Enterprise Securityの機能
製品機能とワークフローの詳細をご覧になり、Enterprise Securityによってセキュリティ運用全体の効率性、精度、効果を高めることができる仕組みをご確認ください。
統合ワークフロー
SIEM
AIアシスタント
SOAR
UEBA
Cisco Talosと脅威インテリジェンス管理
Detection Studio
調査結果ベースの検出
調査結果ベースの検出を使ってセキュリティインシデントの特性をすばやく理解し、適切に対応する方法をご覧いただけます。調査結果ベースの検出では、タイムスタンプ、キー/値のペア、エンティティ情報、影響度、リスクスコア、脅威オブジェクトなど、確認された特定の詳細または分析結果に基づいて検出が行われます。
検出
Splunk Enterprise Security 8.0での検出ルールと検出コンテンツの使い方をご覧いただけます。バージョン8.0では、すべての検出コンテンツが含まれるライブラリを管理しやすくなりました。検出コンテンツがわかりやすく整理され、簡単に追跡できるため、古いコンテンツをすばやく見つけてアップデートできます。
検出機能のバージョン管理
Splunk Enterprise Security 8.0に追加された、検出機能のバージョン管理を利用して、SIEMで使う検出ルールを効率的に管理する方法をご覧いただけます。この機能を使えば、ESCUの検出ルールとお客様独自の検出ルールのバージョンをネイティブで自動的に管理できます。検出エンジニアは、新しいバージョンの検出ルールの保存、検出ルールのバックアップや以前のバージョンへのロールバックをワンクリックで簡単に行って、独自の検出ルールを効率的に管理できます。
MITRE ATT&CKフレームワークマトリクス
Splunk Enterprise SecurityのMITRE ATT&CKフレームワーク機能では、セキュリティアナリストがMITRE ATT&CKマトリクスに沿ってインシデントの状況をすばやく理解し、関連するMITREドキュメントを直接参照できます。
Security Postureダッシュボード
Splunk Enterprise Securityは、拡張性の高いプラットフォームを基盤に、データに基づく豊富なインサイトを提供して、組織の環境全体を可視化します。
[Security Posture]ダッシュボードでは、重要イベントに関するリアルタイムのインサイトをセキュリティオペレーションセンター内で共有できます。重要なKPIを追加して、その変動を24時間体制で監視することも可能です。
リスクベースアラート(RBA)
リスクベースアラート(RBA)は、Splunk Enterprise Securityに用意されている優れた検出機能を利用することで、誤検知率を大幅に低減し、SOCの生産性を向上させます。リスクをユーザーやシステムと関連付け、リスクや行動がしきい値を超えたときにアラートを生成します。
[Incident Review]ダッシュボードでは、RBAによって生成された重要イベント(またはリスク重要イベント)に関連するイベントのタイムラインを簡単に確認できます。
脅威インテリジェンスとSOAR
Splunk Intelligence Managementでは、組織のエコシステムで利用している内外のセキュリティインテリジェンスソースを一元的に管理し、そのインサイトをSplunk Enterprise SecurityとSplunk SOARに直接取り込むことができます。
Splunk SOARではSplunk Enterprise Securityとシームレスに情報を共有できるため、アラートにコンテキストを追加し、瞬時にアクションを実行することで、インシデントの調査と対応を迅速化できます。
行動分析
Splunk User Behavior Analytics (UBA)とSplunk Enterprise Securityを統合して、インサイトをさらに充実させ、セキュリティを強化し、調査を効率化できます。これにより、アナリストは、忠実度の高いアラートに集中して対応できます。Splunk UBAは、機械学習を使ってユーザーやエンティティの行動をプロファイルし、真の脅威を特定して、Splunk Enterprise Securityとその情報を共有します。
クラウド版のSplunk Enterprise Securityをお使いの場合は、代わりに行動分析サービスを利用することもできます。このサービスでは、セキュリティ態勢を包括的に可視化し、ストリーミング分析を通じて、隠れた脅威や未知の脅威を検出できます。
ES Content Updatesとユースケースライブラリ
Splunk脅威調査チームは、最新の脅威に先手で対応するために役立つセキュリティコンテンツを、検出および対応ルールを含むパッケージの形で提供しています。
これらのコンテンツは、ユースケースライブラリで分析ストーリーとして表示されます。ライブラリでは、コンテンツをユースケースやMITRE ATT&CKなどの業界標準のフレームワークに基づいてフィルタリングできます。
Access Anomaliesダッシュボード
このダッシュボードでも、Splunk Enterprise Securityのセキュリティインテリジェンスが有効活用されます。ユーザーの行動全体にわたる異常が可視化され、異なるIPから同時に行われた認証の試行や、地理的にあり得ないような場所からのアクセスなどを確認できます。
アナリストキュー
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0で新しくなったアナリストキューのデモをご覧いただけます。ここは、セキュリティアナリストがアラートのトリアージと調査で多くの時間を費やす場所です。右側の新しいサイドパネルで、調査結果のすべての詳細を確認し、すぐに調査を開始して、対応を自動的に実行できます。
調査
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0での調査ワークフローの変更がインシデントのMTTR (平均対応時間)の短縮にどのように役立つかをご覧いただけます。
脅威トポロジー
脅威トポロジーでは、関連するすべてのリスクと脅威オブジェクトをマッピングすることで、インシデントの範囲を評価できます。アナリストは、調査の中でセキュリティインシデントの範囲をすぐに特定し、影響を受けた資産とユーザーの両方を迅速に確認できるため、効率と生産性が向上します。
Incident Reviewダッシュボード
検出結果や重要イベントを確認するときに最初にチェックするダッシュボードです。重要イベントはインシデント調査の出発点で、重大度によって簡単に並べ替えることができるため、セキュリティインシデントの優先順位をすばやく判断して修復に取り掛かることができます。
アセット調査とセキュリティドメイン
[Asset Investigator]ダッシュボードでは、スイムレーンでイベントを経時的に確認できるため、脅威ハンティングやインシデントフォレンジックが容易になります。各スイムレーンでは、アクティビティの発生頻度が色の濃淡によって表されるため、ホストやユーザーのアクションのパターンを一目で把握できます。
すぐに使える[Security Domains]ダッシュボードでは、ログイン試行、侵害を受けたエンドポイント、ネットワークへの侵入など、個々のアクティビティを重点的に追跡できます。また、対象をすばやく切り替えて相関付けることで、修復時間を短縮できます。
Risk Analysisダッシュボード
[Risk Analysis]ダッシュボードでは、資産を追跡し、リスクごとに分類できます。たとえば、アクティビティが急増した資産は、機密情報を保持しているだけの資産よりも優先度が高いと判断されます。これにより、アラートのノイズを削減できます。
調査ワークベンチ
調査ワークベンチには、すべての脅威インテリジェンス、セキュリティコンテキスト、関連データ(ユーザーやデバイスなど)がまとめられています。調査中にこのワークベンチに簡単に切り替えて、インシデントをすばやく正確に評価できます。
調査タイムラインにより、調査のコラボレーションと追跡が向上します。ワークベンチでアドホック検索も簡単に実行できるため、時間を節約し、調査に集中できます。
調査コマンドライン
Splunk SOARの調査ページでは、いくつかの方法でアクションを実行できます。簡単な方法の1つはコマンドラインを使用することです。コマンドラインは、イベントにコメントを書く欄の下の方にあります。最初にスラッシュ(/)を入力すると、アクションの候補が表示されます。
ケース管理
Splunk SOARにより、セキュリティおよびITスタック全体のワークフローと対応がオーケストレーションされ、防御戦略の中で各ツールを有効活用できます。ケース管理機能では、ワークブックを使ってプロセスをコード化し、再利用可能なテンプレートとして保存できます。インシデント対応に独自のテンプレートと業界標準のどちらを利用する場合でも、タスクの分割、割り当て、文書化を効率的に行い、コラボレーションを促進して一貫した調査プロセスを実現できます。
イベント管理
アナリストは大量に発生するセキュリティイベントの対応で疲弊しがちです。Splunk SOARでは複数のソースで生成されるすべてのイベントが1カ所にまとめられるため、イベント管理が容易になります。アナリストは、イベントの並べ替えやフィルタリングによって、忠実度の高い重要イベントを識別し、対応の優先順位を判断できます。
ウェイファインダー
Splunk SOARのユーザーインターフェイス内をすばやく簡単に移動できる動的なナビゲーションツールです。複数のメニューをたどる代わりに、わかりやすいキーボードショートカットを使って、主要なインシデント、自動化プレイブック、その他の重要な情報に直接アクセスできます。ウェイファインダーを使えば、直感的かつ効率的なナビゲーションでエクスペリエンスを強化できます。
メインダッシュボード
Splunk SOARのカスタマイズ可能なメインダッシュボードでは、MTTD (平均検出時間)、MTTR (平均対応時間)、節約時間、節約コストなど、主要なメトリクスを追跡できます。ダッシュボードパネルの位置を調整して、自分にとって特に重要な情報を見やすく表示できます。
コンテキストに応じたアクションの実行
Splunk SOAR Appには、「contains」と呼ばれる、アクションの入出力のためのパラメーターがあります。これを使って、Splunk SOARユーザーインターフェイスでコンテキストに応じたアクションを実行できます。たとえば、containsとして「ip」がよく使われます。この機能を使えば、アクションの出力を次のアクションの入力としてつないでいくことができるため、非常に便利です。
統合的なTDIR
Splunk Enterprise Security 8.0は、SOCのワークフローエクスペリエンスを大きく変化させます。これによってセキュリティアナリストは、重要な問題だけを検出し、包括的に調査し、迅速に対応するまでの作業をシームレスに実行できます。また、TDIRを完全に統合したワークフロー、用語の標準化、最新の情報集約機能とトリアージ機能、強化された検出機能により、セキュリティ運用を強化できます。こちらのビデオでは、Splunk Enterprise Security 8.0のすべての機能のデモをご覧いただけます。
対応計画
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Securityの対応計画を使って、一般的なセキュリティユースケースにおけるインシデント対応ワークフローを簡単にコラボレーションして実行する方法をご覧いただけます。対応計画のテンプレートによって、インシデント対応計画の各段階をカバーし、主要なステークホルダーを各フェーズに割り当て、シンプルな自動化プレイブックをタスクに適用することで、修復作業を迅速化できます。
SIEMとSOARの統合ワークフロー
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk SOARのプレイブックおよびアクションがSplunk Enterprise SecurityとMission Controlのケース管理機能や調査機能とどのように直接統合されたかをご覧いただけます。これにより、一元的な作業環境が提供され、インシデントのMTTD (平均検出時間)とMTTR (平均対応時間)を最適化できます。アナリストは、単一の先進的なインターフェイスから脅威の検出、調査、対応を行うことができます。
アダプティブレスポンスアクション
アダプティブレスポンスアクションは、生成された重要イベントに対して手動または自動で実行できるアクションです。
これらのアクションを使えば、重要イベントを調査する際のコンテキストの収集や、対応と修復をすばやく実行できます。Splunk SOARによる包括的なセキュリティオーケストレーション、自動化、対応ソリューションを取り入れる前に、一部のプロセスだけを自動化するための基盤としても役立ちます。
プロンプトベースの自動化
SOC以外のチームにリアルタイムで安全にプロンプトを送信することで、対応ワークフローを効率化し、セキュリティインシデントをよりすばやく解決できます。プロンプトは、IT運用アプリケーション、ChatOpsアプリケーション、またはチケット管理アプリケーションを通じて送信できます。
ガイド付き自動化
プレイブックで論理的な処理の流れに実際のインシデントデータを重ねて表示する、まったく新しいエクスペリエンスが提供されます。これにより、自動化の構築にかかる時間を大幅に短縮し、精度を向上させることができます。
SIEMとSOARのネイティブ統合を利用したプレイブックの構築
Splunk SOAR 6.3では、SOAR機能がSplunk Enterprise Security 8.0と完全に統合されました。こちらのビデオでは、SIEMワークフローに沿ったSplunk SOARプレイブックを簡単に作成する方法をご覧いただけます。プレイブックやアクションはSplunk Enterprise Securityのアナリストキューに直接統合できます。これにより、Splunk Enterprise Securityのインターフェイスを離れずに、プレイブックを実行して結果を確認できます。この機能を利用するには、Splunk SOARとSplunk Enterprise Securityのライセンスが必要です。
Visual Playbook Editorと入力プレイブック
コーディングの初心者でも、Pythonのエキスパートでも、プレイブックの作成やカスタマイズができます。Visual Playbook Editorでは、事前構築済みのコードブロックとアクションストリングを使って独自のワークフローを簡単に構築し、プレイブックを効率的に作成できます。基本的なITタスクの入力プレイブックも用意されており、それをより規模の大きいプレイブックやセキュリティワークフローに組み込むこともできます。事前構築済みの幅広いプレイブックを利用して、自動化をすぐに始められます。
ロジックループ
ロジックループを使うと、処理を繰り返すループ機能が必要なプレイブックを構築および管理する際に独自のコードを記述する必要がなくなり、作業が容易になります。この反復機能を使用すれば、プレイブックのアクションが失敗した場合の再試行や、成功した場合のプレイブックの続行を自動化できます。この機能は、不正なURLの隔離と修復を行うサンドボックスエンジンや、フォレンジック調査ワークフローなどのユースケースに使用できます。
カスタム関数
カスタム関数を使って、独自のコードをプレイブック間で共有しながら、複雑なデータオブジェクトを実行パスに組み込むことができます。これらは事前構築済みのカスタムブロックとして提供され、事前構築済みのプレイブックほどではありませんが、時間と労力を節約できます。これらのブロックを使えば、コードを記述することなく自動化を拡張できます。
サードパーティツールの設定
Splunk SOARを使い始めるには、資産を設定する必要があります。資産とは、ファイアウォールやエンドポイントなど、Splunk SOARで調査するセキュリティ資産やインフラ資産を指します。Splunk SOARは、これらの資産にAppを通じて接続します。Appによってサードパーティのセキュリティ製品やツールを統合することで、プラットフォームを拡張できます。
App Editor
Splunk SOARでは、構築済みのAppを利用するだけでなく、組織にとって重要なユースケースに合わせて独自のAppを作成することもできます。Splunk SOARのApp Editorを使えば、コードの表示と追加、アクションのテスト、ログの結果確認、トラブルシューティングを簡単に行えます。Appの動作をさらに可視化し、イテレーション開発を行うことで、SOCの進化とともにAppを進化させ、新たなニーズに対応できます。
App
Splunkbaseのコネクターカタログから、300以上のサードパーティツールとのインテグレーションと、2,800以上の自動アクションを入手できます。これらを利用すれば、既存のスタックを置き換えることなく、複数のチームやツールをまたぐ複雑なワークフローを調整して連携できます。Splunk SOARのAppはすべて、Splunkbaseからダウンロードできます。
