Cloud Detection and Response

Cloud Detection and Response (CDR)は、クラウド環境における進行中の攻撃の検知に特化したクラウドセキュリティの一分野であり、セキュリティチームがこれらの攻撃を調査・対応するために必要な情報とツールを組織に提供します。

CDRの主な目的は、クラウドのリソースやアプリケーションの境界制御を突破したクラウド攻撃者を検知することです。クラウド環境における潜在的な悪意のある活動に関するコンテキスト化されたデータをSOCおよびインシデント対応（IR）チームに継続的に提供することで、CDRはクラウド攻撃への調査と対応を加速させます。

組織のクラウド依存度が高まる中、多くの組織はいまだにクラウド攻撃の検知と対応に従来のオンプレミスツールを使用しており、インサイトが限定的で、攻撃の見落としや高い誤検知率を招いています。CDRは、組織が進行中のクラウド攻撃に対する可視性と認識を獲得し、対応を加速・強化し、インシデントの範囲と深刻度を制限するのに役立ちます。

オンプレミスの検知・対応と同様に、CDRには4つのステージがあります。

1. 検知：クラウドサービスフィード全体の攻撃を継続的または頻繁に監視し、アラート機能を提供します。
2. 調査：攻撃のステップ、手法、タイムラインをレビューし、利用可能なデータを分析して、脅威に対して必要な対応を決定します。
3. 対応：自動修復やチケットシステムへの自動転送など、クラウドの脅威が被害をもたらす前に封じ込めることに特化した機能です。
4. レジリエンス：組織は事後調査を行い、結論を導き出し、利用可能なデータに基づいて潜在的な修正に注力します。脅威の緩和後、根本原因を調査し、パッチ適用、暗号化、より厳格なIAMポリシーなどの対策を講じて、クラウド環境を強化します。

CDRの代替ソリューションには、以下が含まれます。

• Endpoint Detection and Response (EDR): EDRソリューションは、エンドポイントを潜在的な攻撃ベクトルとして扱います。エージェントを使用してエンドポイントのアクティビティを記録し、潜在的な脅威を特定します。また、異常検知や機械学習などのアプローチを利用します。

• Network Detection and Response (NDR): NDRは、組織のネットワークトラフィックを分析して脅威を検出します。NDRは、異常なプロトコルや不正なプロトコル、ポートの使用状況、不自然なタイミングや転送サイズなどに基づいて潜在的な脅威を探索します。
• Threat Detection & Response (TDR): TDRは通常、現在の脅威に最も関連性の高い情報を収集します。エンドポイントTDRツールは、特定された脅威に関するデータを記録するか、イベントやプロセスが脅威を構成するかどうかを分析します。分析型TDRは、既存のデータを活用し、分析を適用して脅威を特定します。
• Extended Detection & Response (XDR): XDRプラットフォームは、エンドポイントエージェントのデータ、ネットワークレベルの情報、デバイスログを取り込むことで脅威を検出します。

しかし、これらのソリューションはCDRのような実際のクラウドテレメトリを提供しません。既存のクラウド環境のリスクに対するコンテキストに基づいた洞察がない、サイロ化したツールです。そのため、特定の動作の危険性を正確に評価できず、誤検知率が高くなる傾向があります。

Orca Securityプラットフォームは、クラウドプロバイダーのログと脅威インテリジェンスフィードを24時間体制で監視します。Orcaはこれらの情報を取り込み、クラウド資産全体に存在するリスクや組織の最重要資産の場所に関するインサイトと統合します。これにより、即座の対応が必要な危険性の高いイベントを迅速に検知できます。

OrcaのCDRソリューションにより、進行中のクラウド攻撃を検知、調査、対応できます：

1. 検知：最も重要な資産を危険にさらすイベントについて、優先順位付けされたアラートを受け取ります。
2. 調査：セキュリティイベントが、悪意のあるものか、重要な資産を脅かすものかなど、迅速なインサイトを得ることができます。
3. 対応：自動修復ステップと連携機能により、進行中のクラウド攻撃を迅速に修復します。