強力なセキュリティ運用、強力なセグメンテーション

組織が効果的な SecOps 武器の一部として展開できるすべての強力なツールを考えると、良いことが多すぎるのではないかと疑問に思います。   

これらの多くのツールの セキュリティ運用 と、それらが生成するアラートを改善するために、決まり文句にあるように、「単一画面」を通じてセキュリティを一元管理するために、多くの人がSIEMに依存しています。 

チームは、いくつかの主な理由から、セキュリティ体制全体からの分析情報を得るために SIEM に依存しています。まず、組織が直面する可能性のある深刻な脅威を迅速に特定します。第二に、攻撃に関する関連するコンテキストと詳細を取得するための調査時間を短縮できます。そして3つ目は、より自動化されたアクションとワークフローにより、チームがより迅速に対応できることです。   

この場合、ベンダーはSIEMとのクリーンな統合を提供して、セキュリティチームの作業を楽にする必要があります。  

このため、イルミオはSplunkと緊密に統合されています。共同の顧客は、セキュリティ体制をよりよく理解し、数回クリックするだけで攻撃に対応できます。Illumioの統合では、直感的で慎重に作成されたビジュアライゼーションを使用しているため、チームは何が起こっているかを一目で確認して理解し、クリックするだけで対応できます。SplunkとIllumioを使用すると、データセンターでどのマシンが侵害されている可能性があるか、またはセグメンテーションポリシーに欠陥があるかどうかをチームに知らせることができます。 

しかし、これらの重要な質問に答えることができることは、Splunk統合のメリットの始まりにすぎません。 

• 貴重なチームリソースをどこに配置するかを知る:イベントアラートは、発生しているセキュリティイベントを明確に強調表示するため、チームはどの資産が影響を受ける可能性があるか、そしてどこにすぐに対応すべきかを知ることができます。 
• セグメンテーションが安全かどうかを知る: 経験豊富な攻撃者は、ファイアウォールやセグメンテーション設定を改ざんしてデータにアクセスしようとする可能性があります。このため、iptables または Microsoft WFP (Windows Filtering Platform) でのファイアウォールの改ざんの試みを強調表示することで、セグメンテーションがどれほど安全であるかを示します。これにより、サーバーが不正な権限を取得しようとしているか、セキュリティポリシーをバイパスしようとしているかどうかがすぐに表示されます。  
• 進行中の攻撃の試みを参照してください。 攻撃では、多くの場合、横方向の移動の前にポート スキャンが行われます。それらは本質的に悪いものではありませんが、港湾スキャンは、多くの場合、誰かが内部で移動できる場所を確認するために偵察を行っていることを示しています。当社の統合により、ポートスキャンが強調表示され、差し迫った攻撃を示す不審なアクティビティがあることを即座に知ることができます。 
• 不審な動作をしているマシンを確認します。 ホストごとにブロックされた上位のトラフィックを明確に視覚化し、ホストが攻撃されているかどうかをすばやく知ることができます。さらに、この視覚化により、ホスト セグメンテーション ポリシーが間違っていて、予期しないトラフィックがブロックされているかどうかもわかります。 
• ビジネスとセコップの間に針を完璧に通します。 ポリシーを適用する前に、ブロック された可能性のあるトラフィックを一目で把握できます。つまり、保護しようとしているビジネスアプリケーションを壊さないように、本番稼働前にセグメンテーションポリシーを簡単に確認できます。   
• 迅速な調査: 異常な動作を示すワークロードを調査する場合は、問題が何であるかをすぐに発見する必要があります。すべてのワークロードの詳細、トラフィックイベント、監査イベントが1つのビューにまとめられるため、調査の手間が減ります。 
• ワンクリックで攻撃を停止: Splunkの統合により、Splunkのセキュリティが鮮明に可視化されますが、同様に重要なことは、チームがアクションを起こすことも可能になることです。Splunkから直接、疑わしいワークロードをワンクリックで隔離できます。   
• 数回クリックするだけでアラートを作成します。 アラートを作成するには、チームはsyslogメッセージをマスターし、その内容とコンテキストを深く理解してから、正規表現を作成する必要があります。ユーザーが最も重要なIllumio PCE生成メッセージの新しいアラート構成を作成できるグラフィカルインターフェイスにより、ユーザーはSplunkからのアラートをすばやく活用して、Illumioの展開の管理に役立てることができます。  

Splunk統合の機能については、別のブログ記事で詳しく説明しますので、しばらくお待ちください。 

最新バージョンの使用を開始するには、Splunkbaseにアクセスしてダウンロードしてください。https://splunkbase.splunk.com/app/3658/.