CIS Control 13：ネットワーク監視と防御

今日のサイバーセキュリティは、まるで軍拡競争のように見えます。企業は、ますます頻繁で巧妙化する攻撃からネットワークを防御しようと、次々に多くのセキュリティツールを導入しています。しかし、手持ちのツールの数を単に増やすだけでは、有効なサイバーセキュリティ戦略にはなりません。むしろ組織に必要なのは、デジタル資産を安全に管理するための実証済みの指針を提供するフレームワークです。これにより、ビジネス、顧客、パートナーを実際に保護できるツールやプロセスを導入できます。

Center for Internet Security（CIS）は、まさにそのようなフレームワークを提供しています――CIS Critical Security Controlsです。これらのコントロールを実装することで、インフラ、ソフトウェアアプリケーション、サービス、データを効果的かつ効率的に保護できます。

CIS Controls のフレームワークは、進化する脅威に対応するために定期的に更新されています。とりわけ、2019 年にバージョン 7 がリリースされて以来、パンデミックによるリモートおよびハイブリッド勤務の普及によって、世界は劇的に変化しました。そのため、CIS は 2021 年にバージョン 8 を公開しました。ここには重要な新しいコントロールである Network Monitoring and Defense が含まれ、Boundary Defense を含む 3 つのコントロールが削除されています。この変更内容と、それがあなたのサイバーセキュリティ戦略にとってどのような意味を持つのかを見ていきましょう。

CIS Control 13：Network Monitoring and Defense

かつては、サイバーセキュリティ戦略において強固な境界防御が最優先でした。しかし今日では、従来のネットワーク境界の外側にある多数のサイトとの間で、トラフィックが流れています。したがって、特定の時点でどのデバイスがネットワークに接続されているのかを把握し、機微なデータやその他の高価値なリソースへのアクセス試行を継続的に監視することが不可欠です。目標は、不審なトラフィックのパターンや出来事を迅速に特定して、脅威が data breach につながったり、業務を妨げたりする前に脅威を検知できるようにすることです。

CIS Control のバージョン 8 における Control 13 は、組織を「囲う（fencing）」ことから戦略的に方針を転換し、サプライチェーン接続で用いられる現代的なプロセス（たとえば、それらとの間で確立されたデータ交換）にも適応する「メッシュ状（meshed）」のモニタリングと防御のアプローチへと移行します。

この目標を達成するために、CIS Control 13 では次の 11 の保護策を推奨しています:

1. セキュリティイベントのアラートを一元化する

現代の攻撃手法に直面する中で、手動による脅威モニタリングだけでは不十分です。たとえば、ランサムウェアは機械の速度でデータを暗号化でき、巧妙なサイバー攻撃を見つけるには複数のシステムにまたがるデータを相関付けて分析する必要があります。幸いなことに、自動化と人工知能を活用して、複雑なハイブリッドネットワーク全体のデータを迅速に分析できる高度なツールがあります。CIS Control 13 では、SIEM を使用して、複数システムからのイベントログデータを集約・相関分析し、脅威についてリアルタイムに適切な担当者へアラートを出すことを推奨しています。

2. ホストベースの侵入検知ソリューションを導入する

分析対象となるコンピュータ基盤にローカルにインストールされるソフトウェアアプリケーションです。その役割は、疑わしい挙動、悪意のあるトラフィック、ポリシー違反を検知し、ログを記録してアラートを出すことです。

3. ネットワーク侵入検知ソリューションを導入します。

ネットワーク侵入検知（NID）ソリューションは、入出力のネットワークトラフィックを分析して、異常、疑わしいトラフィックのパターン、潜在的なパケット脅威を特定するセキュリティアプライアンスです。NID は、次世代ファイアウォール（NGFW）アプライアンスのライセンス対象コンポーネントとして提供される場合もあれば、ネットワーク全体に戦略的に配置したセンサーやアプリケーションエージェントを活用する場合もあります。

4. ネットワークセグメント間でトラフィックフィルタリングを実行します

トラフィックフィルタリングは、送信元、宛先、またはトラフィックの種類に基づいて、ネットワークセグメント間の通信の流れを制限します。たとえば、すべての人事（HR）端末を組織の他の部分から分離（セグメント化）し、指定されたユーザーに由来する通信のみが HR 端末に到達できるようにすることができます。エリアのセグメント化には、ルーターまたはファイアウォールを使用できます。ルーターはアクセス制御リスト（ACL）を用いてフィルタリングし、ファイアウォールはポリシーを用いてフィルタリングします。

5. リモート資産のアクセス制御を管理します

リモートアクセスは、本当に必要なユーザーアカウントにのみ付与し、最小権限の原則に従ってください。リモートアクセスのポリシーは、必要な業界または政府の規制にも合わせる必要があります。

6. ネットワークトラフィックのフローログを収集する

ネットワークトラフィックのフローログは、接続の問題を切り分けるためや、トラフィックの流れが想定どおりに機能しているかを判断するために使用できます。さらに、サイバーセキュリティのインシデントが発生した場合に、不審なトラフィックやリソースへのアクセスを調査する目的でも利用されます。

7. ホストベースの侵入防止ソリューションを導入する

侵入防止ソリューション（IPS）は、侵入検知システム（IDS）と同様に、どちらも疑わしいトラフィックや悪意のあるコードを探します。ただし、IDSがトラフィックを厳密に分析してアラートを出すのに対して、ローカルIPSは、特定したパケットをドロップ（破棄）することで、それらがローカルのデバイスにアクセスするのを先回りして防止できます。

8. ネットワーク侵入防止ソリューションを導入する

ネットワーク IPS はネットワークアプライアンス上に配置され、特定のネットワークセグメントに入る／出る前に、脅威と判断した通信を遮断（ドロップ）します。

9. ポートレベルのアクセス制御を導入する

ポートレベルのアクセス制御では、802.1x または同様のプロトコルを利用して、許可されたデバイスのみがネットワークに接続できるようにします。たとえば、訪問者がイーサネットケーブルでポータブルコンピューターをネットワークに接続するのを防ぎ、その結果、提供された無線ネットワークの利用を強制できます。アクセスは、証明書、MAC アドレス、またはユーザー認証によって付与できます。

10. アプリケーション層のフィルタリングを実施する

アプリケーション層のフィルタリングにより、ユーザーが企業のポリシーに準拠していないアプリケーションを使用して通信できないようにします。たとえば、一部の組織では、特定のソーシャルメディア、ストリーミングメディア、またはプロキシアプリケーションの利用をユーザーに禁止する場合があります。

11. セキュリティイベントのアラート閾値を調整する

IT 担当者やセキュリティ担当者が大量のアラートで圧倒されると、それらを無視し始めます。これを防ぐ方法の1つは、さまざまなイベント種別に閾値を割り当て、閾値を超えた場合にのみアラートがトリガーされるようにすることです。閾値を使ってイベントを自動的にクリアすることもできます。

Netwrix がどのように支援できるか

Netwrix は、CIS Control 13 に含まれる多くのセーフガードを、迅速かつ効果的に導入できるソリューションを提供します。 Netwrix security solutions により、セキュリティ態勢におけるギャップを特定して是正するとともに、脅威を早期段階で検知し、迅速に対応できるようになります。特に、当社の insider threat detection capabilities は、環境全体での異常な振る舞いを通知するため、悪意のある内部者と、アカウントを乗っ取る攻撃者の両方からネットワークを防御できます。