Upload File

automation to make security operations effective ......security...

  • Home
  • Documents
  • Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges
18
Automation to Make Security Operations Effective セキュリティ運用効率化のための自動化促進 July 11, 2018 Terry Stuart Technical Director – Security Operations

Upload: others

Post on 09-Jul-2020

5 views

Category:

Documents


0 download

Report

TRANSCRIPT

Page 1: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

Automation to Make Security Operations Effective

セキュリティ運用効率化のための自動化促進

July 11, 2018

Terry StuartTechnical Director – Security Operations

Page 2: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

2 - Automation to Make Security Operations Effective

Security Operations/セキュリティ運用とはWhat is It?

“Security Operations is the interactions related to the people, processes and technologies that provide situational awareness through the detection, containment, and remediation of IT threats for a given organization.”

Unknown author

セキュリティ運用は、組織に対する脅威を対象に検知、封じ込め、復旧を含む状況認識を人、プロセス、テクノロジーによって実現。

Page 3: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

3 - Automation to Make Security Operations Effective

The Object of the Exercise/目的はSecurity Operations at 30,000 Feet…. Simple Right?

Collect and parse relevant security data

情報を集めて分析

Discover evidence of missed attacks and determine what to pursue

証拠をつかみ行動の決定

Investigate to disposition and coordinate response

解決のための調査と対応の調整

Organizations do this…

Time to Identify検知

Time to Investigate調査

Time to Contain終息

Mean Time to Respond (MTTR)対応までの平均時間

Mean Time to Detect (MTTD)検知に要する平均時間

Industry Average: 3-15 Months Dwell Time平均3から15か月も要する

…with the goal of reducing this…

Page 4: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

4 - Automation to Make Security Operations Effective

The Object of the Exercise/目的はSecurity Operations at 30,000 Feet…. Simple Right?

…to avoid thisこれらを避ける必要があります

Page 5: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

5 - Automation to Make Security Operations Effective

More Data

1TBSecurity data added per

month by 77% of organizations.

Is it even the RIGHT data?

77%の組織で追加されるセキュリティデータ

それらは適切なデータ？

More Complexity

72%Believe cybersecurity

operations more difficult today than 2 years ago.

Manual Investigations Inefficient.

2年前より運用は難しい非効率な手作業の調査

Poor Efficacy

100K100K alerts/week!

Too Noisy.

Missing Attacks.

週100Kのアラート攻撃の見逃し

The Problem/課題Why is Reducing Mean Time To Respond So Difficult?

Page 6: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

6 - Automation to Make Security Operations Effective

The Reality/現実Most Organizations Are Spending Too Much and Getting Too Little

セキュリティコストの増加率

Percentage increase in cost of

cybersecurity in a year

22.7%

セキュリティ年間平均コスト

Average annualized cost of cybersecurity

(USD)

$11.7M

年間平均侵害数Average number

of security breaches each year

130侵害の年平均増加率

Percentage increase in average

annual number of security breaches

27.4%

2017 Cost of Cyber Crime Study.

Page 7: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

• SIEM plays the central role of a SOC but customers struggle to operationalize it

SIEMは運用の中心的役割だが、運用に苦労しているSome/many are moving to analytic based platforms

• EDR Tools are causing alert fatigue – The New NoiseEDRが更に多くのアラート ー 新たなノイズChallenges in deciphering the data

• Misunderstanding of Threat Intelligence and its purpose脅威インテリジェンスと利用目的に関する誤解Lack of context of data presented – Little to no automation – Where to go find it

• Long response times in incident handlingインシデント対応における対応時間の長期化Too much data – Too much Noise

• Skilled Analysts shortage/技術力の高いアナリスト不足

Security Operations/セキュリティ運用Observations by McAfee Enterprise Architect

Page 8: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

Security Operations/セキュリティ運用あれこれSOC Persona – I’m Looking to Build a SOC（SOCを構築したい）

People：人

• Challenged with staffing人材不足

• Current staff is not properly trained正しいトレーニング不足

•Haven‘t mastered their current toolsetツールを正しく習得していない

Technology：テクノロジー

• Owns basic security tools (e.gAV, Firewall, Email GW)基本的な製品

• Was pitched on shiny new tool, doesn’t use it correctly安易な新技術利用で正しく使われない

• Needs direction on the right technology acquisitions正しい技術活用のための方向付けが必要

Process：プロセス

• Lacks direction on SOC build outSOC構築の方向音痴

• Leans on Products/Vendors製品/ベンダーを通じた学習

• If processes exist they tend to be Ad-Hoc場当たり的な傾向のプロセス

ChallengesLimited Staff（人材不足）Does not know where to start（どこから始めるべきか）Limited experience tools & technologies（ツールやテクノロジーの限られた知識）

Page 9: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

Security Operations/セキュリティ運用あれこれSOC Persona – The Reactionary SOC（反動的にSOC）

ChallengesHas too many tools（多すぎるツール）Alert Fatigue（多すぎるアラート）People/Process is inconsistent（一貫性のない人とプロセス）

People：人

• Challenged with staffing人材不足

• Skills gap between Tiers役割によりスキルのギャップ

•Haven‘t mastered their current toolset現状のツールを正しく習得していない

Technology：テクノロジー

• Tool sprawl無秩序なツール

• Automation/Orchestration is ongoing Process自動化/連動連携は継続的なプロセス

• Has Alert Fatigueアラートにうんざり

Process：プロセス

•Maturing SOC is ongoing成熟しているSOCは継続指向

• Attempting to streamline their processes/toolsプロセスやツールの合理化指向

• Incident Handling can be troublesomeインシデントハンドリングは厄介

Page 10: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

Security Operations/セキュリティ運用あれこれSOC Persona – The Proactive SOC（プロアクティブなSOC)

ChallengesAutomated toolset but wants to mature threat hunting（自動化しつつ脅威ハンティング）Still suffers Alert Fatigue（でもアラートにうんざり）Wants to “productize” Level 1 SOC（Level 1 SOCの生産性向上）

People：人

• Looking to replace Level 1 with toolsレベル１の担当作業をツールで置き換え

• Focus on proactive threat huntingプロアクティブに脅威ハンティング

• Experts in Open Sourceオープンソースを使いこなす技術

Technology：テクノロジー

• Has right balance of toolsバランスよくツール活用

• Automation/Orchestration is matured自動化/連動連携を向上させる

• Alert handling is streamlined合理的なアラート対応

Process：プロセス

•Maturing SOC is ongoing成熟しているSOCは継続指向

•Maps SOC ops to Business Drivers (helps with funding)ビジネス思考をSOCに適用

• Proactive in looking for new threatsプロアクティブに新しい脅威に取り組む

• Streamlined Threat Intelligence脅威インテリジェンスを合理的に活用

Page 11: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

11 - Automation to Make Security Operations Effective

The Technology/テクノロジーNot just the SIEM anymore - Complementary innovation - New capabilities

SIEM

User & Entity Behavioral Analytics

（UEBA）Network Analytics

ネットワーク

分析

Deception

囮

Threat Intelligence Platform

脅威インテリジェンス基盤

Endpoint Detection & Response

（EDR)

Automation & Orchestration

自動化と

連携連動

Big Data & Open Source

ビッグデータ

オープンソース

...

Present and Future：これからSIEM Historically：これまで

SecurityMonitoring

監視

IncidentInvestigationインシデント調査

StreamingAnalytics

継続的な分析

Parsing

分類Normalization

正規化Data

Ingestion

データの取り込み

IncidentResponse

インシデント対応

DataManagement

データ管理

HistoricalAnalytics

過去データ分析 Log Managemen

ログ管理Compliance

コンプライアンスForensics

フォレンジック

Page 12: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

The Vision/ビジョンModular, Open, Integrated, Content-driven Sec Ops Architecture – 3 Pilarsモジュール化、オープン、統合、コンテキスト指向のアーキテクチャー3つの柱

Data Platform & Optimized Sourcesデータ基盤と情報源の最適化Sense and memory

Advanced Analytics 高度な分析Single from Noise

Analyst Operations 運用におけるアナリスト支援Insights & Actions

Page 13: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

13 - Automation to Make Security Operations Effective

Data Platform/データ基盤ESM 11 - No Compromises - High Performance - Lower Cost

EventData

イベントデータ

ESMClusters

Horizontal Scalability.

Higher Performance.

柔軟なスケーラビリティと高いパフォーマンス

EDB Parsed Data

AdvancedCorrelation

Rule basedReal-time. Fast.

Efficient.

リアルタイムで

効率的なルールベースの分析

EDB Parsed Data

Analytics

Machine Learning. Easy.

Effective.

機械学習で手間をかけずに効果的な分析

Raw Data

Partners

パートナー&

Customers

ユーザK a f k a D a t a b u s

Retention

Compressed. Signed. Long

term retention for compliance.

コンプライアンスのために高圧縮し長期保存

Raw Data

Raw Search

Uncompressed. Optimized for

search and hunting.

データ検索用やハンティングに最適化し非圧縮

Raw Data

Page 14: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

14 - Automation to Make Security Operations Effective

Advanced Analytics/高度な分析MBA - Rapidly Turn Data into Insights

Real-time analytics turns billions of events in hundreds of Anomalies, into a handful of threat leads

膨大なイベントから脅威示す逸脱を素早く分析

▪ Empower the team with high quality leads and fewer false positives

誤検知を減らし、より正確な情報による効率的な対応

▪ Continuous critical event and state change endpoint monitoring

継続的にエンドポイントの重大な状況変化を把握

▪ Unsupervised machine learning automatically creates a baseline of normal behavior without human intervention and detects near-invisible insider threats

教師無し機械学習が通常の行動ベースラインを自動的に作成し、検出しにくい内部脅威でも検知

▪ Broad data coverage covers the entire attack lifecycle and exposes threats other analytics offers cannot see

多様なデータを対象にして攻撃の始まりから完了にわたり、他の分析では可視化できない脅威を可視化

▪ Risk scoring allows for pro-active security response

リスクスコアリングにより、プロアクティブな対応が可能に

Page 15: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

15 - Automation to Make Security Operations Effective

Analyst Operations/運用におけるアナリスト支援Investigator – Quick - Guided Investigations

Validate threats using Expertly guide investigations and scale resources

エキスパートの知見をガイド化し脅威調査を支援し、より多くの問題に対応

▪ Mimic human thought process with machine speedマシンスピードを備えた人の思考プロセスを提供

▪ Expedite workflow: Collect, summarize and visualize relevant data迅速なワークフロー：関連データを収集、要約、可視化

▪ Confidently identify malicious files based on behavior or intended behavior振る舞いと意図的な振る舞いを基に自信を持って不審ファイルを判定

Page 16: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

16 - Automation to Make Security Operations Effective

Lets see it in actionデモをご覧ください

Page 17: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

17 - Automation to Make Security Operations Effective

The McAfee Difference/マカフィーの特長Improved security outcomes through human-machine teaming

Low Cost & Scalable Data Collectionデータ収集に低価格かつ柔軟なスケーラビリティを提供

Reliable & Adaptive Detection信頼性が高く適応力の高い検知

AI / Expert-led InvestigationsAI/エキスパート支援による調査

Modular scale-out data platform makes costs predictable

モジュール型でスケーラビリティに富み予算計画しやすいデータ基盤

Open source Kafka message bus removes data sharing tax

Kafkaデータバスにより効率の良い内部データ共有

Unsupervised machine learning - built-in models dramatically reduce human effort

教師無し機械学習：組み込み済み学習モデルが運用負担を大幅に軽減

Analytics apply across the attack lifecycle

攻撃のライフサイクルに広く対応できる分析

Automation provide 10x reduction in time to investigate

自動化により調査効率を10倍に

Investigation guides help junior staff develop faster

調査ガイドにより経験の浅いスタッフを素早く育成

Stop threats from 1 endpoint to 1000s

1台から数千のエンドポインの脅威を阻止

Page 18: Automation to Make Security Operations Effective ......Security Operations/セキュリティ運用あれこれ SOC Persona –The Proactive SOC（プロアクティブなSOC) Challenges

McAfee, McAfeeのロゴ、マカフィーは米国及びその他の国におけるMcAfee LLCの商標または登録商標です。 その他の商標または登録商標はそれぞれその所有者に帰属します。

Copyright © 2018 McAfee LLC.


Hpu 2011 lec2 soc mediatica soc digital

Soc nal, soc mund jon becerra y fabi

Trump Voters and Criminal Justice Reform Table 1-1 ......CLIN- TON/ SOME- SOC SOC SOC SOC SOC SOC SOC SOC SOC SUB TOTAL TRUMP TON OTHER TRUMP OTHER YES WHAT CONS MOD LIB CONS MOD LIB

The Bulletin fthe Ins 路st tωれ eωof Soc SciencesISSN0387-835X The Bulletin 0ぱft出heIns路st伽 tωれ eωof Soc凶 Sciences Meiji University， Vol. 18， No. 3， 1995. The

Report ID: HWSSR202 Hobart and William Smith Page No. 1 of ... · SOC - 224-Social Deviance SOC - 244-Religion in Amer Soc SOC - 251-Soc of the City SOC - 258-Social Problems

Effectively using SOC 1, SOC 2, and SOC 3 reports ... - KPMG · Effectively using SOC 1, SOC 2, and SOC 3 reports for increased assurance over outsourced operations kpmg.com

System On Chip - SoC 전북대학교 전자정보공학부 이종열. Outline Introduction What is SoC ? SoC characteristics Benefits and drawbacks Solution Major SoC Applications

プロアクティブ管理 - Hewlett PackardPCを管理する際に“よくある課題”を 「HP TechPulse プロアクティブ管理」が まとめて解決します 「HP

Układy reprogramowalne i SoC” „Specjalizowane moduły FPGAneo.dmcs.p.lodz.pl/soc-pod/soc-wyk9.pdf · 2009. 5. 28. · Układy reprogramowalne i SoC 7 Projekt współfinansowany

Building flexible SoCs - From silicon cores platform, SoC ... · SOC + FPGA vs SOC with eFPGA FPGA MEM CPU LOGIC SoC Latency 6 6 MEM CPU eFPGA LOGIC SoC •Latency •Power ... -

Bull. biogeogr. Soc. Japan 71. 奄美群島から得られ …...−253 − 奄美群島から得られたテンジクダイ科の稀種ムナホシイシモチ Ostorhinchus cheni

santantimo.etrasparenza.it · 19) soc. 20) soc. 21) soc. 22) soc. 23) soc. 24) soc. 25) soc. 26) soc. 27) soc. 28) soc. 29) soc. 30) soc. GI.TA.SI. SRL; STP SRL, DE CHIARA COSTRUZIONI

Концепция создания SOC Нового Поколения (NG SOC)‘альный/31.05.2019...Концепция создания soc Нового Поколения(ng

Heterogeneous Multi Core SOC (HMC SOC) Architectures

3ºAno - Soc disciplinar & soc controle

SOC Testing - University of Cincinnatiwjone/soc.pdf · SOC testing.26 SOC Testable Design Flow ... Verification SOC Testable Design Rules. SOC testing.27 Conclusions! SOC testing

Soc Verif Udemy Lect 2 Soc Design Flow

SOC 222:Crime, Media, and Public Opinion SOC 251 : Sociology of Human Rights SOC 252:Environmental Sociology SOC 253 :Sociology of Global Migration SOC 275:Political Imprisonment

Padrões de Vestimenta - Soc Soc

Les audits des contrôles de sociétés de services SOC I – SOC II – SOC III

 · 0016/soc/soc/11-12 krushna chandra sahoo 16 0005/soc/soc/11-12 lipsa nanda 17 0007/soc/soc/11-12 truptimayee behera 18 0045/soc ... 0064/soc/soc/11-12 dayanidhi deep 27 sc 0009/soc/soc/11-12

SOC Processors Used in SOC

Business white paper 5G/SOC: SOC Generations

SOC Peripheral Components & SOC Tools

manual Ver 1.1 - FFRI...1 お使いになる前に ｜7｜ インストールガイド FFRI プロアクティブ セキュリティ 各エンジンの特性に関して FFRI プロアクティブ

プロアクティブ・コーピングとハーディネスの関連 - Yamaguchi Upetit.lib.yamaguchi-u.ac.jp/.../B040034000010.pdf · これまでとは異なった考え方としてProactive

Qui soc i com soc iker

Sementes Soc Soc

ParentChild SoC PlanRuleSubPlan/sRule SoC Name (Project Level Custom Field) Project Level custom field MUST contain SoC Name Task SoC

HP TechPulseプロアクティブ 管理 レポート ガイド...7 HP TechPulseプロアクティブ管理レポート ガイド セキュリティ D レポート セキュリティ

SoC - altera's user-customizable arm-based soc

HP TechPulseプロアクティブ管理 サービス定義...3 HP TechPulseプロアクティブ管理：サービス定義 D 1. サービスの概要 HP Device as a Service（DaaS）が提供する近代的なサービス

インテル® SoC FPGA エンベデッド開発スイート（SoC …...SoC EDS v20.1 以降では、Arm®DS はSoC EDS に自動的にインストールされません。ユーザーはArm®DS

SOC 2/SOC 3 Whitepaper

Agenda Dominical Soc Soc