セキュリティチームは膨大な数のアラートに直面しています。
Orca Securityの調査によると、59%の組織が1日あたり500件以上のクラウドセキュリティアラートを収集しており、それがさまざまな問題を引き起こしています。
たとえば、同じ調査では、重大アラートの50%以上（55%）が日常的（毎日のような頻度）に対処されていないことが判明しており、60%の回答者が「アラート疲れ」を社内の摩擦の原因として挙げています。
では、セキュリティチームに過度な負担をかけることなく、これほど大量のアラートをどのように組織として適切に管理できるのでしょうか。その答えが、SOARソリューションとしてエンタープライズ自動化プラットフォームを活用することです。
エンタープライズ自動化がSOARの文脈でどのように活用できるかを、具体的な事例を通じて解説します。しかしその前に、この頭字語の定義を確認しておきましょう。
SOARとは何か？
SOARとは、Security Orchestration, Automation, and Responseの略で、さまざまなソース（SIEMツールなど）からセキュリティデータを収集し、発見したインシデントに応じて、その対応に特化したワークフロー自動化をトリガーするソリューションの一種です。
ここでの違いは使用するツールの種類にあります。たとえば、多くのツールはインシデント管理プロセスの手間のかかる部分を効率化する程度の、比較的基本的なワークフロー自動化機能しか提供していません。
これからお伝えするとおり、エンタープライズ自動化はこの傾向を打ち破ります。セキュリティチームが包括的でインテリジェントな自動化を迅速に構築できる力を提供するからです。
関連記事：インシデント管理の自動化ガイド
SOARソリューションとしてエンタープライズ自動化を活用する事例
SOARソリューションは通常、以下のいずれかのステージへの対処を目的としています。
- インジェスションでは、サードパーティのシステムがインシデントを検出し、SOARパイプラインに取り込みます。
- エンリッチメントでは、インシデントが発生した日時や場所などの追加インサイトが加えられます。
- トリアージでは、セキュリティアナリストがインシデントを分類し、優先順位を決め、それぞれに対する適切な対処方法を特定します。
- レスポンスでは、問題を解決し・再発を防ぐための対応が実行されます。
上記の各ステップはSOARツールで自動化できますが、エンタープライズ自動化プラットフォームを使用することで、プロセス全体をシームレスに自動化することができます。
この考え方を具体的にするために、従業員が業務用デバイスで潜在的に悪意のあるウェブサイトを閲覧したことによってアラートが生成される事例を見てみましょう。
1 Splunkのようなアプリケーションが、これまで一度も社員がアクセスしたことのないドメインを閲覧している従業員を検出します。アプリケーションはその活動に対してアラートを作成します。
2 Virustotalのようなアプリケーションが、対象ドメインのレピュテーションをチェックして悪意のあるウェブサイトかどうかを判断します。
3 ドメインが悪意のあるものと判定された場合、セキュリティアナリストがSlackのようなアプリのメッセージを通じてアラートの通知を受け取ります。
4 メッセージ内で、セキュリティアナリストはアラートに関する主要な詳細を確認し、ボタンひとつでアクションを取ることができます。この場合、SentinelOneのようなツールを使ってそのマシンを切断します。
SOARにエンタープライズ自動化を使うメリット
エンタープライズ自動化をSOARプラットフォームとして使用すべき理由をご紹介します。
1. インシデントにより迅速に対応できる
アラートを自動的に作成し、ほぼリアルタイムで適切な担当者にルーティングし、その担当者が簡単にアクションを取れるようにすることで、組織は問題が深刻な被害をもたらす前に解決できる可能性が高まります。
さらに、セキュリティチームがすでに作業しているプラットフォーム（ビジネスコミュニケーションプラットフォーム）に問題を共有することで、問題をタイムリーに発見できる可能性も高まります。
2. 従業員体験を向上させる
先ほどの事例が示すとおり、セキュリティチームはインシデント管理を行う際にさまざまなツールを頼りにしています。
エンタープライズ自動化がない場合、特定のアクションを実行するためにツール間を行き来しなければならず、それは煩雑であるだけでなく、有害な人的ミス（例：誤った担当者にアラートを通知してしまう）を招く可能性があります。
さらに、チームの一部のメンバーは特定のセキュリティツールに依存している（またはそれしかアクセスできない）場合があり、各ツールは組織のセキュリティ活動についての限られたビューしか提供しないため、従業員は発生している事象の不完全な全体像しか持てません。
エンタープライズ自動化プラットフォームは、システム全体のデータを自動的に同期させ、従業員がすでに作業しているビジネスコミュニケーションプラットフォームで関与できるようにすることで、上述した各問題をすっきりと解決します。
関連記事：サービスデスク自動化の5つのメリット
例外的な事態や新たな課題は常に発生するものであり、チームの時間とリソースを必要とします。
3. より複雑でユニークな問題に集中できる
残念ながら、すべてのセキュリティ問題を自動化で解決できるわけではありません。チームの時間と注意を必要とする例外や新種の問題は常に存在します。
しかし、エンタープライズ自動化を使って残りのセキュリティプロセスを効率化できれば、チームはそのような問題に取り組む余力を確保できるはずです。
4. インテリジェントな機能を活用できる
エンタープライズ自動化プラットフォームはAIと機械学習の最新技術を活用して、以下の機能（およびそれ以上）を実現します。
- どのようなインシデントが発生しても、プラットフォームはそれに応じてエンリッチメントできます。
- 重複するインシデントや同一の根本原因に由来するインシデントを特定して即座に除去し、後々の混乱や追加作業を防ぎます。
- 既存の対応アクションや対応プレイブックをもとに、プラットフォームはAI技術を使って特定のインシデントに対する具体的な対処方針を推奨できます。
5. 素早く価値を実感できる
強力で包括的な機能を備えながらも、エンタープライズ自動化プラットフォームはローコード・ノーコードのUXを提供しています。これにより、セキュリティ部門をはじめ各職能の技術的なスキルが高くない従業員でも、短期間でプラットフォームに慣れることができます。
さらに、Splunk・ServiceNow・Okta・DataDog・PagerDutyなど多くのアプリケーションとのプリビルドコネクタや、セキュリティ固有のワークフロー向けにカスタマイズ可能な自動化テンプレートも提供できます。これらのプリビルドアセットを組み合わせることで、チームが自動化を素早く考案・実装できるよう支援します。
WorkatoをSOARソリューションとして活用する
エンタープライズ自動化のリーダーであるWorkatoは、上記で紹介したすべての機能に加えて、SOAR Acceleratorを提供しています。SOARelAcceleratorとは、インシデントワークフローをエンドツーエンドで効率化できるプリビルドかつカスタマイズ可能な自動化ソリューションです。
このアクセラレーターにはコネクタ・自動化テンプレート・使い方ガイドなどが含まれており、セキュリティチームがインシデント対応のための強力でインテリジェントな自動化を簡単に構築できます。
さらに詳しく知りたい方へ
SOARアクセラレーターが組織のセキュリティ体制をどのように強化できるかをご覧ください。自動化の専門家とのデモをご予約いただけます。