リモートワーク移行、攻撃の多様化による新たなセキュリティリスク

ブロードメディアでは2020年、コロナ禍の拡大に伴い急遽全社員を対象にリモートワークの運用を開始することになりました。これに伴い、従来型のオンプレミスのVPNを廃止した一方で、社内の多くのITリソースをクラウド上に移行し、境界型防御を介在させずあらゆる端末、ユーザー、場所からのリモートアクセスに対して適切な認証を求め、最小限のアクセス権限を提供するゼロトラストモデルの実現を目指しています。

昨今、企業に対するサイバー攻撃が個人の愉快犯から国家レベルの IT集団による組織的な攻撃に変化し、ランサムウェアによる搾取データの暴露や身代金要求による企業価値失墜などのリスクが一段と増す中、許可されていない個人所有の端末を社内ネットワークに紛れ込ませて利用するシャドーITのセキュリティリスク等が不安として募り始めていました。

また、ブロードメディアは世界最大規模のCDN（コンテンツ配信ネットワーク）サービス事業者の日本での正規代理店として、コンテンツを最適に配信するCDNサービスや堅牢なセキュリティサービスを提供しており、各種の技術提供を行うエンジニアを多数擁しています。そのため、セキュリティ製品の導入・運用に際してはコンテンツ配信にかかる各種ツールの利用に支障をきたさないように細心の注意を払う必要がありました。

上記のような状況を踏まえ、サイバーセキュリティに専任で従事する担当者も不在の中、オンプレミス環境内とクラウド上の通信異常を横断的に、かつ即座に検知から遮断までを人手を最小限に抑えて行う方法を模索する中、最良の解決策の候補としてAIが同社の通常業務に支障をきたすことなくネットワーク内外の通信状況をリアルタイムに自己学習しながら、サイバー脅威に予兆レベルで対処できるというDarktraceの製品に出会いました。

全通信の可視化、異常の自律検知・遮断をAI が 24 時間 365 日体制で実現

通常HW/SW一体型のアプライアンス型製品として提供される Darktraceの各製品は、ルールやシグネチャに頼ることなく、事前設計やメンテナンスも不要ながら、各企業固有のユーザー・デバイスの挙動や通信の定常状態（生活パターン）を、独自開発の自己学習型AIによりデジタルインフラの種類を問わず常時機械学習・完全可視化し、定常から逸脱するサイバー脅威をリアルタイムに自律検知・遮断、さらに検知した脅威の調査分析・日本語によるレポーティングまで高速自動化する世界初の技術に基づいて提供されています。

オンプレミスの IT ネットワークに加えて、仮想アプライアンスや各種モジュール、センサーなどを追加導入することで、クラウド 環境や各種SaaSアプリケーション上の通信やリモートワーク端末、 IoT機器を含む組織のあらゆるデジタルインフラを網羅的に監視でき、通信の宛先や時間帯、通信量・通信頻度などをパケットキャプチャ によりAIが常時解析し、ユーザー毎、デバイス毎、サブネット毎にこれらの要素を継続的・自律的に機械学習することで、学習した定常 状態から逸脱するいかなる未知の脅威や内部不正も即座に検知・可視化します。

ウェブブラウザ上で利用できるDarktrace独自の3D可視化ツールであるThreat Visualizerでは、ネットワーク上を流れるすべての通信パケットの状況を一元的かつリアルタイムに可視化します。端末やユーザーはアイコンとして表示され、端末間の通信状況や検知されたアラートは、定常状態からの逸脱度を客観的に示すしきい値をベースに自動的に色分けされます。ブロードメディアではDarktrace / NETWORK^TMの導入にあわせて、異常度の高い通信に対してリセットパケットを自動送出し、24時間365日体制で通信異常を自律的に遮断するDarktrace / Self Learning AIも活用しています。

POV（※）期間中、特定のノートPCから過去に全く通信履歴のないユーザーエージェントとURLからEXEファイルがダウンロードされたことや、ある退職予定者の業務端末からこれまでにない大容 量のデータがクラウドストレージにアップロードされたことなどが Threat Visualizer上で即座に明るみに出ました。前者は広告を含むアプリの自動インストールが行われた形跡、後者は当該退職予定者による引継ぎデータの正規の受け渡しによるもので、異常としては軽微でしたが、いずれのアラートも従来から導入していたUTM製品では自律検知されず、組織固有の生活パターンを定義する教師なし機械学習のメカニズムにより、脅威を予兆レベルで最も早期に自律検知できることのメリットを実感しました。

（※）Proof of Value：4週間の導入前検証。

各リモート端末や各ユーザーの挙動も AIが自律監視

ブロードメディアでは、約500名の全従業員が利用する約1,800台のノートPCを監視対象として、同社のオンプレミス環境とクラウド環境双方を行き交う通信を一元的に機械学習・可視化しつつ、各ノートPCには、Windows、Mac OS双方に対応する軽量のエージェント製品であるDarktrace / ENDPOINT^TM（クライアントセンサー）も追加導入し、オンプレミス側のVPNを介さないリモート端末の挙動も入念に監視できるようにしています。

さらに、主要なSaaSアプリケーションとAPI連携し、監査ログを取得することで異常なログインやクラウド上での不審な挙動などを併せて検知するモジュール、Darktrace / IDENTITY^TMも駆使して同社で利用する約500におよぶMicrosoft 365のアカウントも監視対象に加え、端末の挙動の監視のみならず、ユーザーの挙動を主体にしたAI監視体制も敷いていますが、各従業員の通常の「生活パターン」を学習し続けるAI技術により、個々のワークスタイルや業務特性によってアクセスポリシーが異なる状況であっても、事前設定を要することなく普段と異なる挙動を即座に把握できるようになりました。  

‍