この記事では、Microsoft セキュリティ導入モデルの一部として、ゼロ トラスト原則を使用してセキュリティ インシデントを管理し、その影響を最小限に抑える方法について説明します。
このビジネス シナリオは、次の結果を達成するのに役立ちます。
セキュリティ インシデントによるビジネス上の損害を最小限に抑える
ビジネス リーダーは、サイバー攻撃が避けられないことを知っています。 重要なのは、セキュリティ インシデントを検出、封じ込め、復旧して、運用の中断、財務上の損失、評判への影響を軽減する方法です。
このガイダンスは、組織が回復性を強化し、対応の有効性を向上させ、企業全体の回復を加速することで、セキュリティ インシデントのビジネスへの影響を軽減するのに役立ちます。
このガイダンスのしくみ
この記事は、セキュリティ戦略を実装に結び付ける 構造化導入モデル の一部です。
このような ビジネス シナリオ から始めて、達成したい結果を定義します。
このシナリオに適用される セキュリティ規範 を特定します。
これらの規範を使用して、シナリオに必要な戦略、アーキテクチャ、プロセス、およびコントロールを定義します。 組織全体で計画、設計、実装する必要がある内容を理解するために、各規範に取り組む。
技術ソリューションを使用して、Microsoftテクノロジを使用してこれらの要件を実装し、ID やデータなどのテクノロジの柱全体に制御を適用します。
このアプローチにより、セキュリティ インシデント対応と復旧がゼロ トラストアーキテクチャ全体に統合され、検出、封じ込め、回復が高速化されます。
攻撃の被害を最小限に抑えるために新しいアプローチが必要な理由
セキュリティの成功は攻撃者の失敗ですが、すべての攻撃を停止することを保証することはできません。 サイバーセキュリティ攻撃の成功による損害は避けられないため、次のことが可能であることを確認して回復性を構築することに重点を置く必要があります。
- できるだけ多くの攻撃を防ぎます。
- 攻撃が発生した場合に効果的に対応して損害を制限し、ビジネス資産とサービスを迅速に復旧します。
- 学習 した教訓を適用し、回復性を継続的に向上させる方法について説明します。
ビジネス バリュー
ビジネス上の損害を最小限に抑える投資の価値は組織全体に利益をもたらしますが、役割によって異なります。
| 役割 | Value |
|---|---|
| ビジネス リーダーシップ | 侵害の頻度と重大度を制限し、復旧速度を向上させることで、セキュリティ インシデントによるビジネスの中断、ダウンタイム、リスクを軽減します。 運用とデータ整合性の迅速な復元により、規制と評判への影響を最小限に抑えながら、公開を必要とするインシデントの数を減らすことができます。 セキュリティはビジネスの機敏性を実現し、インシデントによって制約されるのではなく、リスク コンテキストによって実行と投資の決定が確実に通知されるようにします。 |
| テクノロジの役割 | 制御を自動化し、アクセスと復旧プロセスを標準化することで、セキュリティとテクノロジの要件を満たしながら運用上の摩擦を軽減します。 インシデントの頻度と影響を減らすと、修復とリビルドのアクティビティに必要な労力が減り、チームはリモートとハイブリッドの作業をサポートする信頼性の高いスケーラブルなサービスの提供に集中できます。 |
| セキュリティ ロール | ユーザー、デバイス、アプリケーション間で一貫性のある ID 中心の制御を適用することで、攻撃者の摩擦を増やし、攻撃者の投資収益率を減らします。 可視性と自動化が向上することで、繰り返し発生する "グラウンドホッグの日" インシデントを減らし、セキュリティ チームは繰り返しの封じ込めタスクに費やす時間を減らし、積極的なリスクの削減と回復性に時間を費やすことができます。 |
セキュリティ規範を調整する
セキュリティ規範は、このビジネス シナリオを実現するために必要なアカウンタビリティの構造化された領域を表します。
- 計画と監視の規範は、必要な戦略、ガバナンス、および組織間の調整を定義します。
- 技術戦略の規範では、必要なアーキテクチャ、運用、および制御の機能を定義します。
- 運用規範により、監視、対応、継続的な改善を通じて、セキュリティ制御が時間の経過と同時に有効な状態を維持できます。 不正使用を検出し、脅威に対応し、継続的なセキュリティ体制の改善を推進します。
計画と監視の規範
| Discipline | アクション |
|---|---|
| 戦略、統合、ガバナンス | セキュリティ、テクノロジ、ビジネス チーム全体の防止、対応、学習をガイドするために、チーム間のプロセスとガバナンスを設定します。 |
| エンド ツー エンドのセキュリティ アーキテクチャ | 組織全体で学習した教訓を迅速に適用するために、技術的な制御と機能が統合されていることを確認します。 この統合には、既存のテクノロジと人工知能などの新しいテクノロジの両方で、すべてのプロセス、人、テクノロジにわたって効果的なセキュリティ制御を確立する必要があります。 効果的な対応と回復を可能にするために、アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出が必要です。 SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
技術戦略の規範
| Discipline | アクション |
|---|---|
| アクセスと ID | 既知の攻撃手法を防ぐために、多要素認証やフィッシングに強い資格情報などの強力な制御を確立します。 アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出をサポートして、効果的な対応と回復を可能にします。 SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
| インフラストラクチャのセキュリティ | マルチクラウドやオンプレミスのデータセンターを含む、技術資産内のすべてのインフラストラクチャ資産で既知の攻撃手法を防ぐための強力な制御を確立します。 アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出をサポートして、効果的な対応と回復を可能にします。 SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
| 開発セキュリティ | すべての新しい開発および既存のアプリケーションで既知の攻撃手法を防ぐための強力な制御を確立します。 アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出をサポートして、効果的な対応と回復を可能にします。 セキュリティ上の欠陥に対する修正プログラムの攻撃調査、回復、統合を迅速にサポートするプロセスを確立します。 SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
| データのセキュリティ | 知的財産、企業秘密、規制対象データ、その他の機密情報を格納するデータ資産に対する損失、暗号化、変更、またはその他のセキュリティまたはプライバシーへの影響を防ぐための強力な制御を確立します。 アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出をサポートして、効果的な対応と回復を可能にする SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
| OT と IoT のセキュリティ | 物理的なプロセスや物理的な世界と直接やり取りし、生命、安全、財務、その他の悪影響を引き起こす可能性があるこれらの資産に対する攻撃を成功させないように、強力な制御を確立します。 アクティビティのログ記録と異常なアクティビティ (潜在的な攻撃) の検出をサポートして、効果的な対応と回復を可能にします。 SecOps の脅威インテリジェンス分析情報を使用してセキュリティ アクティビティに優先順位を付けます。 |
運用上の規範
| Discipline | アクション |
|---|---|
| SecOps | SecOps 対応を改善し、上位の攻撃手法と脅威アクターに関する脅威インテリジェンスの分析情報を共有するための継続的な学習アプローチを確立します。 このアプローチにより、改善により、最も高いビジネスへの影響を受ける攻撃、最も頻繁に見られる攻撃、および SecOps、セキュリティ、テクノロジ のスタッフに不釣り合いに影響を与えるその他の攻撃に焦点を当てることができます。 |
| セキュリティ体制管理 | SecOps とビジネス コンテキストからの脅威インテリジェンスの分析情報を統合する継続的な学習アプローチを確立し、ビジネス リスクに不釣り合いに影響を与えるビジネスへの影響が大きい高い脆弱性をテクノロジ チームが監視し、軽減できるようにします。 |
必要なテクノロジの柱
テクノロジの柱は、このビジネス シナリオをサポートする主要なMicrosoftセキュリティ機能を表します。
| テクノロジの柱 | Defender XDR | Microsoft Sentinel |
|---|---|---|
| クロス柱 | Defender for Endpoint、Defender for Identity、Defender for Office 365、および Defender for Cloud Apps のシグナルを相関付け、脅威を一連のインシデントとして検出、調査、対応します。 | Microsoftとサードパーティのソースからテクノロジの柱全体のデータを取り込んで分析し、一元的な検出、調査、自動応答を可能にします。 |
| アイデンティティ | id のDefenderは、資格情報の誤用、横移動、特権の悪用などのハイブリッド ID の問題を検出します。 これらの ID シグナルは、攻撃を検出して対応するために、Defender XDR内で関連付けられます。 | 疑わしい認証とアカウントの動作を識別するために、Microsoft Entraおよび外部プロバイダーから ID ログを取り込みます。 |
| エンドポイント | Microsoft Defender for Endpointは、デバイス上の脅威を検出、調査、対応します。 これらのエンドポイント信号は、攻撃を検出して対応するために、Defender XDR内で関連付けられます。 | Microsoftおよびサード パーティのソースからのエンドポイント テレメトリを関連付けて、攻撃を検出し、デバイス間のアクティビティを追跡します。 |
| Networks | エンドポイント、ID、アプリケーション、インフラストラクチャ間でネットワーク関連のシグナルを関連付け、ネットワークベースの脅威を検出します。 | 複数のソースからのネットワーク ログとフロー データを分析して、コマンド アンド コントロール アクティビティとネットワーク攻撃を検出します。 |
| アプリ | Microsoft Defender for Office 365は、フィッシング、マルウェア、ビジネス メール侵害攻撃から電子メールとコラボレーション ツールを保護します。 Microsoft Defender for Cloud Appsは、SaaS/クラウド アプリの可視性と制御を提供します。 | Microsoftおよびサード パーティの SaaS アプリケーション全体のアクティビティを監視して、異常な動作と脅威を検出します。 |
| データ | Microsoft Defender XDRでは、シグナルとMicrosoft Purviewを関連付けて、ワークロード全体の機密データの露出と潜在的なデータ流出を検出します。 | ソース間のデータ アクセスと移動パターンを分析して、流出とインサイダー リスクを検出します。 |
| インフラストラクチャ | Microsoft Defender for Cloudは、クラウドおよびハイブリッド ワークロード全体の脅威と構成の誤りを検出します。 これらのシグナルは、インフラストラクチャ ベースの攻撃を検出するためにDefender XDR内で関連付けられます。 | クラウド環境とオンプレミス環境全体にインフラストラクチャ テレメトリを取り込み、侵害されたリソースと攻撃を検出します。 |
| 人工知能 | AI 主導の調査と、相関シグナル間の自動攻撃中断を適用して、検出と応答を高速化します。 | 分析と機械学習を適用して脅威に優先順位を付け、大規模なデータ セット全体のノイズを軽減します。 |