セキュリティ

SecureX の脅威インテリジェンス：迅速、無料、簡単

木村滋
2021年8月12日

この記事は、Advanced Threat Solutions の Applied Sciences Engineer である Ben Greenbaum によるブログ「Threat Intelligence in SecureX: Fast, Free, or Easy (pick any three)」（2021/7/27）の抄訳です。

SecureX は、シスコが提供する無料のセキュリティプラットフォームです。略語が使用されることの多いさまざまなアプローチに対応しています。「SecureX とは XDR なのか、それとも SOAR なのか？SIEM が解決するような問題を解決するのか、TIP のような機能なのか？」答えはすべて「イエス」です。当初から、グローバルな脅威インテリジェンスとともに、ローカルのセキュリティコンテキストを使用して運用できることが、SecureX の柱の 1 つでした。

そのために、SecureX には非常に優れた以下の脅威インテリジェンスプロバイダーがデフォルトで装備されています。

Cisco Secure Endpoint File Reputation データベース（旧 AMP FileDB）：Talos、Cisco Malware Analysis、Secure Endpoint などの複数のソースから収集された数十億のファイルハッシュに対するレピュテーション評価が蓄積されています。

AMP Global Intelligence データベース（別名 SecureX Public Intelligence）：内部ソースとオープンソースの脅威インテリジェンスソースから厳選されたデータが蓄積されています。

TALOS Intelligence データベース：グローバルな TALOS 調査チームと最新のカスタマイズされたツールにより発見されたあらゆる種類の情報が蓄積されています。

Private Intelligence リポジトリも装備されており、独自のインテリジェンスをアップロードするか作成して、SecureX の調査に使用することができます。

しかし、脅威インテリジェンスの世界には、この 3 つ以外にも多くのソースがあります。すべての調査機関は、無料か有料か、オープンかプライベートかを問わず、独自の重点分野、独自の手法、独自のガイドライン、ポリシー、プラクティス、特定の脅威に対する独自の見解を有しています。必ずしも多ければ良いということではありませんが、より包括的で全体的な視点のほうが狭い視点よりも価値があることが多いのは事実です。実際、これは SecureX 自体の設計において考慮した主要なポイントの 1 つであり、SecureX の存在理由でもあります。

多くのお客様が、追加のソースをすでにご利用になっています。今から数年前、シスコは後に SecureX 脅威対応製品となる最初のバージョンに VirusTotal のサポートを組み込みました。その日のうちに、こうなることは分かっていました。

昨年の夏、リモートリレーモジュールを導入し、ユーザが任意のデータソースを利用できるようにしたのも同じ理由です。この設計により、SecureX ユーザは「独自のモジュールを導入」して自社環境にコードを展開することで、調査のリソースとしてあらゆるものを利用できるようになります。

シスコは次に、一部の有名な脅威インテリジェンスソース用のリレーを作成し、ユーザが導入できるように公開しました。

最近では、これらのリレーを内部に組み込みました。シスコがリレーをホストすることにより、お客様が自社の SecureX 環境にリレーモジュールを導入する方法に比べシンプルにするのが目的です。シスコが提供するサードパーティのリレーモジュールの場合、リレーサービスをダウンロード、設定、起動する必要はありません。

詳細については、Jessica Bair の素晴らしいブログ記事『SecureX Threat Response の統合強化』を参照してください。

これにより、各種の便利なツールを利用するために必要となる時間と労力を大幅に削減できます。こうしたツールの中には、オンプレミスのセキュリティ制御ツールや検出ツールもありますが、その多くはグローバルな脅威インテリジェンスプロバイダーです。しかも、無料で提供されているものも多くあります。

私もいくつか自分で設定してみましたが、本当に簡単にさっと設定できることを実感しました。クリックして、API キーを貼り付け、もう一度クリックしたら完了です。そして見てみると、他にもまだ利用できるものがたくさんあるというわけです。そこで考えました。10 個のソースを追加するのにどれくらい時間がかかり、それによって調査の性質がどの程度変化するのだろうか、と。

この実験のために、多少恣意的に以下のソースを選択しました。アルファベット順に並べています。