内部脅威は、従来の攻撃とは様相が異なります。これらは、損害を与えるために必要なシステムやデータへのアクセス権を持つ従業員、契約業者、および特権ユーザーです。
NetWitnessは、ネットワーク、ログ、エンドポイント、および行動に関する証拠を1つのプラットフォームに統合することで、セキュリティチームが異常なユーザー行動、不審なアクセス、特権の悪用、横方向の移動、およびデータの持ち出しを特定できるよう支援します。
課題
問題は、さまざまなセキュリティツールにデータが分散していることです。これにより、内部脅威の監視が遅くなり、調査に多大な労力を要することになります。また、主に静的ルール、アクセス制御、あるいは孤立した内部脅威検知ツールに基づいて構築された内部脅威検知プログラムの有効性も制限されてしまいます。
内部脅威をどのように防止すべきか悩むセキュリティ責任者にとって、防止策はアクセス制御のみに依存してはなりません。組織には、信頼されたアクセスが予想される活動から逸脱し始めた時点を特定できる、継続的な行動の可視化が必要です。
2026年の内部関係者によるセキュリティインシデントの年間平均コスト
2026年の情報漏洩事案のうち、内部関係者によるものが占める割合
内部関係者によるセキュリティインシデントを封じ込めるまでの平均所要時間
解決策
効果的な内部者リスク管理を行うためには、SOCチームは攻撃者がそのライフサイクル全体を通じてどのような行動をとったかを把握する必要があります。NetWitnessは、行動分析と、ネットワーク、ログ、エンドポイントに関する詳細な可視性を組み合わせることで、SOCチームに可視性とコンテキストを提供します。
NetWitness UEBAおよびDetect AIは、ユーザーやエンティティの行動を分析して正常なパターンを確立し、行動に逸脱が見られた場合にアラートを発信します。教師なし機械学習とピアグループ分析により、アナリストは、静的なシグネチャや閾値ベースのルールでは見逃されがちな高リスクな活動を特定することができます。
NetWitness SIEMは、オンプレミス環境、パブリッククラウドインフラストラクチャ、SaaSアプリケーションにわたるログ監視を一元化します。一方、NetWitness Endpointは、エンドポイントの継続的な可視化とプロセスレベルのコンテキスト情報を提供します。これらのシグナルをネットワークテレメトリや行動分析と組み合わせることで、アナリストは不審なユーザーアクティビティの全体像を把握することができます。
多くの内部不正調査において、このネットワークは、認証ログでは得られない証拠を提供します。NetWitness Networkは、内部のイースト・ウエスト・トラフィックを監視し、セッションごとに詳細なメタデータを生成します。また、必要に応じて完全なパケットキャプチャも利用可能です。
そのネットワーク分析機能により、チームは不審なデータ移動を特定することができます。さらに、より詳細なフォレンジック調査のために、セッションの再構築機能も提供しています。
NetWitnessは、検索可能なメタデータ、パケットおよびセッションの再構築、エンドポイントのコンテキスト、履歴テレメトリ、行動分析、およびクロスドメインの相関分析を通じて、証拠に基づいた調査を支援します。アナリストは、最初のアラートだけで調査を終わらせるのではなく、関連するアクティビティを横断的に分析することで、インシデントのタイムラインと範囲を特定することができます。
さらに、NetWitness Orchestratorは、内部脅威やデータ流出などのユースケースを含め、一貫性のある調査および対応ワークフローを支援し、SOCチームが検知から協調的な対応へと移行できるようサポートします。
行動の逸脱を検知する。証拠を照合する。全容を究明する。
このアプローチにより、セキュリティチームは、個別のアラートではなく、行動や証拠に基づいた内部脅威検知ソフトウェア戦略を構築できるようになります。
ネットワークトラフィック、認証およびID関連のイベント、エンタープライズログ、エンドポイントのアクティビティ、クラウドデータ、およびその他の関連するセキュリティテレメトリを統合します。
行動分析と機械学習を活用して、予想されるアクティビティを把握し、通常のユーザー、デバイス、および同輩グループのパターンからの有意な逸脱を特定します。
異常なアクセスや不審なダウンロードなど、不審な活動を特定します。
ユーザーのアクティビティを、ネットワークセッション、エンドポイントプロセス、認証イベント、ログ、およびクラウド上のアクティビティと関連付け、一見正当に見えるアクションが不審な一連の行動を形成しているかどうかを判断します。
関連する証拠を横断的に分析し、ネットワークセッションを再構築し、過去のアクティビティを調査し、データの移動経路を追跡し、インシデントの範囲と根本原因を特定します。
統合された調査およびオーケストレーション・ワークフローを活用して、インシデントをエスカレーションし、対応措置を調整し、調査結果を文書化し、被害の封じ込めを支援します。
NetWitnessの特長
直感的なフォレンジックツールを活用して、調査にかかる平均時間を短縮します。
エンドポイントやログベースの検知をすり抜ける脅威を洗い出します。
規制や監査に向けたフォレンジック対応体制を支援する。
待機時間を短縮し、積極的な検知活動を通じてデータ損失を未然に防ぎます。
専門家の見解と戦略
