【Interop tokyo 2014】　ビッグデータを活用し、被害を予見! シスコの新たなセキュリティ運用モデル

ビッグデータを活用し、被害を予見!
シスコの新たなセキュリティ
運用モデル
石川恒
シスコシステムズ合同会社
シスコセキュリティソリューションズマネージャ

Cisco Public 2© 2013-2014 Cisco and/or its affiliates. All rights reserved.
セキュリティにおけるチャレンジ
ビジネスモデルの変革日々変わる脅威の様相複雑さと断片化

侵入を防ぐ対策（BEFORE）だけでは不十分
一連の攻撃
BEFORE
発見
適用
堅牢化
AFTER
範囲特定
封じ込め
修復
検出
ブロック
防御
DURING
Cisco Security Products
Cisco Security Services
Cisco Security Intelligence

• マルウェアは本当に侵入していない？
• 通常の通信と怪しい通信はどう見分ける？
• 不正サイトへのアクセスはないのか？
• どう監視し、運用していく？
• セキュリティスキルと要員の教育は？
• インシデントに対する対応は？
オペレーションフレームワーク

• マルウェアは本当に侵入していない？
• 通常の通信と怪しい通信はどう見分ける？
• 不正サイトへのアクセスはないのか？
• どう監視し、運用していく？
• セキュリティスキルと要員の教育は？
• インシデントに対する対応は？
オペレーションフレームワーク
Assess
RespondPredict

サイバーセキュリティの視点
……………古き良き時代とはもう違います
国家による、あるいは国家が支
援する攻撃が普通になり、
マルウェアが再利用されている
サイバー攻撃にかかる
コストは上昇し続ける
読解不能にする技術が進み、
正体の特定はさらに困難に
MacOS、Linux、Android を
ターゲットとするマルウェアが
さらに増加

…しかし、暗い見通しばかりではありません
国家による、あるいは国家が支
援する攻撃が普通になり、
マルウェアが再利用されている
サイバー攻撃にかかる
コストは上昇し続ける
読解不能にする技術が進み、
正体の特定はさらに困難に
MacOS、Linux、Android を
ターゲットとするマルウェアが
さらに増加

SDN は良くも悪くも
セキュリティを劇的
に変える
クラウドベースの
ビッグデータ技術は
防御側に有利なよう
に流れを変えることも
可能
パフォーマンスと
柔軟性 - 今後も
パフォーマンスは
柔軟性より重要視
される

セキュリティ侵害のインパクト
侵害発生
START

HOURS
侵害発生 60% の情報漏洩
は数時間内に発
生
START

MONTHS
HOURS
生
66% のセキュリティ侵害は
数ヶ月間発覚しないまま
START

YEARSMONTHS
HOURS
生
66% のセキュリティ侵害は
数ヶ月間発覚しないまま
過去3年間に7億
5000万以上の個人
情報がブラックマー
ケットに流出
START

現在の脅威を分析すると
パブリックネットワーク
最初の感染は社外で発生
インターネット &
クラウドアプリ
ケーション

キャンパス
高度なサイバー脅威が境界線
の防御を回避
セキュリティ境界線
ケーション

キャンパス
高度なサイバー脅威が境界線
の防御を回避
セキュリティ境界線
企業
データセンター
脅威が拡散し、貴重なデータ
搾取のリスク
ケーション

シスコが１日で目にするものは…

シスコでの事例
130億/日
NetFlow レコード
22TB/日の
トラフィックを検査
40億 /日
DNS レコード
750GB/日の
システムログを収集
20億イベント / 日
Splunkでの収集
600万/ 日のトラフィックを
WSAで処理
すべてのトランザクショ
ンの 1% にあたる
マルウェアをWSAが自
動的にブロック
400以上のアプリケーション
サービスプロバイダー
12重要なエンタープライズ
向け実環境データセンター
NetFlow
DLP
ディストリビューション
ゲートウェイ
ロードバランサー
ネットワーク
IDS
Advanced Malware
Detection
アクセスレイヤ
スイッチ
フルパケットキャプチャDNS コレクション

標的型攻撃(APT) 検知技術の比較
サンドボックス
NG SIEM
グラフ解析
良い点: 自動的で証明済のテクノロジー
悪い点: マルウェアは変化して回避する
良い点: テクノロジーの効果は証明済
悪い点: ログによる分析は限定的
良い点: APTを示唆する異常値を検知
悪い点: モデルを読み込ませるのに時間
がかかる

脅威への防御にビッグデータアプローチを採用する理由
巧妙化する攻撃者 – あからさまなセキュリティ脅威よりも、標的
型攻撃やステルス攻撃が大幅に増加
各種ソースからの変化の激しい多様なデータを詳細にわたり分析
フルパケットキャプチャのリアルタイム分析およびリアルタイム
データと過去データの相関関係
グローバルな脅威インテリジェンスを利用した既知の脅威や異常
に対する防御

データを Hadoop に
取り込むツール
脅威防御のためのビッグデータアーキテクチャ
Flume
Kafka
Sqoop
Qpid
RabbitMQ
ストリーミング処
理
Storm
Akka
ログデータ
NetFlow
HTTP
ユーザデータ
履歴データ
CIF
SIO
その他の外部
テレメトリ
脆弱性データ
フルパケット
キャプチャ
ストリーム
Qosom
クラウド
インテリジェンス
HDFC
インタラクティブな
SQL 検索
Apache Drill
Impala
Hadapt
Stinger
ElasticSearch
グラフ処理
Titan
Neo4J
InfiniteGraph
SIRT
アプリケーション
人
プロセス
ツール

脅威防御における Hadoop ベースのアーキテクチャ
アプローチの利点
ストリーミング、インタラクティブなバッチおよび
グラフ処理
高度なデータ処理機能 – 優れた関係性把握 – 分析
パフォーマンス
Hadoop により、人とコンピュータの関係、行動
パターンに関するデータ、メッセージコンテンツを 1 ヵ所に
集約
拡張性や耐障害性に優れる – ビッグデータにおける
業界標準
脅威に対してツール、データ、インフラ、プロセスおよび人
を新しい発想で組み合わせることが同様に重要

セキュリティインテリジェンスオペレーション
Cisco Security Intelligence Operations（SIO）
500 人以上のセキュリティ専任エンジニア、調査
スタッフ、セキュリティアナリスト
業界トップクラスの分析システムとグローバルな連携
70 万個以上のグローバルセンサー
20 ヵ所のグローバルセキュリティセンター
SIO
グローバル
インテリジェンス

分析と綿密な調査による
グローバル/ローカル間の
関係性把握
脅威データと分析
多種多様な脅威や
脆弱性データソース
セキュリティセンサーベース
コンテキストポリシーを
分散して適用
インテリジェンスの提供ビッグデータ
インフラスト
ラクチャ
リアルタイム更
新
クラウドに
よる提供
1.5 億
エンドポイ
ント
1,400 万
アクセス
ゲートウェイ
導入台数
160 万
セキュリティ
デバイス
導入台数
高度な自己
学習アルゴリズ
ム
人による調査
オープン
ソース
コミュニティ
脅威インテリジェンス：グローバルセンサーグリッド

日々変化していく状況への対策
Cisco® Managed Threat Defense:
 予見的分析と最新のセキュリティインテリ
ジェンスにより既知・未知の脅威を特定
 セキュリティイベントのライフサイクルを運用
化
 脅威管理に特化した運用
 アウトオブバウンド管理にてお客様オンプレ
ミスにすべての収集情報を保管
セキュリティ
イベント
Remediation
復旧
Detection
検出
Mitigation
軽減
Confirmation
確認

Managed Threat Defenseとは
Cisco® 次世代型分析運用プラットフォーム
Analytics Platform
セキュリティインテリジェンス
情報の活用
SIO
GLOBAL
INTELLIGENCE
人工知能による
分析アルゴリズム
COSECOGNTIVESECURITY
24 時間の遠隔監視と
サポート
クラウドによる分析モデル

エキスパートによる知見と機械学習の統合
Managed Security Services
(e.g. MSS) ・In-House SOC
 現在一般的に企業に導入され
ているモデル（境界部中心）
 セキュリティのイベントの監
視・管理を実施（ファイア
ウォール上の許可・禁止のイ
ベント、IPSでのイベント検知、
Sandbox上でのトラップ）
 多くの脅威に効果あり

Managed Threat
Defense
Knowledge-Based
 高付加価値のアセットへの
セキュリティにフォーカス
 見つけ出したい既知の脅威
を見つけるのに効果的
 シスコSIOやサードパーティ
が提供するインテリジェンス
を活用
 Flumeによるログのストリー
ミングを利用し、リアルタイ
ムに近い処理を実施

Managed Threat
Defense
Machine-Learning
Managed Threat
Defense
Knowledge-Based
 見つけ出したい既知の脅威
 シスコSIOやサードパーティ
が提供するインテリジェンス
を活用
 Flumeによるログのストリー
ミングを利用し、リアルタイ
ムに近い処理を実施
 機械学習した不正行動の分
析結果を元に、未知の脅威
 リアルタイム性はトラフィック
量に依存
 MapReduceによるビッグ
データ解析技術を活用

Cisco Managed Threat Defense サービス
実践的なセキュリティアプローチ
アプローチのステップ
ネットワークプロファイルを作成し、プロファイルに基づいた監視を実施
フルパケットキャプチャおよびプロトコルメタデータを収
集分析
機械学習アルゴリズムとグラフ分析手法により不自然
な活動を検出
知見の高いAnalystにより脅威を確認・特定
Investigatorによるアタックベクタの調査を実施
取るべき対応策や軽減策を顧客向けに提供
フルパケットキャ
プチャとパケット
メタデータの収集
Cisco
Advanced
Threat
Detection
データの一元
化と標準化
侵入検知
Emailトラフィッ
クへの高度化
されたマルウェ
ア検出
Webトラ
フィックへの
高度化され
たマルウェ
ア検出
ON-PREMISE
SOLUTION

Managed Threat Defense (MTD)
IntelligentVisibilitySwitch
顧客環境へのオンプレミス
Sourcefire
Full Packet
Capture
Advanced
Analytics
Metadata
Extraction
Manage

顧客専用セグメント
管理者コンソール
ポータル
INTEL
チケッティング
脅威情報ナレッジベース
顧客専用ポータルサイト
アラート・チケットシステム
アナリストポータル
認証サービス
顧客環境へのオンプレミスシスコ
FIREWALL
FIREWALL
Sourcefire
Full Packet
Capture
Advanced
Analytics
Metadata
Extraction
Manage

1
2
3
4
5
6
顧客専用セグメント
管理者コンソール
ポータル
INTEL
チケッティング
Netflow
Syslogs
脅威情報ナレッジベース
顧客専用ポータルサイト
アラート・チケットシステム
アナリストポータル
認証サービス
24/7
ACCESS
顧客
SOC
Passive
Network Tap
Secure Connection
(HTTPS/SSH/IPSec)
VPN
INTERNET
VPNVendor
Agnostic
Telemetry
顧客環境へのオンプレミスシスコ
FIREWALL
FIREWALL
Sourcefire
Full Packet
Capture
Advanced
Analytics
Metadata
Extraction
Manage

MTD 分析エンジンコンポーネント
6
1
2
3
5
4
AccessControl
NetFlow / HTTP1
DirectConnection
PassiveTap/Intelligent
VisibilitySwitch
Kvasir
① Context database
② NetFlow / HTTP anomaly detection
③ Log aggregation / analytics
④ Metadata aggregation / analytics
⑤ Full packet capture
⑥ IDS / AMP (5.3)
⑦ Threat intelligence
Component
Flume
Qosmos
SIRTApplication
Defense
Center
Log Telemetry2
Vulnerability Data
Elasticsearch
REST
HDFS
Flume
FlumeFlume
FlumeFlume
FlumeFlume
FlumeFlume
Kafka
Storm
Kafka
Stinger
JDBC
Flume CIF7
IDS
AMP
CTA
(Cisco Cloud)
AMP
(Cisco Cloud)
MR

インシデントポータルサイト

Heartbleed: Day1
4/10/14 19:20 X.X.X.X United StatesUSA A.A.A.A United StatesUSA
443 (https) / tcp 49826 / tcp SERVER-OTHER TLSv1.1 large heartbeat
response - possible ssl heartbleed attempt (1:30516)
4/10/14 19:22 Y.Y.Y.Y United StatesUSA B.B.B.B SwitzerlandCHE 443
(https) / tcp 43126 / tcp SERVER-OTHER TLSv1.1 large heartbeat
4/10/14 19:28 Z.Z.Z.Z United StatesUSA B.B.B.B SwitzerlandCHE 443
(https) / tcp 43126 / tcp SERVER-OTHER TLSv1.1 large heartbeat

シスコにおけるサイバーセキュリティへのアプローチ
お客様
SIO
セキュリティ
R&D
Cisco-on-
Cisco
(CSIRT)
セキュリティ
サービス
セキュリティ
ソリューション
＆プロダクト

シスコにおけるサイバーセキュリティへのアプローチ
お客様
SIO
セキュリティ
R&D
Cisco-on-
Cisco
(CSIRT)
セキュリティ
サービス
セキュリティ
ソリューション
＆プロダクト
お客様ネットワーク
MTD
シスコ
テクノロジ
Cisco CSIRT
モデル
Security
Intelligence
Operation
(SIO)

【Interop tokyo 2014】　ビッグデータを活用し、被害を予見! シスコの新たなセキュリティ運用モデル

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie 【Interop tokyo 2014】　ビッグデータを活用し、被害を予見! シスコの新たなセキュリティ運用モデル

Ähnlich wie 【Interop tokyo 2014】　ビッグデータを活用し、被害を予見! シスコの新たなセキュリティ運用モデル (20)

Mehr von シスコシステムズ合同会社

Mehr von シスコシステムズ合同会社 (20)