Splunk Enterprise Security 8.0の新機能
統合的なTDIR
Splunk Enterprise Security 8.0は、SOCのワークフローエクスペリエンスを大きく変化させます。これによってセキュリティアナリストは、重要な問題だけを検出し、包括的に調査し、迅速に対応するまでの作業をシームレスに実行できます。また、TDIRを完全に統合したワークフロー、用語の標準化、最新の情報集約機能とトリアージ機能、強化された検出機能により、セキュリティ運用を強化できます。こちらのビデオでは、Splunk Enterprise Security 8.0のすべての機能のデモをご覧いただけます。
アナリストキュー
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0で新しくなったアナリストキューのデモをご覧いただけます。ここは、セキュリティアナリストがアラートのトリアージと調査で多くの時間を費やす場所です。右側の新しいサイドパネルで、調査結果のすべての詳細を確認し、すぐに調査を開始して、対応を自動的に実行できます。
検出機能のバージョン管理
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0に追加された、検出機能のバージョン管理を利用して、SIEMで使う検出ルールを効率的に管理する方法をご覧いただけます。この機能を使えば、ESCUの検出ルールとお客様独自の検出ルールのバージョンをネイティブで自動的に管理できます。検出エンジニアは、新しいバージョンの検出ルールの保存、検出ルールのバックアップや以前のバージョンへのロールバックをワンクリックで簡単に行って、独自の検出ルールを効率的に管理できます。
検出
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0での検出ルールと検出コンテンツの使い方をご覧いただけます。バージョン8.0では、すべての検出コンテンツが含まれるライブラリを管理しやすくなりました。検出コンテンツがわかりやすく整理され、簡単に追跡できるため、古いコンテンツをすばやく見つけてアップデートできます。
調査結果ベースの検出
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、調査結果ベースの検出を使ってセキュリティインシデントの特性をすばやく理解し、適切に対応する方法をご覧いただけます。調査結果ベースの検出では、タイムスタンプ、キー/値のペア、エンティティ情報、影響度、リスクスコア、脅威オブジェクトなど、確認された特定の詳細または分析結果に基づいて検出が行われます。
調査
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Security 8.0での調査ワークフローの変更がインシデントのMTTR (平均対応時間)の短縮にどのように役立つかをご覧いただけます。
対応計画
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk Enterprise Securityの対応計画を使って、一般的なセキュリティユースケースにおけるインシデント対応ワークフローを簡単にコラボレーションして実行する方法をご覧いただけます。対応計画のテンプレートによって、インシデント対応計画の各段階をカバーし、主要なステークホルダーを各フェーズに割り当て、シンプルな自動化プレイブックをタスクに適用することで、修復作業を迅速化できます。
SIEMとSOARの統合ワークフロー
こちらの「SIEM in Seconds (SIEM早わかりガイド)」ビデオでは、Splunk SOARのプレイブックおよびアクションがSplunk Enterprise SecurityとMission Controlのケース管理機能や調査機能とどのように直接統合されたかをご覧いただけます。これにより、一元的な作業環境が提供され、インシデントのMTTD (平均検出時間)とMTTR (平均対応時間)を最適化できます。アナリストは、単一の先進的なインターフェイスから脅威の検出、調査、対応を行うことができます。
機能
脅威トポロジー
脅威トポロジーでは、関連するすべてのリスクと脅威オブジェクトをマッピングすることで、インシデントの範囲を評価できます。アナリストは、調査の中でセキュリティインシデントの範囲をすぐに特定し、影響を受けた資産とユーザーの両方を迅速に確認できるため、効率と生産性が向上します。
MITRE ATT&CKフレームワークマトリクス
Splunk Enterprise SecurityのMITRE ATT&CKフレームワーク機能では、セキュリティアナリストがMITRE ATT&CKマトリクスに沿ってインシデントの状況をすばやく理解し、関連するMITREドキュメントを直接参照できます。
Security Postureダッシュボード
Splunk Enterprise Securityは、拡張性の高いプラットフォームを基盤に、データに基づく豊富なインサイトを提供して、組織の環境全体を可視化します。
[Security Posture]ダッシュボードでは、重要イベントに関するリアルタイムのインサイトをセキュリティオペレーションセンター内で共有できます。重要なKPIを追加して、その変動を24時間体制で監視することも可能です。
Executive Summaryダッシュボード
CISOやその他のシニアリーダーが、セキュリティメトリクスを期間ごとにフィルタリングする機能を活用して、セキュリティプログラムの全体的な健全性を詳しく把握できます。
SOC Operationsダッシュボード
MTTDや重要インベントの件数など、SOCチームの効率とパフォーマンスに関する詳細情報を確認できます。これらの情報は特にSOCマネージャーやチームリーダーにとって重要です。
Incident Reviewダッシュボード
検出結果や重要イベントを確認するときに最初にチェックするダッシュボードです。重要イベントはインシデント調査の出発点で、重大度によって簡単に並べ替えることができるため、セキュリティインシデントの優先順位をすばやく判断して修復に取り掛かることができます。
リスクベースアラート(RBA)
リスクベースアラート(RBA)は、Splunk Enterprise Securityに用意されている優れた検出機能を利用することで、誤検知率を大幅に低減し、SOCの生産性を向上させます。リスクをユーザーやシステムと関連付け、リスクや行動がしきい値を超えたときにアラートを生成します。
[Incident Review]ダッシュボードでは、RBAによって生成された重要イベント(またはリスク重要イベント)に関連するイベントのタイムラインを簡単に確認できます。
アダプティブレスポンスアクション
アダプティブレスポンスアクションは、生成された重要イベントに対して手動または自動で実行できるアクションです。
これらのアクションを使えば、重要イベントを調査する際のコンテキストの収集や、対応と修復をすばやく実行できます。Splunk SOARによる包括的なセキュリティオーケストレーション、自動化、対応ソリューションを取り入れる前に、一部のプロセスだけを自動化するための基盤としても役立ちます。
脅威インテリジェンスとSOAR
Splunk Intelligence Managementでは、組織のエコシステムで利用している内外のセキュリティインテリジェンスソースを一元的に管理し、そのインサイトをSplunk Enterprise SecurityとSplunk SOARに直接取り込むことができます。
Splunk SOARではSplunk Enterprise Securityとシームレスに情報を共有できるため、アラートにコンテキストを追加し、瞬時にアクションを実行することで、インシデントの調査と対応を迅速化できます。
行動分析
Splunk User Behavior Analytics (UBA)とSplunk Enterprise Securityを統合して、インサイトをさらに充実させ、セキュリティを強化し、調査を効率化できます。これにより、アナリストは、忠実度の高いアラートに集中して対応できます。Splunk UBAは、機械学習を使ってユーザーやエンティティの行動をプロファイルし、真の脅威を特定して、Splunk Enterprise Securityとその情報を共有します。
クラウド版のSplunk Enterprise Securityをお使いの場合は、代わりに行動分析サービスを利用することもできます。このサービスでは、セキュリティ態勢を包括的に可視化し、ストリーミング分析を通じて、隠れた脅威や未知の脅威を検出できます。
ES Content Updatesとユースケースライブラリ
Splunk脅威調査チームは、最新の脅威に先手で対応するために役立つセキュリティコンテンツを、検出および対応ルールを含むパッケージの形で提供しています。
これらのコンテンツは、ユースケースライブラリで分析ストーリーとして表示されます。ライブラリでは、コンテンツをユースケースやMITRE ATT&CKなどの業界標準のフレームワークに基づいてフィルタリングできます。
アセット調査とセキュリティドメイン
[Asset Investigator]ダッシュボードでは、スイムレーンでイベントを経時的に確認できるため、脅威ハンティングやインシデントフォレンジックが容易になります。各スイムレーンでは、アクティビティの発生頻度が色の濃淡によって表されるため、ホストやユーザーのアクションのパターンを一目で把握できます。
すぐに使える[Security Domains]ダッシュボードでは、ログイン試行、侵害を受けたエンドポイント、ネットワークへの侵入など、個々のアクティビティを重点的に追跡できます。また、対象をすばやく切り替えて相関付けることで、修復時間を短縮できます。
Risk Analysisダッシュボード
[Risk Analysis]ダッシュボードでは、資産を追跡し、リスクごとに分類できます。たとえば、アクティビティが急増した資産は、機密情報を保持しているだけの資産よりも優先度が高いと判断されます。これにより、アラートのノイズを削減できます。
