セキュリティインサイト

図1. セキュリティインサイトのアーキテクチャ

仕組み

LiveNX UI を通じて利用可能な LiveWire アドオンとして、Security Insights は既存の LiveNX および LiveWire 環境でネイティブに動作し、ネットワークの可観測性を実用的なセキュリティインテリジェンスへと変換します。 パフォーマンス監視の基盤となるのと同じデータを活用することで、ツールの追加や複雑さを増すことなく、実用的なネットワーク検知を実現します。Security Insightsは、LiveNXからのフローテレメトリとLiveWireからのパケットレベルの分析を活用し、LAN、WAN、SD-WAN、データセンター、クラウドといったすべての環境にわたってこれらの調査結果を相互に関連付けることで、脅威がどこでどのように発生しているかをチームに完全に可視化します。

LiveWireは、ネットワークエッジでパケットレベルのキャプチャと分析を行うことで、詳細なフォレンジック可視性を提供します。暗号化および平文の両方を含むペイロードをキャプチャするだけでなく、パターンを特定し、セッションを再構築します。 このキャプチャおよび分析のプロセスは「LiveFlow」と呼ばれます。これらのLiveFlowレコードはその後、LiveNXに送信され、LiveNXでは包括的なネットワークトラフィックテレメトリを集約・強化することで異常を検出します。トラフィックフローデータは、NetFlow、IPFIX、sFlow、およびCiscoの高速ロギングや統合ロギングからLiveNXに収集されます。

LiveNXの一元化されたダッシュボードは、検知された脅威やトラフィックの異常を表示します。「Security Insights」はオープンで標準ベースであるため、Open Worldwide Application Security Project（OWASP）やMITRE ATT&CKフレームワークへのマッピングが可能であり、SIEM、SOAR、XDRツールとのシームレスな統合を通じて、協調的な対応を実現します。 検知された脅威が最初にSIEMや他のセキュリティソリューションで検出された場合、セキュリティチームやネットワークチームはLiveNXおよびLiveWireを活用して、より詳細な調査を行うことができます。

Security Insights には、LiveWire と LiveNX の両方が必須コンポーネントとなります。

ユースケース

このセクションでは、Security Insights を使用することの利点を実証する、3つの実際の検知シナリオについて概説します。

ユースケース 1：トランスポート層セキュリティ（TLS）の異常なアクティビティの検出

MITRE ATT&CK ID T1571 – 非標準ポート

あるグローバル物流企業において、非標準ポートでの暗号化トラフィックが予期せぬ急増を見せました。Security Insightsは、このパターンを「IANA予約ポートでの予期せぬ暗号化」として自動的に検知しました。これは、コマンド＆コントロール（C2）通信を隠蔽するために使用される悪意のあるトンネリング活動の有力な兆候です。

調査ワークフロー：

1. Detection (Security Insights)
   • 通常、セキュアな通信には使用されないポート8088上の暗号化されたトラフィックを検出します。
   • MITRE T1571 への検出を関連付け、イベントにフラグを立てます。
   • 検証のために既知のIANA予約ポートと照合し、セキュリティ運用チームに自動的にアラートを送信します。
2. Analysis (LiveNX)
   • 影響を受けるサブネットを可視化し、異常なトラフィックを生成しているシステムを特定します。
   • WANおよびSD-WANリンク間のフローレコードを相関分析し、そのパターンが単一のIoTゲートウェイに限定されていることを確認します。
   • ビーコン通信の特徴である、定期的な通信間隔を検出します。
3. Forensics (LiveWire)
   • パケットをキャプチャして解析し、暗号化されたペイロードを確認します。
4. Response
   • セキュリティ運用チームは、IoTゲートウェイを隔離し、許可されていないポートからのすべてのアウトバウンドトラフィックをブロックします。
   • フォレンジックデータは、インシデント発生後の検証およびコンプライアンス報告のためにSIEMにエクスポートされます。

成果：早期検知により、マルウェアによるC2接続の永続化を阻止し、検知までの時間を数時間から数分に短縮するとともに、復号のオーバーヘッドなしに暗号化トラフィックの可視性を向上させました。

図2. LiveNXにおけるセキュリティインサイトのサマリーダッシュボードと詳細ビュー

ユースケース 2：脅威インテリジェンスのインジケーターを活用したプロアクティブな脅威ハンティング

MITRE ATT&CK ID: T1102 – Web Service

ある金融機関の脅威インテリジェンスフィードは、最近のC2インフラストラクチャキャンペーンに関連する不審なドメインを報告しています。セキュリティインサイトを活用することで、セキュリティチームはハイブリッドネットワーク全体を積極的に調査し、それらのドメインとの接触の証拠がないかを確認します。

調査ワークフロー：

1. Detection (Security Insights)
   • 外部フィードから脅威インテリジェンスの侵害指標（IoC）をインポートし、MITRE T1102にマッピングします。
   • フローテレメトリを使用してネットワーク全体での相関分析を行い、不審なドメインへのアウトバウンド通信を特定します。
   • ドメイン app-sync-storage[.]net にアクセスする複数のエンドポイントを検出しました。これは、潜在的な C2 Web サービスとして分類されています。
2. Analysis (LiveNX)
   • アナリストは LiveNX に切り替えて、エンドポイントごとの通信頻度や通信時間を可視化します。
   • DNSクエリとフローレコードを相関分析し、R&Dネットワーク内の単一のサブネットからの繰り返しのアクセスを確認します。
   • HTTPS経由でのデータ流出と一致する、異常なデータサイズのパターンを検出します。
3. Forensics (LiveWire)
   • フラグが立てられたホストに対してパケットキャプチャを実行し、ペイロードの挙動を確認します。
   • 不審なドメイン宛てにBase64エンコードされたデータを含むPOSTリクエストを特定します。
   • サンドボックス分析用のペイロードを抽出し、悪意のあるデータ漏洩を確認します。
4. Response
   • SOARにデータを送信し、侵害されたドメインおよび関連するIP範囲を自動的にブロックします。

成果：重大な事業上の損失が発生する前に、ステルス型のC2通信を阻止しました。

ユースケース 3：TLS 証明書悪用攻撃のフォレンジック調査

MITRE ATT&CK ID: T1587.003 – デジタル証明書

ある大手医療プロバイダーは、自社のデータセンター全体でSSL証明書の異常な挙動を検知しました。Security Insightsは、アウトバウンドトラフィックで複数の自己署名TLS証明書が使用されていることを指摘しました。これは、マルウェアが偽造証明書を使用して検査制御を迂回している可能性を示す兆候です。

調査ワークフロー：

1. Detection (Security Insights)
   • 内部からのアウトバウンド接続で使用されている、複数の自己署名および信頼されていない TLS 証明書を特定します。
   • MITRE T1587.003 に検出結果を照合し、「異常な証明書アクティビティ」として分類します。
2. Analysis (LiveNX)
   • アナリストは、フローの可視化機能を使用して、影響を受けたシステムから発信されたトラフィックを特定します。
   • IoT医療機器のサブネットから外部IPへの、反復的で短命なTLSセッションを検知します。
   • 異常な TLS ハンドシェイク間隔や暗号スイートの不一致を検出します。
3. Forensics (LiveWire)
   • 完全なフォレンジック分析のためにパケットをキャプチャします。
   • アウトバウンド接続に、TLSペイロード内に隠された暗号化されたコマンドが含まれていることを確認します。
   • マルウェアが永続性を確立するために生成した自己署名証明書の使用を特定します。
4. Response
   • 調査結果をSIEMおよびSOARに統合し、証明書の自動失効処理とアラート通知を実現します。

図3. フォレンジック検索に使用されるSecurity Insightsの個別パケットデータダッシュボード

成果：偽造されたTLS証明書によるC2の永続化を防止し、パケットレベルの証拠を保持することでコンプライアンスと監査対応体制を強化し、組織全体での証明書ガバナンスを強化しました。