Splunk SOC：Splunk Attack AnalyzerとSplunk SOARでフィッシング攻撃のMTTDを7分に短縮

難易度の高いインシデントに対処

インシデント対応での判断は常に適切であるべきです。それはどのような組織のサイバーセキュリティチームでも同じですが、組織で発生した重大で難易度の高いインシデントに対応するSplunk Advanced Threat Responseチームにとってはなおさらです。このチームは10人のメンバーで構成され、SOCやその他の社内ステークホルダーと協力してSplunkのセキュリティを維持しています。何か問題が発生したときは、組織の運営、財務、評判への影響を最小限に抑え、全社員が最高のパフォーマンスを発揮して仕事を続けられるようにすることがチームの任務です。

チームは先日、インシデント調査をより詳細に行い、多くの分析に対応できるようにするために、Splunk Attack Analyzerを導入しました。それ以来、このツールは不審なファイルやドメインの分析に欠かせない存在になりました。Splunk Attack Analyzerを活用することで、チームはインシデントをより迅速に検出し、組織へのリスクを軽減できるようになりました。「特に難易度の高いインシデントの解決に役立っています」と、Splunk Advanced ResponseチームのシニアマネージャーであるTony Iacobelliは評価します。

Splunk Attack Analyzerのような強力な自動脅威分析ツールがあれば、検出範囲を拡大することもできます。以前は、何らかの脅威が発生した場合、Advanced Threat Responseチームは、EDRソリューションが自動的に脅威をブロックして、さらなる攻撃を食い止めるのを期待するしかありませんでした。現在では、Attack Analyzerのおかげで、アナリストがパターンを追跡し、IoC (侵害の兆候)やホストベースのアーティファクトなどの攻撃元に関する詳細を収集して、EDRで見逃された可能性のある不審なアクティビティがないか確認できます。また、インタラクティブなデトネーションモードを使って、ツール内で安全にマルウェアを実行し、マシンへの感染リスクを負うことなく調査を行うこともできます。

ツールの追加は良いタイミングで行われました。「当時は、ユースケースの数を増やし、可視化の範囲を拡大している最中でした。しかし残念ながら、システムの可視化は進んでも、人的リソースは簡単に増やせません。そのため、チーム全体の効率を向上させて生産性を高める必要がありました。そこで活躍したのがAttack Analyzerです」とTony Iacobelliは説明します。Attack AnalyzerによってSplunkのインシデント対応チーム全体の効率が向上したことで、重大なユースケースでMTTDを7分以下に抑えるという目標を達成できました。