Tenable が検出する脅威
必要なライセンス: この機能は Enterprise ライセンスでのみ利用できます。詳細については、ライセンスを参照してください。
Tenable は、さまざまなタイプのアクティビティをモニタリングすることで、環境の包括的な可視性を提供します。個々のアクションと長期的なパターンの両方を分析することで、潜在的なセキュリティ侵害、設定ミス、不正なアクティビティを特定します。
脅威検出タイプ
脅威検出は、次の主なタイプに分類されます。
| 検出タイプ | データソース | 説明 |
|---|---|---|
| イベント | クラウドプロバイダーのログ | クラウドプロバイダー (AWS、Azure、GCP など) 内で発生した単一のイベントに基づいて不審なアクティビティを検出します。 |
| センサーベースのイベント | eBPF ランタイムセンサー | eBPF ランタイムセンサーイベントに基づいてアクティビティを検出し、ワークロードレベルのアクティビティを詳細に可視化します。これには、プロセス実行イベントとファイルオープンイベントのサポートが含まれます。 |
脅威検出ファミリー
クラウドベースおよびセンサーベースのイベントソース内で、 Tenable は、動作パターンに基づいて脅威を特定の検出ファミリーにグループ化します。
不審なアクティビティ
既知の攻撃者の行動やセキュリティのベストプラクティスの違反と一致するリスクのあるイベントをほぼリアルタイムで特定します。履歴ベースラインに依存する異常とは異なり、これらの検出は、過剰な管理ロールの作成や重要なセキュリティログサービスの無効化など、特定の事前定義されたルールによってトリガーされます。
異常検出
Tenable は、継続的なリスク分析を通じてセキュリティポスチャーを改善します。クラウドアクティビティログ全体を処理することで、 Tenable はユーザーとサービスのアイデンティティごとに一意の動作プロファイルを構築します。
異常カテゴリ
Tenable は、確立されたベースラインからの逸脱に基づいて、いくつかの種類の異常を検出します。
| カテゴリー | 説明 | 例 | |
|---|---|---|---|
| データとリソースへのアクセス | 通常の職務外のデータとのやり取り | 初めて S3 バケットのコンテンツにアクセスする | |
| アイデンティティとアクセス | アイデンティティのアクセス許可と機能に対する通常とは異なる変更 |
|
|
| インフラと監査 | クラウド環境のモニタリング設定またはネットワークセキュリティコントロールに対する変更 | ネットワーク構成 (セキュリティグループ / VNet) の変更、またはログおよび監査設定の変更 | |
| 偵察 | 攻撃者が環境をマッピングしていることを示唆する検出パターン | すべてのリソース、ユーザー、またはセキュリティグループを一覧表示するための異常な API 呼び出し |
異常検出ポリシー
Tenable は、クラウドアイデンティティに一般的な動作パターンに関連する異常検出ポリシーを、アクティビティカテゴリにマッピングして標準装備しています。これらのポリシーには、次のようなものがあります。
- 異常なデータアクセス: データにアクセスした履歴がなくてもアクセスしたアイデンティティを検出します。これは、盗んだ認証情報を使用しようとする攻撃者がよく使用する手法です。
- 異常なアクセス許可管理: 同様のアクションを実行した履歴がなくてもアクセス許可を変更したアイデンティティを検出します。これは、攻撃者が環境内で足場を築くためによく使用されます。
ポリシーの完全なリストについては、クラウドサイバーエクスポージャーコンソールの [ポリシー] に移動し、[Anomaly Detection] (異常検出) カテゴリでフィルタリングしてください。
学習期間
不審な 不審なアクティビティ と 異常検出の両方について、正確性を確保するために、 Tenable 特定の学習ライフサイクルに従います。
- 分析期間: Tenable は最大 12 か月分の履歴データを分析し、アイデンティティのベースラインを確立するには少なくとも 30 日間のアクティブな観察が必要です。
- 反復する動作: 最初の検出結果または検出をオープンした後に、同様の異常な動作が検出された場合
- 30 日以内: Tenable は既存の検出結果または検出に動作を追加し、以前に解決された場合は再度開きます。
- 30 日後:Tenable によって新しい検出結果または検出結果が生成されます。
異常検出結果の管理
異常検出結果は、静的な設定ミスではなく動作の逸脱を表しているため、従来の修正スクリプトでは修正できません。
- 手動解決: 調査後、検出結果が正当なアクティビティを示している場合は、手動で解決済みとしてマークする必要があります。
- 自動化:Tenable では、 自動化 を作成して、深刻度が「高」または「重大」の異常検出結果を、選択した 通知または SIEM 統合 にルーティングすることを推奨しています。
マルウェアの実行
既知または疑わしいマルウェアとしてフラグが立てられたバイナリのプロセス実行を検出します。
クラウドサイバーエクスポージャー には、SHA-256 ファイルハッシュに基づいてマルウェアのレピュテーションデータを提供する、業界をリードするセキュリティプロバイダーとの統合が組み込まれています。
脅威の検出 MITRE ATT&CK マッピング
Tenable は、セキュリティフレームワークの包括的なライブラリを使用して、すべての検出タイプにわたる脅威を分類します。Tenable は、攻撃者の戦術と手法を説明するための世界的に認められた標準である MITRE ATT&CK® を利用することで、識別されたすべての脅威に対して完全なセキュリティコンテキストを提供します。各検出は、調査と対応を迅速化するために、MITRE ATT&CK® Enterprise Matrix の特定の戦術と手法に明示的にマッピングされています。
- 攻撃者の目的を特定する: 攻撃者が初期アクセスを求めているのか、システムへの長期アクセスを確保しているのか、機密データを盗もうとしているのか、何を達成しようとしているのかを確認します。
- テクニックを特定する: 使用されている特定の方法を明確に理解します。
- 攻撃経路の視覚化: 脅威の進行状況を把握し、発生している攻撃のステージを確認します。