視性と低レイテンシな検知を提供します。
Security Insightsが実際のインシデント検知と対応にもたらす運用上のメリットは何ですか？
運用面では、Security Insightsはリアルタイムの可視化とパケットレベルのフォレンジックにより、検出から対応までの時間を数時間から数分に短縮します。エッジでの即時分析により脅威の滞留時間を減らし、クラウド転送によるコストや遅延、データ流出リスクを回避します。さらに、SIEM、SOAR、XDRとのシームレスな統合により検知結果を既存のセキュリティ運用ワークフローに取り込みやすく、プロアクティブな脅威ハンティングや証拠保全（コンプライアンス・監査対応）の強化、ネットワークとセキュリティ運用の統合ビューによる複雑さの軽減が期待できます。
この記事で挙げられているユースケース例と、それぞれの検知ワークフローおよび成果は何ですか？
記事は3つのユースケースを示しています。1) TLSの非標準ポートにおける異常な暗号化トラフィック（MITRE T1571）では、Security InsightsがIANA予約ポートでの予期せぬ暗号化を検出し、Detection→Analysis(LiveNX)→Forensics(LiveWire)→ResponseのワークフローでC2接続の永続化を阻止し、検知時間を数時間から数分へ短縮しました。2) 脅威インテリジェンス指標を用いた脅威ハンティング（MITRE T1102）では、不審ドメインとの接触をハイブリッドネットワーク全体で調査しステルス化されたC2通信を事前に阻止しました。3) TLS証明書悪用のフォレンジック（MITRE T1587.003）では、自己署名証明書の異常を特定して偽造TLS証明書によるC2永続化を防ぎ、パケットレベルの証拠でコンプライアンスと証明書ガバナンスを強化しました。
課題
多くの企業では、ネットワークチームとセキュリティチームの間で可視性が断片化されています。さらに、従来のネットワーク検知・対応（NDR）ソリューションは複雑でコストが高く、サイロ化されているため、攻撃者が悪用できる死角が残されています。
ソリューション
BlueCat LiveNXを通じて利用可能なBlueCat LiveWireのアドオンであるSecurity Insightsは、より迅速な検知、フォレンジック調査、およびプロアクティブな脅威ハンティングを実現します。従来のNDRに見られる死角を排除し、既存のネットワークエッジデータを、実用的なスケーラブルなセキュリティインテリジェンスへと迅速に変換します。
メリット
図1. Security Insightsのアーキテクチャ
仕組み
LiveNX UI を通じて利用可能な LiveWire アドオンとして、Security Insights は既存の LiveNX および LiveWire 環境でネイティブに動作し、ネットワークの可観測性を実用的なセキュリティインテリジェンスへと変換します。 パフォーマンス監視の基盤となるのと同じデータを使用することで、ツールや複雑さを追加することなく、実用的なネットワーク検出を実現します。Security Insights は、LiveNX のフローテレメトリと LiveWire のパケットレベルの分析を活用し、LAN、WAN、SD-WAN、データセンター、クラウドといったすべての環境にわたってこれらの調査結果を相互に関連付けることで、脅威がどこでどのように発生しているかをチームに完全に可視化します。
LiveWireは、ネットワークエッジでパケットレベルのキャプチャと分析を実行することで、詳細なフォレンジック可視性を提供します。暗号化データと平文の両方を含むペイロードをキャプチャするだけでなく、パターンを特定し、セッションを再構築することも可能です。 このキャプチャおよび分析のプロセスは、LiveFlowと呼ばれます。これらのLiveFlowレコードはその後、LiveNXに送信され、LiveNXでは包括的なネットワークトラフィックのテレメトリを集約・充実させることで異常を検出します。トラフィックフローデータは、NetFlow、IPFIX、sFlow、およびCiscoの高速ロギングおよび統合ロギングからLiveNXに収集されます。
LiveNXの一元化されたダッシュボードには、検知された脅威やトラフィックの異常が表示されます。Security Insightsはオープンで標準ベースであるため、Open Worldwide Application Security Project（OWASP）やMITRE ATT&CKフレームワークへのマッピングが可能であり、SIEM、SOAR、XDRツールとのシームレスな連携を通じて、協調的な対応を実現します。 検知された脅威が最初にSIEMや他のセキュリティソリューションで検出された場合、セキュリティチームやネットワークチームはLiveNXおよびLiveWireを活用して、より詳細な調査を行うことができます。
Security Insights を利用するには、LiveWire と LiveNX の両方が必須のコンポーネントとなります。
ユースケース
このセクションでは、Security Insights を使用することのメリットを実証する、3つの実例に基づく検知シナリオについて概説します。
ユースケース 1：トランスポート層セキュリティ（TLS）の異常なアクティビティの検出
MITRE ATT&CK ID T1571 – 非標準ポート
あるグローバル物流企業において、非標準ポートでの暗号化トラフィックが予期せぬ急増を見せました。Security Insightsは、このパターンを「IANA予約ポートでの予期せぬ暗号化」として自動的に検知しました。これは、コマンド＆コントロール（C2）通信を隠蔽するために使用される悪意のあるトンネリング活動の有力な兆候です。
調査ワークフロー：
- Detection (Security Insights)
- Analysis (LiveNX)
- Forensics (LiveWire)
- Response
成果：早期検知により、マルウェアによるC2接続の永続化を阻止し、検知までの時間を数時間から数分に短縮するとともに、復号のオーバーヘッドなしに暗号化トラフィックの可視性を向上させました。
図2. LiveNXにおけるSecurity Insightsのサマリーダッシュボードと詳細ビュー
ユースケース 2：脅威インテリジェンスの指標を活用したプロアクティブな脅威ハンティング
MITRE ATT&CK ID: T1102 – Web Service
ある金融機関の脅威インテリジェンスフィードは、最近のC2インフラストラクチャ・キャンペーンに関連する不審なドメインを報告しています。セキュリティチームはSecurity Insightsを活用し、ハイブリッドネットワーク全体をプロアクティブに調査して、それらのドメインとの接触の痕跡がないかを確認します。
調査ワークフロー：
- Detection (Security Insights)
- Analysis (LiveNX)
- Forensics (LiveWire)
- Response
成果：多大なビジネス上の損失が発生する前に、ステルス化されたC2通信を阻止しました。
ユースケース 3：TLS 証明書悪用攻撃のフォレンジック調査
MITRE ATT&CK ID: T1587.003 – デジタル証明書
ある大手医療サービスプロバイダーは、自社のデータセンター全体でSSL証明書の異常な動作を検知しました。Security Insightsは、アウトバウンドトラフィックで複数の自己署名TLS証明書が使用されていることを指摘しました。これは、マルウェアが偽造証明書を使用して検査制御を迂回している可能性を示す兆候です。
調査ワークフロー：
- Detection (Security Insights)
- Analysis (LiveNX)
- Forensics (LiveWire)
- Response
図3. フォレンジック検索に使用される「Security Insights」の個々のパケットデータダッシュボード
成果：偽造されたTLS証明書によるC2の永続化を防止し、パケットレベルの証拠を保持することでコンプライアンスと監査対応体制を強化し、組織全体の証明書ガバナンスを強化しました。
主な差別化要因
従来のNDRが集中型で複雑、かつコストがかかるのに対し、Security Insightsは分散型で効率的、かつ即座に機能します。従来のNDRに見られる死角や負担を伴わずに、既存のLiveNXおよびLiveWireのデータを、実用的なスケーラブルなセキュリティインテリジェンスへと迅速に変換します。
以下の4つの重要な差別化要因により、Security Insightsは他のNDRソリューションとは一線を画しています：
NDRの死角を排除した、比類のないデータ品質と可視性
従来のNDRソリューションは、データソースの制限やベンダー固有の統合によって制約を受けることがよくあります。Security Insightsは、ベンダーやアーキテクチャに関係なく、すべてのドメイン、LAN、WAN、SD-WAN、データセンター、クラウドにわたって、統一された高精度な可視性を提供します。複数のシステムからのテレメトリデータを取り込み、それらを相関分析して単一のビューに統合します。 その結果、NDRツールが断片的な情報しか把握できないのに対し、Security Insightsはエンドツーエンドの可視性を提供します。
豊富なマルチテレメトリの取り込み — NDRは部分的なフィードに依存している一方で
従来の NDR ソリューションは、取り込み量を減らすためにサンプリングまたはフィルタリングされたパケットデータに依存することが多く、その結果、精度やコンテキストが犠牲になります。Security Insights は、包括的なテレメトリ、NetFlow、IPFIX、sFlow、Cisco の高速ロギングおよび統合ロギングを集約・充実させ、ネットワークファブリック全体にわたる隠れた異常やパターンを特定します。 このアプローチにより、アナリストはトラフィックサンプルの要約だけでなく、全体像を把握することができます。
コストや遅延を伴わずに、完全なパケットキャプチャとフォレンジックレベルの分析を実現
ほとんどの NDR ツールは、分析のために膨大なパケットデータセットを一元化されたクラウドやデータレイクに転送するため、レイテンシ、コスト、コンプライアンス上の懸念が生じます。LiveWire を搭載した Security Insights は、ネットワークエッジでフォレンジックレベルのパケット分析をローカルに実行します。 チームは、データをバックホールしたり、遅延を招いたり、分析のためにクラウドに依存するコストを負担したりすることなく、フローレコードから完全なパケットペイロードへと即座に切り替えて、正確な調査を行うことができます。
エッジファーストの分析—脅威の発生源をリアルタイムで検知
従来のNDRアーキテクチャでは、データが転送・集約された後に分析が行われるため、攻撃者が悪用する遅延が生じていました。「Security Insights」はこのモデルを一新し、多くの脅威が発生するエッジで直接インサイトを生成します。異常をリアルタイムで検出することで、脅威の滞留時間を短縮し、運用コストを削減するとともに、機密データが管理された環境から決して流出しないことを保証します。
ソリューションのメリット
Security Insightsは、LiveNXおよびLiveWireを利用する企業が、運用を簡素化し、調査を迅速化し、あらゆる環境におけるセキュリティ成果を強化する強力な機能を通じて、脅威の検知と対応を最新化することを可能にします。Security Insightsにより、ネットワークおよびセキュリティチームは次のようなメリットを得られます：
検出と対応の迅速化
リアルタイムの可視性と実用的なインサイトにより、調査時間を数時間から数分に短縮します。
高度な脅威ハンティング
集計されていない生のフローデータを活用して、隠れた脅威を洗い出し、フォレンジック調査を加速させます。
統合された可視性
ネットワークデータとセキュリティデータを単一の相関ビューに統合することで、複雑さを軽減します。
図4. MITRE ATT&CK ID による Security Insights のフィルタリング
付録：セキュリティ調査結果
本付録では、LiveNXおよびLiveWireによって生成されたセキュリティ検出結果の一覧を掲載しています。これらの検出結果は、フローおよびパケット分析を通じて検出された異常、不審な動作、およびポリシー違反を明らかにするものです。これらは網羅的なNDRカタログではありませんが、検出、調査、および対応を加速させる価値の高い洞察を提供します。 LiveNX および LiveWire の進化に伴い、この検出結果のライブラリは拡大し続けており、ネットワークおよびセキュリティチームが、時間の経過とともに、より豊富な可視性とより強力な成果を確実に得られるようになります。
| Security finding | Type | MITRE ATT&CK ID (if applicable) | Component |
|---|---|---|---|
| Encryption on IANA reserved port | Policy | T1571 | LiveWire |
| Kerberos detected | Policy | T1558 | LiveWire |
| Kerberos RC4 detected | Policy | T1558.003 | LiveWire |
| Malicious IP or domain detected | Indicator of compromise | T1071 | LiveWire |
| Microsoft IP detected | Policy | LiveWire | |
| NTLM protocol detected | Policy | T1557.001 | LiveWire |
| RDP on non-standard port | Policy | T1571 | LiveWire |
| Threat intel indicator | Indicator of compromise | T1102 | LiveWire |
| TLS certificate anomalies detected | Indicator of compromise | TLS | LiveWire |
| TLS client excessive handshakes | Indicator of compromise | TLS | LiveWire |
| TLS forbidden version | Policy | T1071.002 | LiveWire |
| TLS long-lived connection | Indicator of compromise | TLS | LiveWire |
| TLS missing server name indication | Policy | T1587.003 | LiveWire |
| TLS self-signed certificate | Policy | T1587.003 | LiveWire |
| TLS unusual certificate | Policy | T1587.003 | LiveWire |
| Unassigned encryption | Policy | LiveWire | |
| Unauthorized application use | Policy | T1071.002 | LiveWire |
| Unexpected encryption | Policy | T1571 | LiveWire |
| TLS unexpected plaintext | Policy | T1571 | LiveWire |
| TLS weak cipher suite | Policy | T1600 | LiveWire |
| RDP connection after brute force attempt | Policy | T1021 | LiveNX |
| SSH connection after SSH brute force attempt | Policy | T1021 | LiveNX |
| Unauthorized application use | Policy | T1219 or T1071 | LiveNX |
| RDP brute force attempt detected | Policy | T1110 | LiveNX |
| SSH brute force attempt detected | Policy | T1110 | LiveNX |
| New encryption protocol | Policy | T1571 | LiveNX |
| Found RDP on non-standard port | Policy | T1571 | LiveNX |
| New encryption user | Policy | T1573 | LiveNX |
| New encryption service | Policy | T1573 | LiveNX |
| New SSH client version found | Policy | T1573 | LiveNX |
| New SSH server version found | Policy | T1573 | LiveNX |
| New TLS version found | Policy | T1573 | LiveNX |
| Insecure or weak cipher | Policy | T1587.003 | LiveWire |
| New TLS SHA1 found | Policy | T1588 | LiveNX |
| New TLS JA3C found | Policy | T1588.004 | LiveNX |
| New TLS JA3S found | Policy | T1588.004 | LiveNX |
| Lateral movement anomaly <application> | Anomaly | TA0008 (five techniques) | LiveNX |
| Clique expansion | Anomaly | LiveNX | |
| Interface volumetric anomaly | Anomaly | LiveNX | |
| Application interface volumetric anomaly | Anomaly | LiveNX | |
| DSCP interface volumetric anomaly | Anomaly | LiveNX | |
| Application site volumetric anomaly | Anomaly | LiveNX | |
| Site volumetric anomaly | Anomaly | LiveNX |
BlueCatのインテリジェント・ネットワーク運用（NetOps）
BlueCatのインテリジェントNetOpsソリューションは、ビジネス目標を達成するためにネットワークを有効化し、最適化し、保護するために必要な分析機能とインテリジェンスを提供します。インテリジェントNetOpsスイートを活用することで、組織はビジネス要件に応じて、より容易にネットワークの変更や近代化を行うことができます。
