Managed Detection Liteの対象範囲

何であるのか

本製品は、既存のエンドポイント、SIEM、ログ、ネットワークのツールと連携する、定義された検知レビューのサービスです。作業開始前に、対象とするアラートキュー、エンドポイント製品、ログソース、限定的なネットワークシグナル、アナリストのアクセス方法、記録の保存期間、レビューの周期、報告形式、エスカレーションメモを受け取るべき担当者について、双方で確認します。合意した頻度で、アナリストが提供された、またはアクセス可能なシグナルを確認し、深刻度の文脈とともに観測結果を記録し、有用な証跡と追加情報が必要な項目とを区別します。報告書には、アラートのトリアージ、異常に関するメモ、繰り返し発生するパターン、エンリッチメント、誤検知の可能性、チューニングや抑制に関する考慮事項、妥当な次のステップを含めることができます。各推奨事項は、環境に適用する前に貴社の技術担当者と確認します。

誰のために

Managed Detection Liteは、次のようなチームに適しています。

• エンドポイント、ログ、アラート、SIEM、限定的なネットワークのデータをすでに収集しているものの、合意した一部について、より定期的なアナリスト主導のレビューを必要としているチーム
• シグナルに社内調査、ベンダーへの問い合わせ、別途範囲を定めた対応作業が必要かどうかを判断する前に、より明確なトリアージと報告を求めるチーム
• 繰り返し発生するノイズと、担当者の指名、裏付けとなる証跡、統制されたチューニングの協議に値する観測結果とを区別する支援を必要としているチーム
• 検知データについて、範囲を限定した定期的なレビューの頻度を求めるチーム

明確にするのに役立つこと

本レビューで明確にできること：

• 合意したソースのうちアナリストが実際に確認できるもの、その保存期間で可能なこと、データの欠落やアクセスの制約が確度に影響する箇所
• 追加の文脈、深刻度の協議、エンリッチメント、抑制の見直し、社内担当者への振り分けが必要と思われるアラートやパターン
• 繰り返し発生するシグナルが、チューニングの機会、想定どおりの運用パターン、不足しているデータソース、別途の評価を要する問題のいずれを示している可能性があるか
• 現時点で観測結果として記録できることと、侵害、根本原因、完了した是正として引き続き確認が必要なこと

含まれる内容

• 対象とするアラート、エンドポイント、ログ、限定的なネットワークのソース、アクセス方法、保存期間、頻度、受信者、報告の境界の書面確認
• リアルタイム監視を示唆するのではなく、定めた頻度で合意したテレメトリーをアナリストがレビューし、トリアージメモと文脈に応じた深刻度を記録
• 注目すべきアラート、異常、繰り返し発生するシグナル、証跡の限界の文書化（観測結果にクライアントやベンダーからの情報が必要な箇所を含む）
• 入手可能な証跡で協議の裏付けが得られる場合の、誤検知、抑制、チューニング、エンリッチメント、データ品質に関する実務的なガイダンス
• 優先順位、エスカレーションのガイダンス、制約、次のレビュー期間に向けた判断を記録する、構造化された報告書またはブリーフィング形式
• 未解決の問い、責任分担、別途の範囲が必要となる作業を扱う引き継ぎの打ち合わせ

含まれていないもの

• 常時稼働のSOC、マネージドな検知・対応（MDR）サービス、EDRの代替、無制限の監視体制、オンコールのセキュリティ窓口
• 別途の合意なしでの、リアルタイムのインシデント対応、リアルタイムの封じ込め、緊急調査、本番環境の是正、顧客システムを変更する権限
• あらゆる脅威、アラート、侵害、異常、悪意ある行為、カバレッジの欠落が検知される、または正しく分類されることの確約
• チューニング、抑制、エンリッチメントによって、すべての誤検知がなくなる、検知漏れが解消される、ツールが完全になるという約束
• 確定した境界外のデータソース、エンドポイント、ネットワーク、クラウドアカウント、アプリケーション、保存期間のレビュー

それを選ぶべきとき

有用なセキュリティテレメトリーはあるものの、限られたシグナルについて合意したアナリストの周期を設けたい場合に、Managed Detection Liteをお選びください。ツールの導入後、エンドポイントやログのカバレッジの変更後、アラート疲れが続いた時期のあと、あるいはより広範な運用モデルが必要かどうかを判断する前に適していることがあります。セキュリティ責任者が、アラートの生のキューではなく社内レビュー用の書面の文脈を求める場合にも有用です。当面必要なのが、継続的な監視、緊急時の対応、リアルタイムの活動の封じ込め、是正の責任である場合は、専用のインシデント対応や運用の体制のほうが適しています。そうした状況には、独自のアクセス、対応可能時間、権限、契約上の境界を備え、適切な人員体制を持つ対応サービスやマネージドサービスが必要です。効果的なエンゲージメントは、データソースについての現実的な見通しと、業務上の文脈を確認できるクライアント側の担当者から始まります。

私たちのアプローチ

まず、ソースの一覧と運用上の境界を書面で確認します。概要書には、利用可能なテレメトリー、保存期間、アクセス経路、頻度、報告の受信者、エスカレーションの連絡先、既知の死角を記録します。合意した各レビューでは、選定した証跡を文脈の中で評価し、シグナル、観測結果、妥当な問い、確定した結論を区別します。パターンがノイズに見える場合は、抑制やチューニングを協議するための根拠を説明し、変更は承認を得てから適用します。シグナルがより深刻に見える場合は、証跡と妥当なエスカレーション経路を提示し、システム、対応の判断、本番環境での措置の責任はクライアントが保持します。制約は率直に記録します。欠落したログ、短い保存期間、アクセスできないエンドポイント、未確認の前提は、カバレッジの欠落として記録します。こうして得られた記録は、時間の経過とともに社内の判断の質を高めます。

よくある質問

関連記事