Google Cloud Well-Architected Framework のセキュリティの柱におけるこの原則では、全体的なセキュリティ戦略の一環として堅牢なサイバー防御プログラムを構築するための推奨事項が示されています。
この原則では、防御側の優位性: サイバー防御のアクティブ化へのガイドで定義されているように、脅威インテリジェンスを使用して、サイバー防御のコア機能全体でプロアクティブに作業をガイドすることを重視しています。
原則の概要
サイバー攻撃からシステムを防御する際には、攻撃者に対して十分に活用されていない大きな利点があります。Mandiant の創設者が述べているように、「自社のビジネス、システム、トポロジ、インフラストラクチャについて、どの攻撃者よりも熟知しているはずです。これは極めて大きな利点です。」この固有の利点を活用できるように、このドキュメントでは、Defender's Advantage フレームワークにマッピングされた、プロアクティブで戦略的なサイバー防御の実践に関する推奨事項について説明します。
推奨事項
クラウド ワークロードに予防的なサイバー防御を実装するには、次のセクションの推奨事項を検討してください。
サイバー防御の機能を統合する
この推奨事項は、すべての重点分野に関連しています。
The Defender's Advantage フレームワークでは、サイバー防御の 6 つの重要な機能（インテリジェンス、検出、対応、検証、ハンティング、管制センター）が特定されています。各機能はサイバー防御ミッションの個別の部分にフォーカスしますが、これらの機能は、効果的な防御を提供するために、適切に調整され、連携する必要があります。各機能が相互にサポートする、堅牢で統合されたシステムの構築に重点を置きます。段階的な導入が必要な場合は、次の推奨順序を検討してください。現在のクラウドの成熟度、リソース トポロジ、特定の脅威の状況によっては、特定の機能を優先することがあります。
- インテリジェンス: インテリジェンス機能は、他のすべての機能をガイドします。プログラム全体でアクションの優先順位を付けるには、最も可能性の高い攻撃者、その戦術、手法、手順（TTP）、潜在的な影響など、脅威の状況を把握することが重要です。インテリジェンス機能は、ステークホルダーの特定、インテリジェンス要件の定義、データの収集、分析、配布、自動化、サイバー脅威プロファイルの作成を担当します。
- 検出と対応: これらの機能は、悪意のあるアクティビティの特定と対処を含む、アクティブな防御の中核を構成します。これらの機能は、インテリジェンス機能によって収集されたインテリジェンスに基づいて行動するために必要です。検出機能には、検出を攻撃者の TTP に合わせ、堅牢なロギングを確保する体系的なアプローチが必要です。対応機能は、初期トリアージ、データ収集、インシデントの修復に重点を置く必要があります。
- 検証: 検証機能は、セキュリティ管理エコシステムが最新の状態であり、設計どおりに動作していることを保証する継続的なプロセスです。この機能により、組織は攻撃対象領域を理解し、脆弱性が存在する場所を把握し、コントロールの有効性を測定できます。セキュリティ検証は、検出エンジニアリング ライフサイクルの重要なコンポーネントでもあり、検出ギャップを特定して新しい検出を作成するために使用する必要があります。
- ハンティング: ハンティング機能は、環境内のアクティブな脅威をプロアクティブに検索します。この機能は、組織が検出機能と対応機能の成熟度のベースライン レベルに達している場合に実装する必要があります。ハンティング機能は、検出機能を拡張し、コントロールのギャップや弱点を特定するのに役立ちます。ハント機能は、特定の脅威に基づいている必要があります。この高度な機能は、堅牢なインテリジェンス、検出、対応機能の基盤から恩恵を受けています。
- ミッション コントロール: ミッション コントロール機能は、他のすべての機能を接続する中央ハブとして機能します。この機能は、サイバー防御プログラム全体における戦略、コミュニケーション、断固とした行動を担当します。すべての機能が連携し、組織のビジネス目標に沿っていることを確認します。他の機能を接続する前に、管制センター機能の目的を明確に理解することに集中する必要があります。
サイバー防御のあらゆる側面でインテリジェンス機能を使用する
この推奨事項は、すべての重点分野に関連しています。
この推奨事項では、強力なサイバー防御プログラムの中核としてインテリジェンス機能が強調されています。脅威インテリジェンスは、脅威アクター、その TTP、セキュリティ侵害インジケーター（IOC）に関する知識を提供します。この知識は、すべてのサイバー防御機能にわたるアクションに情報を提供し、優先順位を付ける必要があります。インテリジェンス主導のアプローチは、組織に影響を与える可能性が最も高い脅威に対処するために防御を調整するのに役立ちます。このアプローチは、リソースの効率的な割り当てと優先順位付けにも役立ちます。
次の Google Cloud プロダクトと機能は、脅威インテリジェンスを活用してセキュリティ運用をガイドするのに役立ちます。これらの機能を使用して、潜在的な脅威、脆弱性、リスクを特定して優先順位を付け、適切なアクションを計画して実装します。
Google Security Operations（Google SecOps）は、セキュリティ データを一元的に保存して分析するのに役立ちます。Google SecOps を使用して、ログを共通のモデルにマッピングし、ログを拡充して、ログをタイムラインにリンクすることで、攻撃の全体像を把握します。また、検出ルールの作成、IoC 一致の設定、脅威ハンティング アクティビティの実行も可能です。このプラットフォームには、脅威の識別に役立つ事前定義されたマネージド ルールであるキュレーテッド検出機能も用意されています。Google SecOps は、Mandiant の最前線のインテリジェンスとも統合できます。Google SecOps は、業界をリードする AI と、Mandiant の脅威インテリジェンスおよび Google VirusTotal を独自に統合しています。この統合は、脅威の評価、組織を標的にしている攻撃者の特定、潜在的な影響の把握に不可欠です。
Google AI を活用した Security Command Center を使用すると、セキュリティ専門家は複数のクラウド環境にまたがるセキュリティ問題を効率的に評価、調査、対応できます。Security Command Center のメリットを享受できるセキュリティ専門家には、セキュリティ オペレーション センター（SOC）アナリスト、脆弱性と体制のアナリスト、コンプライアンス マネージャーなどがあります。Security Command Center は、セキュリティ データを拡充し、リスクを評価して、脆弱性に優先順位を付けます。このソリューションは、高リスクの脆弱性に対処し、アクティブな脅威を修正するために必要な情報をチームに提供します。
Chrome Enterprise Premium は、脅威対策とデータ保護を提供します。これにより、ユーザーを情報漏洩のリスクから保護し、マルウェアが企業の管理対象デバイスに侵入するのを防止できます。Chrome Enterprise Premium では、ブラウザ内で発生する可能性のある安全でないアクティビティや潜在的に安全でないアクティビティを可視化することもできます。
Network Intelligence Center などのツールによるネットワーク モニタリングでは、ネットワーク パフォーマンスを可視化できます。ネットワーク モニタリングは、異常なトラフィック パターンや、攻撃またはデータ漏洩の試みを示す可能性のあるデータ転送量の検出にも役立ちます。
防御側の優位性を理解して活用する
この推奨事項は、すべての重点分野に関連しています。
前述のように、自社のビジネス、システム、トポロジ、インフラストラクチャを完全に把握している場合は、攻撃者よりも有利になります。この知識の優位性を活かすには、サイバー防御の計画時に環境に関するデータを利用します。
Google Cloud には、脅威の特定、リスクの把握、タイムリーな対応による潜在的な被害の軽減をプロアクティブに行うための次の機能が用意されています。
Chrome Enterprise Premium は、情報漏洩のリスクからユーザーを保護することで、エンタープライズ デバイスのセキュリティを強化します。Sensitive Data Protection サービスをブラウザに拡張し、マルウェアを防止します。また、マルウェアやフィッシングからの保護などの機能により、安全でないコンテンツにさらされるのを防ぐことができます。また、拡張機能のインストールを管理して、安全でない拡張機能や未検証の拡張機能を防ぐことができます。これらの機能は、オペレーションの安全な基盤を確立するのに役立ちます。
Security Command Center には、包括的で継続的なリスク分析と管理を提供する継続的なリスクエンジンが用意されています。リスクエンジン機能は、セキュリティ データを拡充し、リスクを評価して、脆弱性に優先順位を付けることで、問題を迅速に修正できるようにします。Security Command Center を使用すると、組織はプロアクティブに弱点を特定し、緩和策を実装できます。
Google SecOps はセキュリティ データを一元化し、タイムライン付きの拡充されたログを提供します。これにより、防御側はアクティブな侵害をプロアクティブに特定し、攻撃者の行動に基づいて防御を適応させることができます。
ネットワーク モニタリングは、攻撃を示す可能性のある不規則なネットワーク アクティビティを特定するのに役立ち、対策を講じるために使用できる早期の指標を提供します。盗難からデータをプロアクティブに保護するには、データの引き出しを継続的にモニタリングし、提供されているツールを使用します。
防御を継続的に検証して改善する
この推奨事項は、すべての重点分野に関連しています。
この推奨事項は、攻撃対象領域全体の強みと弱みを理解するために、ターゲットを絞ったテストとコントロールの継続的な検証の重要性を強調しています。これには、次のような方法で管理、オペレーション、スタッフの有効性を検証することが含まれます。
また、脅威を積極的に検索し、その結果を使用して検出と可視性を向上させる必要があります。次のツールを使用して、実際の脅威に対する防御を継続的にテスト、検証します。
Security Command Center には、脆弱性を評価して修復の優先順位を付ける継続的なリスクエンジンが用意されています。これにより、全体的なセキュリティ ポスチャーを継続的に評価できます。Security Command Center では、問題に優先順位を付けることで、リソースを効果的に使用できます。
Google SecOps には、脅威ハンティングとキュレーテッド検出が用意されており、コントロールの弱点をプロアクティブに特定できます。この機能により、脅威を検出する能力を継続的にテストして改善できます。
Chrome Enterprise Premium には、新しい脅威や進化する脅威に対処し、引き出しリスクやマルウェアに対する防御を継続的に更新できる脅威対策とデータ保護機能が用意されています。
Cloud Next Generation Firewall（Cloud NGFW）は、ネットワーク モニタリングとデータ引き出しのモニタリングを提供します。これらの機能は、現在のセキュリティ ポスチャーの有効性を検証し、潜在的な弱点を特定するのに役立ちます。データ引き出しのモニタリングは、組織のデータ保護メカニズムの強度を検証し、必要に応じてプロアクティブな調整を行うのに役立ちます。Cloud NGFW の脅威検出結果を Security Command Center と Google SecOps と統合すると、ネットワークベースの脅威検出を最適化し、脅威対応を最適化して、ハンドブックを自動化できます。
サイバー防御の取り組みを管理、調整する
この推奨事項は、すべての重点分野に関連しています。
サイバー防御の機能を統合するで説明したように、管制センター機能はサイバー防御プログラムの他の機能を相互接続します。この機能により、プログラム全体の調整と統合的な管理が可能になります。また、サイバーセキュリティに携わっていない他のチームとの調整にも役立ちます。管制センター機能は、権限委譲と説明責任を促進し、アジリティと専門知識を促進し、責任と透明性を推進します。
次のプロダクトと機能は、ミッション コントロール機能の実装に役立ちます。
- Security Command Center は、サイバー防御オペレーションを調整、管理するための中央ハブとして機能します。ツール、チーム、データを統合し、組み込みの Google SecOps レスポンス機能を提供します。Security Command Center を使用すると、組織のセキュリティ状態を明確に把握し、さまざまなリソースにわたるセキュリティ構成ミスを特定できます。
- Google SecOps は、ログをマッピングしてタイムラインを作成することで、チームが脅威に対応するためのプラットフォームを提供します。検出ルールを定義して脅威を検索することもできます。
- Google Workspace と Chrome Enterprise Premium を使用すると、機密リソースへのエンドユーザー アクセスを管理および制御できます。ユーザー ID とリクエストのコンテキストに基づいて、きめ細かいアクセス制御を定義できます。
- ネットワーク モニタリングでは、ネットワーク リソースのパフォーマンスに関する分析情報を取得できます。ネットワーク モニタリングの分析情報を Security Command Center と Google SecOps にインポートして、一元的なモニタリングと、他のタイムライン ベースのデータポイントとの相関分析を行うことができます。この統合により、不正なアクティビティによって発生する可能性のあるネットワーク使用量の変化を検出して対応できます。
- データ引き出しのモニタリングは、データ損失インシデントの可能性を特定するのに役立ちます。この機能を使用すると、インシデント対応チームを効率的に動員し、被害を評価して、データのさらなる引き出しを制限できます。また、現在のポリシーと管理を改善して、データ保護を強化することもできます。
プロダクトの概要:
次の表に、このドキュメントで説明するプロダクトと機能を、関連する推奨事項とセキュリティ機能にマッピングします。
| Google Cloud プロダクト | 適用可能な最適化案 |
|---|---|
| Google SecOps |
サイバー防御のあらゆる側面でインテリジェンス機能を使用する: 脅威ハンティングと IoC マッチングを可能にし、Mandiant と統合して包括的な脅威評価を行います。 防御側の優位性を理解して活用する: キュレーテッド検出を提供し、セキュリティ データを一元化して、プロアクティブに侵害を特定します。 防御を継続的に検証して改善する: 脅威検出機能の継続的なテストと改善を可能にします。ミッション コントロールを通じてサイバー防御の取り組みを管理、調整する: 脅威への対応、ログ分析、タイムライン作成のためのプラットフォームを提供します。 |
| Security Command Center |
サイバー防御のあらゆる側面でインテリジェンス機能を使用する: AI を使用してリスクを評価し、脆弱性の優先順位を付け、修復のための実用的な分析情報を提供します。 防御側の優位性を理解して活用する: 包括的なリスク分析、脆弱性の優先順位付け、弱点のプロアクティブな特定を提供します。 防御を継続的に検証して改善する: セキュリティ ポスチャーの継続的な評価とリソースの優先順位付けを行います。管制センターを通じてサイバー防御の取り組みを管理、調整する: サイバー防御オペレーションを管理、調整するための中央ハブとして機能します。 |
| Chrome Enterprise Premium |
サイバー防御のあらゆる側面でインテリジェンス機能を使用する: 情報漏洩のリスクからユーザーを保護し、マルウェアを防止して、安全でないブラウザ アクティビティを可視化します。 防御側の優位性を理解して活用する: データ保護、マルウェア防止、拡張機能の制御により、エンタープライズ デバイスのセキュリティを強化します。 防御を継続的に検証して改善する: データの引き出しリスクとマルウェアに対する防御を継続的に更新することで、新しい脅威や進化する脅威に対処します。Mission Control を通じてサイバー防御の取り組みを管理、調整する: きめ細かいアクセス制御など、機密性の高いリソースへのエンドユーザー アクセスを管理、制御します。 |
| Google Workspace | Mission Control を通じてサイバー防御の取り組みを管理、調整する: 機密リソースへのエンドユーザーのアクセスを管理、制御します。これには、きめ細かいアクセス制御も含まれます。 |
| Network Intelligence Center | サイバー防御のあらゆる側面でインテリジェンス機能を使用する: ネットワーク パフォーマンスを可視化し、異常なトラフィック パターンやデータ転送を検出します。 |
| Cloud NGFW | 防御を継続的に検証して改善する: Security Command Center と Google SecOps との統合により、ネットワークベースの脅威の検出と対応を最適化します。 |