Network detection and response
From Wikipedia, the free encyclopedia
NDRは、ハードウェアおよびソフトウェアのセンサーと、ソフトウェアまたはSaaS型の管理コンソールの組み合わせによって提供される。組織は、ランサムウェアや内部者による悪意のある活動など、侵入後の不正活動を検出および封じ込めるためにNDRを使用する。NDRは、シグネチャベースの脅威検出だけに頼るのではなく、異常な振る舞いパターンやアノマリーの特定に焦点を当てている。これにより、NDRはネットワークトラフィックから、ラテラルムーブメント（横展開）やデータの流出といった、かすかな兆候や未知の脅威を見つけ出すことが可能になる[2]。
NDRは、機械学習アルゴリズムを使用してアノマリーを特定し、ネットワーク活動の可視性を提供する[3]。自動化された応答機能は、セキュリティチームの作業負荷軽減に役立つ。また、NDRはコンテキストと分析を提供することで、インシデント対応者によるスレットハンティングを支援する[2]。
導入オプションには、物理センサーまたは仮想センサーがある。センサーは通常、パフォーマンスに影響を与えずにネットワークフローを監視できるよう、アウトオブバンドで配置される。クラウドベースのNDRオプションは、IaaSプロバイダーと統合され、ハイブリッド環境全体にわたる可視性を獲得する。継続的なチューニングを行うことで、誤検知の削減に役立つ。NDRは、セキュリティ予算を巡り、SIEMやXDRといったより広範なプラットフォームと競合する[2]。NDRは、EDRの死角を補完するために使用されることもある[3][4]。
NDRソリューションが提供する主な機能には、継続的な監視によるリアルタイムの脅威検出、被害を最小限に抑えるための迅速なインシデント対応ワークフロー、複数のポイントソリューションを管理する場合と比較した複雑さの軽減、コンプライアンスとリスク管理のための可視性の向上、自動化された検出と応答、エンドポイントおよびユーザーの振る舞い分析、集中監視のためのSIEMとの統合が含まれる[5]。
歴史
NDRの起源は、2019年頃に登場したネットワークトラフィック分析（NTA）ソリューションに遡る。NTAは、潜在的な脅威を迅速に特定して対応するために、ネットワーク活動のより優れた可視性を提供した[5]。
2020年までに、リアルタイムの脅威検出のためのNTAの採用が拡大した。同年のある調査では、87%の組織がNTAを使用しており、43%がそれを「第一の防御線」と考えていることがわかった。NTA市場は2022年に29億米ドルと評価され、2032年には85億米ドルに達すると予測された。その後、NTAは独立した製品カテゴリーとしてNDRへと進化した。NDRは検出機能とインシデント対応ワークフローを組み合わせている。これにより、ネットワーク全体の脅威に対してリアルタイムで検出および反応することが可能となった[5]。
2017年のWannaCryや2020年のSolarWindsの侵害といった大規模な攻撃は、NDRのようなソリューションの必要性を浮き彫りにした。従来の境界防御やシグネチャベースのツールは、現代の脅威に対して不十分であることが証明された[5]。
人工知能の応用
セキュリティチームがNDRの機能を強化するAIの可能性を模索する中で、NDRツールにおける人工知能の活用が進んでいる。NDRにおける主なAIの活用事例は以下の通りである[6]。
- 脅威検出の向上：AIは、脆弱性、脅威、攻撃手法に関する大量のデータを分析し、異常なネットワーク活動を特定できる。これにより、NDRは新たな攻撃パターンをより高い精度で、かつ少ない誤検知で検出できるようになる[6]。
- アラートの優先順位付け：AIモデルは、影響を受ける資産、悪用可能性、潜在的な影響などの要因に基づいて、NDRアラートの重要度を評価できる。これにより、セキュリティチームは人員不足にもかかわらず、アラートのトリアージを効果的に行うことができる[6]。
- アナリストのワークフローの最適化：AIアシスタントは、インシデント対応時にアナリストをガイドし、脅威の詳細に基づいて関連する調査手順を提案できる。これにより、特に専門知識に乏しい若手スタッフのアナリストの効率が高まる[6]。
- 自動応答：まだ広く採用されてはいないが、AIを使用することで、NDRプラットフォームがエンドポイントの隔離などの封じ込め措置を自律的に実行できるようになる可能性がある。AIが応答アクションを特定して推奨し、アナリストが承認を行う[6]。
- セキュリティチームのコミュニケーション：NDRベンダーは、技術的なセキュリティスタッフだけでなく、ビジネスリーダーにも理解できるインシデントレポートや指標を生成するために、自然言語AIとの統合を模索している[6]。