M bank：プロアクティブなリアルタイムの可視化で、デジタルバンキングのセキュリティを強化

後手の対応から先手の対応へ：プロアクティブな脅威ハンティングでサイバーセキュリティを強化

モンゴルを拠点とするM bankは、完全にデジタルなネオバンクとして、金融サービスのエクスペリエンスをモバイルファーストサービスで刷新することを目指しています。支店がなく店頭での行列もなく、営業終了時間さえないため、顧客はスマートフォンアプリやWebプラットフォームを利用して、どこからでも資金を管理できます。

M bankはサイバーセキュリティを常に最優先事項としていますが、同行のセキュリティオペレーションセンター(SOC)は、異機種が混在した分散型コンピューティングインフラの監視に苦労していました。このインフラを構成していたのは、100以上のサイロ化されたホスト、オンプレミスとクラウドベースの運用システム、アプリケーションログです。これらのプラットフォームの多くは、各部門が独自の戦略に基づいてさまざまなプログラミング言語で自力で開発したもので、ログの相関付けや情報の共有が不可能でした。

異常の調査は手動で行う必要があり、SOCチームはシステムごとにログを1件ずつ確認していました。これは膨大な手作業を必要とする業務でしたが、さらに困ったことに多くの場合、重大なインシデントやその発生場所を把握できませんでした。M bankはこうした状況に対応するため、SIEM (セキュリティ情報/イベント管理)プラットフォームを導入し、セキュリティの可視性を高めることにしました。そこで選んだのが、パートナーのUnity Data Technology社が提供していたSplunkです。Splunk Enterprise Security (ES)は、パフォーマンスと使いやすさが際立っていました。最も重要なのは、これによって、可視化できなかったものをリアルタイムで可視化し、プロアクティブな脅威ハンティングを実現できたことです。

「何も知らない」から「全体像を把握」へ

Splunk Enterprise Securityはガートナー社2025年SIEM部門のマジック・クアドラントで11回連続のリーダーに選出されており、さまざまなソースのデータを一元管理し、運用状況をリアルタイムで可視化する統合的なSIEMプラットフォームをM bankに提供します。また、セキュリティ態勢、インシデントレビュー、脅威アクティビティなどの事前構築済みダッシュボードによって、SOCの運用効率化を支援します。これにより、同行SOCチームはセキュリティ態勢全体を監視し、主要なセキュリティデータや相関関係をリアルタイムで確認できるようになりました。

また、Splunkの導入により、不正行為の検出、異常アクセス、インフラセキュリティ監視といった特殊なユースケースに対応するカスタムダッシュボードの開発も可能になりました。さらに同行SOCチームは、これらのダッシュボードをカスタムのSplunkアプリとしてパッケージ化することで、再利用やロールベースのアクセス制御を可能にし、ライフサイクル管理を改善しました。

Splunk Enterprise Securityをこれらのカスタムダッシュボードと組み合わせれば、リアルタイムのログ分析、セキュリティ監視、トラブルシューティングを単一のインターフェイスで行えるようになります。また、Splunkの予測分析機能を利用することにより、行動データ分析を通じて異常や脅威を早期に検出できます。

M bankで情報セキュリティ部門の責任者を務めるNyamdorj Miya氏はこう述べています。「Splunkを利用すれば、すべての要素をつなげ、あらゆるセキュリティリスクを完全に把握し、原因を迅速に突き止めることができます。IT環境で何が起きたのか把握できない状態だったところから、サイバーセキュリティ態勢を明確に把握できる状態にまでなりました。初めて、リアクティブなセキュリティ管理からプロアクティブな脅威ハンティングへと移行したのです」

Miya氏は続けてこう強調しています。「実現するだけではなく、効率も重要です。以前は、インシデントの根本原因を突き止めるのに、SOCチームがあらゆるシステムやアプリケーションのログをすべて手動で確認していました。そのため少なくとも1時間、ときには1日かかるのが普通でした。今では、異常のチェックやインシデントのレビューは、Splunkダッシュボードの自動操作によって数秒で完了します」。実際に脅威の検出と対応がどれくらい効率化されるかは、状況によって異なると同氏は考えています。それでも、同行では「MTTD (平均検出時間)」と「MTTR (平均対応時間)」が平均で50%減少しました。