Extended Detection and Response (XDR) ソリューション構築で鍵となった点は、「優れた XDR に必要なのは最高のデータである」ということです。
Sophos XDR はデータを軸に構成されたデータドリブンソリューションです。適切な脅威検知、調査、対応を実現するため、多様な側面から、総合的で正確なデータを提供しています。これを実現するのが、データの範囲、広範なソース、高品質のデータです。
データの範囲
Sophos XDR は、90 日間分の豊富なオンデバイスエンドポイントデータとサーバーデータを、自社のデータレイクにある 30 日間分の製品横断的なテレメトリと共に使用します。これによりオンライン、オフライン両方のデバイスに対し、広くて深い、コンテキストに基づくインサイトを提供します。
なぜオンデバイスデータとデータレイク両方のデータが必要なのでしょうか。それは、この 2 つのデータが互いを補完することで、ステルス性の高い、危険な攻撃に対処するためです。
オンデバイスデータは、エンドポイントやサーバー上で今起きていることをライブ表示します。さらに、90 日間まで遡り、過去のアクティビティの非常に詳細な (データレイクが通常保持している情報よりもはるかに詳細な) 記録も表示します。
すべての重要な情報とイベントが記録されます。これには、スレッドレベルのプロセス情報 (起動、停止、親、子)、レジストリの変更、実行中のプログラム、システムイベントなど多くの情報が含まれています。
データレイクには、保護領域全体の情報を関連づけることでインシデントを検知できるなど、独自のメリットがあります。
また、オンラインとオフライン両方のデバイス (攻撃時にオフラインになった可能性があるデバイスも含む) に対してクエリを実行できることも重要です。しかし、クラウドリポジトリに保存されているデータは常に過去のものであるため、リアルタイムの情報ではありません。
そこでこの 2 つのデータタイプが連携します。データレイクは俯瞰的な視野を提供し、オンラインとオフラインのデバイス両方から保護領域全体のイベントを関連づけるのに役立ちます。そこから稼働中のシステムにピボットし、業界で最も豊富なオンデバイスデータセットにアクセスして、今何が起きているのか、あるいは過去 90 日間に何が起きたのかを正確に把握することができます。
オンデバイスのデータとデータレイクに格納された情報を融合させることで、幅広い範囲のデータを得ることが可能となり、見落しがありません。
データソース
Sophos XDR は、エンドポイント、サーバー、ファイアウォール、電子メールのネイティブなセキュリティ機能を同期する、最初でただひとつの XDR ソリューションです。近日中にモバイル、クラウドとも統合されます。
このような幅広いデータソースによる恩恵は、エンドポイントやサーバーの可視性にとどまりません。インシデントの検出や調査の際に、全体像を把握する役にも立ちます。
例えばファイアウォールのデータを利用して、管理対象外のエンドポイントからの不審なトラフィックを特定したり、フィッシング攻撃の疑いがある場合に、悪意のあるドメインへのさらなるトラフィックがあるかどうかを調査したりすることができます。
Sophos XDR 対応のコンポーネントがあれば、すべてのデータソースがすぐに統合されます。独自のカスタムインフラストラクチャを作成する必要もありません。
データの品質
脅威の検知と対応を行う場合、大量のデータが入手できることは、必須条件の一つに過ぎません。
むしろ膨大な量のデータは混乱の元にもなり得ます。本当に必要なのは高品質なデータです。
Sophos XDR は、多くの高品質なデータを提供します。つまり、強力でノイズの少ないシグナルによって、より的確な検知が可能になっています。これは、Sophos XDR が世界最高のエンドポイントプロテクションである Intercept X を土台として構築されているためです。
Intercept X は、アナリストにとって余計なアラートを起こす原因である多くのノイズをフィルタリングし、本当に必要な情報に集中できるようにします。
また、Sophos XDR はデータの質をさらに向上させるために、SophosLabs と Sophos AI チームによるインテリジェンスをはじめとして、データを適切に解釈するためのコンテキストを提供します。
Sophos XDR は 5 月 19 日から利用可能になりました。詳細については Sophos.com/XDR をご覧ください。