Splunk Enterprise Security

Splunk Enterprise Security (ES)は、脅威の検出、調査、対応(TDIR)のための統合プラットフォームであり、セキュリティワークフローを一元的に効率化します。SIEM (セキュリティ情報/イベント管理)、エージェンティックAIとSOARによる自動化、UEBA、AI/機械学習を活用した検出精度と対応スピードの向上などの機能が統合されています。

これらの機能を1つのインターフェイスにまとめることで、効率が向上し、ツールのサイロ化が解消され、SOCチームは脅威をより効果的に検出、調査、対応できるようになります。

ES Premierに切り替えると、すぐに目に効果が見えるメリットがいくつか挙げられます。たとえば、以下のメリットがあります。

• ツールの統合：各種のセキュリティツールを統合的なTDIRプラットフォームに集約することで、ワークフローを効率化し、インシデント管理にかかる時間と労力を大幅に削減できます。異なるツールを1つのインターフェイスで利用できるため、コンテキストの切り替えが不要になり、手作業が減るほか、脅威やアラートを1カ所で確認することができます。
• 組み込みの機械学習を活用したUEBA：ユーザーやエンティティの異常な行動について、より深いインサイトを獲得することで、内部脅威、アカウントの悪用、ゼロデイ攻撃などの高度な脅威を効果的に検出できます。
• SOC全体でのSOAR機能の利用：ES PremierではSOAR (セキュリティのオーケストレーションと自動化によるレスポンス)を誰でも利用できるため、役割や立場に関係なくすべてのチームメンバーが業務に自動化を取り入れることができます。これにより、SOCのすべての業務で、ワークフローを効率化し、アラートに情報を補強して、対応のためのアクションを自動実行できます。

ES Premierを導入すれば、業務効率を向上させ、セキュリティ運用を拡張して、最新のAIドリブン機能を利用できます。

*一部で限定的に提供されています。

現時点で、Enterprise Securityには、EssentialsとPremierの2つのエディションがあります。ES Essentialsでは、SIEMが提供されるほか、今後、AI Assistant for Security (AIA)やDetection Studioが利用可能になります。

Splunk Enterprise Security Essentialsは、10年以上にわたって市場をリードするSIEM (セキュリティ情報/イベント管理)ソリューションです。一方、Splunk Enterprise Security Premierは、SIEM以外の機能も提供します。ES Premierは脅威の検出、調査、対応(TDIR)のための新しい統合プラットフォームであり、SIEM、UEBA、SOAR、AI機能が統合されているため、1つのプラットフォームで変化の激しい今日のセキュリティ状況に包括的に対処できます。

Splunk Enterprise Security (ES)では、SOC (セキュリティオペレーションセンター)チームの比較的単純な日常業務を自律的かつ継続的に自動化していくことで業務効率を向上させるためにエージェンティックAIが使われています。このアプローチにより、SOCチームでは人間による監視を維持しながら、AIの役割を徐々に増やしていくことができます。つまり、アクションを完全に自動化することも、AIの提案に人間による承認を必要とすることも可能です。

ESは、いくつかの高度な機能を備えています。たとえば、マルウェアのリバース分析では、悪質なスクリプトを行単位で自動分析し、侵害の痕跡(IOC)を抽出して、回避技法を示し、繰り返し発生する挙動をグループ化します。これにより、マルウェアの分析が迅速化されます。また、トリアージ用のエージェントによって、自動的にアラートが評価され、優先順位が判断されて、アラートに説明が付加されます。これにより、SOCチームは、特に重大な脅威への対応に集中できます。

さらに、SOCチームは、高度な技術スキルがなくても、自然言語で指示を出して、自動化プレイブックや検出ルールをすばやく作成およびカスタマイズできます。このようにESは、エージェンティックAIを活用して、アラートの情報補強、トリアージ、調査、マルウェア分析を効率化することで、運用の負担を軽減し、SOCアナリストが付加価値の高いセキュリティタスクに専念できるように支援します。