ネットワークセキュリティ監視（NSM）：ネットワーク経由の脅威をリアルタイムで検知

ネットワークセキュリティ監視（NSM）は、ネットワークトラフィックを継続的に分析し、すべてのネットワークセグメントにわたる脅威、異常、未承認の活動を特定することです。Cypher SentinelのNSMとネットワーク検知・対応（NDR）機能は、行動分析、ファイアウォール連携、高度な暗号化トラフィック検査を利用し、ラテラルムーブメント、データ流出、指令・制御通信、DDoS攻撃をリアルタイムで検知します。

現在、多くの組織はネットワークの保護をファイアウォールと侵入検知システムに依存しています。しかし、ファイアウォールが適用できるのは設定されたルールだけであり、従来のIDS/IPSソリューションは暗号化を利用したり、シグネチャベースの検知を回避したりする巧妙な攻撃を見逃します。ネットワークセキュリティ監視（NSM）は、すべてのネットワークトラフィックを継続的に分析し、事前定義されたルールではなく動作と異常に基づいて脅威を検知する、異なる手法を提供します。

Cypher Sentinelのような包括的なNSMソリューションは、ネットワークトラフィックを完全に可視化し、システム間のラテラルムーブメント、データ流出、指令・制御通信など、ネットワーク内部で発生する攻撃を検知できるようにします。多くの攻撃は攻撃者がすでに境界を突破した後に発生するため、これは不可欠です。NSMは、こうした内部の脅威が重大な被害を引き起こす前に検知します。

ネットワークセキュリティ監視（NSM）とは何ですか。

ネットワークセキュリティ監視（NSM）は、ネットワークトラフィックを包括的に収集・分析し、セキュリティ脅威、異常、未承認の活動をリアルタイムで特定することです。NSMソリューションは、すべてのネットワークトラフィックを取得するか、大規模にサンプリングし、侵害指標や攻撃パターンを分析して、検知した脅威への迅速な対応を可能にします。

NSMは、ファイアウォールや従来のIDS/IPSとは根本的に異なります。ファイアウォールは、事前定義されたルールに基づいてアクセス制御を適用します。従来のIDS/IPSは、既知のシグネチャや単純な異常検知ルールに基づいて攻撃を検知します。NSMは、ネットワークトラフィックに表れる実際の動作を分析し、既知の攻撃を脅威インテリジェンスで、未知の攻撃を行動分析と異常検知で特定します。

• ネットワークの完全な可視性 — ファイアウォールがログに記録したりアラートを出したりする内容だけでなく、すべてのネットワーク通信を把握します。
• シグネチャを超えた脅威検知 — 行動分析と異常検知を使って未知の脅威を検知します。
• ラテラルムーブメント検知 — 侵害されたシステムがネットワーク上の他のシステムと通信する際に特定します。
• データ流出の防止 — データフローのパターンと量を分析し、攻撃者によるデータ窃取の試みを検知します。
• 暗号化された脅威の検知 — 暗号化トラフィックのメタデータを分析し、悪意ある暗号化通信を検知します。

ネットワーク検知・対応（NDR）機能

ネットワーク検知・対応（NDR）は、検知した脅威への自動対応機能を追加してNSMを拡張します。NDRプラットフォームは、ネットワーク経由の攻撃を検知するだけでなく、防御アクションを自動実行し、脅威を封じ込めて影響を最小限に抑えます。

高度なNDR機能には、システム間の通信パターンの行動分析によるラテラルムーブメント検知、攻撃者が価値のあるシステムやサービスをスキャンする偵察活動の特定、異常なデータフローや大量の外向き転送の分析によるデータ流出の検知、悪意あるサーバーへの通信を特定する指令・制御通信の検知が含まれます。NDRは、侵害されたネットワークセグメントの迅速な隔離と、悪意あるトラフィックフローの遮断を可能にします。

ファイアウォール連携と次世代のセキュリティ

現代のネットワークセキュリティには、ファイアウォール、IDS/IPS、NSM、脅威インテリジェンスを協調防御に組み込むことが必要です。ファイアウォールがアクセス制御と基本的な脅威検知を行う一方、NSMはトラフィックの内容と動作を深く可視化します。この組み合わせにより、複数の地点で攻撃を阻止する多層防御を提供します。

次世代ファイアウォール（NGFW）は、従来のファイアウォール機能に侵入防止、アプリケーションレベルのフィルタリング、脅威インテリジェンス連携を組み合わせます。NGFWはアプリケーション層でトラフィックを検査し、ネットワーク活動を脅威インテリジェンスと相関分析して、既知の悪意あるトラフィックを遮断し、既知の攻撃パターンを防ぎます。

Cypher SentinelのようなNSMプラットフォームと連携すると、ファイアウォールのログとアラートが詳細なトラフィック分析と組み合わさり、包括的なネットワークセキュリティを提供します。Cypher Sentinelは、検知した脅威に基づいてファイアウォールルールを自動更新し、新たな攻撃元をリアルタイムで遮断できます。

侵入検知・防止システム（IDS/IPS）

侵入検知システム（IDS）は、ネットワークトラフィックに既知の攻撃と一致するパターンがないかを分析し、不審な活動を検知するとアラートを生成します。侵入防止システム（IPS）はさらに進み、悪意あるパケットの破棄や接続のリセットによって、検知した攻撃を自動的に遮断します。

しかし、従来のIDS/IPSシステムはシグネチャベースの検知に依存しており、既知の攻撃しか特定できません。Cypher Sentinelのような高度なEDRプラットフォームは、シグネチャベースの検知を行動分析と機械学習と組み合わせ、IDS/IPSだけでは見逃すゼロデイ攻撃や新たな攻撃手法を検知できるようにします。

IDS/IPSと行動分析の連携は、多層の検知を提供します。既知の攻撃はシグネチャで遮断し、未知の攻撃は行動分析と異常検知によって特定します。

DDoS対策と攻撃の緩和

分散型サービス拒否（DDoS）攻撃は、ネットワークに大量のトラフィックを送り込んでリソースを圧迫し、正当なユーザーがサービスにアクセスできなくすることを狙います。DDoS対策ソリューションは、高度な技術を使用して、サービスの可用性を維持しながら攻撃を検知・緩和します。

DDoSの緩和では、トラフィック分析によって攻撃パターンを特定し、悪意あるトラフィックをリアルタイムでフィルタリングします。ネットワークに大量のデータを送り込むボリューム型攻撃は、トラフィック量とパターンの分析で特定します。ネットワークプロトコルの弱点を悪用するプロトコル攻撃は、パケット構造と動作の分析で検知します。特定のアプリケーションを狙うアプリケーション層攻撃は、アプリケーションレベルのトラフィックパターンの分析で特定します。

高度なDDoS対策は、単純な通信量ベースのフィルタリングを回避し得る巧妙な攻撃を、行動分析で検知します。Cypher SentinelのDDoS対策は、トラフィックフィルタリング、プロトコルレベルの保護、アプリケーションレベルの保護、行動分析を組み合わせ、巧妙なDDoS攻撃に対してもネットワークの可用性を維持します。

暗号化トラフィック分析と隠れた脅威の検知

暗号化が広く普及するにつれ、攻撃者も悪意ある通信を隠すために暗号化を利用するようになっています。暗号化はデータのプライバシーを守る一方、悪意ある指令・制御通信やデータ流出を、従来のNSMツールから隠してしまいます。

暗号化トラフィック分析は、内容自体が暗号化されていても、暗号化通信のメタデータと動作を分析することで、この課題を克服します。接続パターン、パケットサイズ、通信頻度、タイミング情報などを分析します。悪意ある暗号化通信には、正当な暗号化トラフィックとは異なる特徴的なパターンがあることがよくあります。

例えば、指令・制御通信には、通常のアプリケーショントラフィックのパターンとは異なる定期的なビーコン通信（一定間隔の通信）が含まれることがよくあります。暗号化を通じたデータ流出では、一般的な暗号化アプリケーションの利用とは異なる、大量で持続的な転送が発生することがよくあります。こうした行動パターンを分析することで、NSMプラットフォームは復号せずに悪意ある暗号化トラフィックを検知できます。

脅威インテリジェンスの連携とコンテキスト

NSMプラットフォームが、既知の悪意あるIPアドレス、ドメイン、攻撃パターンを識別する脅威インテリジェンスフィードと連携すると、ネットワークセキュリティは大幅に向上します。脅威インテリジェンスは、既知の脅威を即座に特定し、ネットワーク分析のためのコンテキストを提供します。

脅威インテリジェンスをさまざまな脅威検知ツールと連携することで、NSMは、既知の悪意あるサーバーとの通信の特定、既知の脅威パターンに一致する攻撃の検知、ボットネットのインフラと通信する侵害済みシステムの特定、既知の脅威アクターによる攻撃パターンの認識を行えます。これにより既知の脅威の検知が大幅に速まり、未知の攻撃には行動分析で対処します。

Cypher Sentinelは複数の脅威インテリジェンスフィードと連携し、組織が自らのセキュリティインシデントや脅威評価に基づいて独自の脅威インテリジェンスを追加できるようにします。

ネットワークセグメンテーションとゼロトラストアーキテクチャ

ネットワークセグメンテーションは、ネットワークを独立したゾーンに分割してゾーン間の通信を制限し、システムが侵害された際のラテラルムーブメントを抑えます。ゼロトラストアーキテクチャはさらに進み、発信元にかかわらず、すべてのネットワーク通信に認証と認可を求めます。

NSMとNDRプラットフォームは、ネットワークセグメンテーションに不可欠な可視性を提供し、システムがセグメント境界を越えて通信する状況を検知して、セグメンテーションポリシーの違反を特定します。これにより、ネットワークセグメンテーションポリシーの適用と、未承認の通信パターンの検知が可能になります。

Cypher Sentinelのゼロトラスト・サイバーセキュリティ機能は、ネットワークセグメンテーションを適用して違反を検知し、NSMと連携してラテラルムーブメントを検知・防止します。

NSMの導入モデルとデータ主権

ネットワークセキュリティ監視は、組織の要件に合わせたさまざまなアーキテクチャで導入できます。クラウドベースのNSMはマネージドサービスと容易な導入を提供しますが、ネットワークテレメトリーは外部サーバーを経由します。組織のデータセンター内に導入するオンプレミスのNSMは、完全なデータ主権と管理を提供します。ハイブリッドNSMは、オンプレミスの検知と、クラウドベースの脅威インテリジェンスの選択的な連携を組み合わせます。

政府機関や機密データを扱う組織では、主権型のNSM導入により、すべてのネットワークトラフィック分析と脅威データを組織の管理下に維持し、データの所在に関する要件を満たせます。