不審なファイル操作を、リアルタイムに検知

ファイル操作の監視とは、ファイルサーバー上のファイルに何が起きたか（何が作成、変更、名前変更、移動、削除されたか、誰がいつ行ったか）を記録することです。セキュリティ部門はこれを使って、多数のファイルにわたる変更の急増や、制限された共有からのデータの持ち出しなど、詳しく確認すべき操作を見つけ、後から何が起きたかを調査します。

不審なファイル操作を通知する DataXray のモジュールで、まず NetApp ONTAP に対応しています。チームが作成したルールに操作を照合し、検知ごとにインシデントを作成し、ルールに指定された担当者にメールを送ります。チームには、各インシデントを調査してクローズするための場を提供します。

インシデントをトリアージするセキュリティアナリスト、インシデント対応担当者、ルールを作成する検知エンジニア、何が起きたかを解明するフォレンジックや内部脅威の担当アナリスト、そしてファイル操作が監視され対処されていることを監査担当者に示す評価担当者です。

いいえ。Alerting モジュールは、監視するシステムのそばで単独で動作します。DataXray と併用することもできます。

現在は、FPolicy を介して NetApp ONTAP を監視し、NFSv3、NFSv4、SMB クライアントからの操作に対応しています。Microsoft SharePoint を含むほかのシステムへの対応は、ロードマップに含まれています。

NetApp ONTAP では、7種類のイベントを把握できます。ファイルについては作成、変更、削除、名前変更または移動、ディレクトリについては作成、削除、名前変更または移動です。ファイルの読み取り、オープン、権限の変更は報告しません。元のファイルを残したままのコピーは、コピー先の新しいファイルとして表示されます。

各イベントには、クライアントが報告した Windows SID または UNIX ユーザー ID が記録されます。Active Directory を接続すると、モジュールはそのユーザー、グループ、コンピューターの読み取り専用のミラーを保持し、15分ごとから24時間ごとの間隔で同期するため、各 SID を名前に解決できます。

NIST CSF 2.0 の検知（Detect）機能にある2つの成果を支援します。潜在的な有害事象を見つけるために操作を監視すること（DE.CM-03）と、イベントが定められたインシデントの条件を満たしたときにインシデントを宣言すること（DE.AE-08）です。各ルールには、緊急から低まで、CISA の5段階の重大度のいずれかを設定します。モジュールはこれらの成果を支援するものであり、認証ではありません。

共有内で30秒間に5件の変更といったカウントルールを使えば、大量の暗号化で生じる変更の急増を捉え、進行中にインシデントを作成できます。

はい。ルールを使えば、1つのアカウントが、制限された共有内で短時間に多数のファイルを削除、移動、名前変更したことを検知できます。各インシデントには、すべてのイベントの背後にあるアカウントが表示されるため、誰が何をしたかをチームで確認できます。各ユーザーの通常の操作に基づくルールは、ロードマップに含まれています。

現時点では使っていません。すべてのインシデントは、チームが作成したルールから生まれるため、各アラートを説明できます。機械学習と、調査を迅速化するための AI による支援は、ロードマップに含まれています。

いいえ。モジュールはインシデントを検知してメールを送り、その後の対応はお客様のチームが判断します。インシデントが自動でクローズされることはありません。

各インシデントは、検知時に、お客様のメールリレーを通じて1通のメールを送ります。メールには、ルール、重大度、一致したイベント、発生日時が記載されます。ほかの宛先にアラートを届けたい場合は、ご相談ください。Slack、SIEM、チケット管理キューへのインシデントの送信はロードマップに含まれており、チームがすでに使っている場所にアラートが届くようになります。

はい。Alerting モジュールはエアギャップ環境で動作し、ファイル操作の記録はお客様のサーバーにとどまります。FIPS への対応はロードマップに含まれています。

Alerting モジュールは、Docker Compose、または RHEL 8 互換ホスト上のルートレスの Podman を使って、1台の Linux ホストに導入します。インストーラーには、Alerting サーバー、NetApp ONTAP コレクター、PostgreSQL データベース、OpenID Connect によるサインインのための Keycloak が含まれます。

はい。ルール、重大度、カテゴリ、宛先は、チームが監視する共有に合わせて設定します。まだ対応していない機能が必要な場合は、ご相談ください。