- ライター：尾山 和宏
- ネットワン入社以来、セキュリティ製品の担当として、ベンダー製品の評価・検証・技術サポート業務に従事。CISSP#502642、CCIE Security#64214。第3回 シスコテクノロジー論文コンテスト 最優秀賞。
目次
はじめに、Cisco XDRとは？
XDR とは、「Extended Detection and Response」の略称です。XDRの定義や解釈にはベンダーによって振れ幅がありますが、Cisco XDRではセキュリティオペレーションにおけるビジネスニーズの観点からXDRに求められる要素を以下のように定めています。
1.早期の検出
2.インパクトの優先付け
3.調査時間の短縮
4.レスポンスの加速、自動化
5.資産の可視化
上記の求められる要素に基づいてCisco XDRではインシデント生成、調査、レスポンスの自動化、アセット可視化などの機能が実装されています。今回はこれらの機能を実際に試してみた結果をお伝えします。
インシデントの生成
インシデントの生成はCisco XDRの肝となる機能です。Cisco XDRでは様々なセキュリティ製品からログやテレメトリを取り込んでAI、MLを活用した分析を実施しインシデントを生成します。インシデントは検出リスク（最大100）と資産価値(最大10)を掛け合わせたリスクスコア（最大1000）によってインパクトの優先付けがされています。以下の図ではAttack Chain 2がリスクスコア1000で最も優先的に対応すべきインシデントとなっています。(図1)
－図１－
インシデントを展開するとインシデントに紐づけられた一連のセキュリティイベントや使用されたMITRE Tactics、関連するアセットやファイル、URLなどの相関図などが確認できます。また、Cisco製品だけではなくサードパーティ製品からのセキュリティイベントも含めたインシデントが生成できる点もCisco XDRの特徴となっています。今回、特定の端末でポートスキャンやUACのBypassなど各種攻撃を実施してみましたが、それらが一連のAttack Chainとして検出されることが確認できました。（図2）
ー図2－
調査
Cisco XDRでは発生したインシデントからの受動的な調査だけではなく能動的な調査を行うことも可能です。具体的な方法としてはInvestigate画面からIPアドレス、ドメイン、ハッシュ値を入力することでXDRと連携した様々なセキュリティ製品からのログ、テレメトリ情報を抽出し、関連するイベントやアセット、IPアドレス、ドメイン、ハッシュ値、ファイルなどの相関図等を表示することが可能です。
これによって組織内の端末が特定のIPアドレスにアクセスしていないか、特定のハッシュ値を持つファイルが組織に入り込んでないか、いつ、どのような経路で感染したのかといった調査が可能となります。以下の図はEicarファイルのハッシュ値を元に検索をかけた結果です。対象のアセットや相関図、マルウェア検出イベントなどが表示されています。（図3）
－図3－
レスポンスの自動化
Cisco XDRではレスポンスの自動化機能としてWorkflowが存在します。これによってエンドポイント製品による端末の隔離やゲートウェイ製品へのカスタムURL（ブロックリスト）の追加、コミュニケーションアプリへのメッセージの通知など様々な自動化が可能となります。
一からWorkflowを作成することもできますが、ある程度デフォルトでWorkflowが用意されているため単純な自動化であれば簡単に実装することができます。今回はデフォルトで用意されている「XDR - Contain Incident: Assets」Workflowを用いてエンドポイントの隔離をXDRの画面から実施できることが確認できました。（図4）
－図4－
アセット可視化
アセットの可視化では各種エンドポイント製品などから収集したエンドポイントの統計情報や一覧表示、詳細情報を確認することが可能となっています。また、エンドポイントの資産価値（1~10）を設定することが可能です。重要なサーバなどに高いスコアを与えることでインシデント発生時のリスクスコアに反映させることができるため、インシデント発生時のインパクトの優先付けに役立ちます。（図5）
－図5－
まとめ
今回はCisco XDRの代表的な機能を試してみることでCisco XDRの実際の効果を体験することができました。以前にCisco SecureXの記事を書いていますが、SecureXと比べてインシデントの生成機能が追加されたのが一番大きな違いと感じました。また、イベントの見え方や相関図も分かりやすくなっており細かい部分で使いやすくなっています。Cisco XDRは今後もAIアシスタンスやIDTR(Identity Thread Detection & Response)など各種機能拡張が予定されているため、これからも注目していければと思います。本記事がCisco XDRの理解の参考になれば幸いです。
※本記事の内容は執筆者個人の見解であり、所属する組織の見解を代表するものではありません。
