いいか、セキュリティレポートに「流出速度が4倍に」なんて数字が載っているとき、それは単なるデータじゃない。それは警鐘だ。日々の業務をこなそうとする平均的なビジネスマンにとって、これは自分たちが頼るシステムがますます信頼できなくなり、悪党が巧妙に隙間をすり抜けるのが恐ろしく上手くなっていることを意味する。Unit 42の最新レポートの核心は、新しいハイテク技術にあるのではない。それは、我々の脆弱性が根本的にどう変化しているか、そして我々の防御がそれに追いついているかどうか、という点にあるのだ。
長年、我々はエンドポイントこそがセキュリティの砦だと信じ込まされてきた。もちろん、それは今でも重要だ。しかし、世界はラップトップで止まらなかった。クラウドへと爆発的に広がり、ツタのようにマイクロサービスを伸ばし、ユーザーを十数カ所のリモート拠点に散らばらせた。今や、アイデンティティとアクセス、クラウド資産、OT、IoT、AI——それぞれが独自のセキュリティツールとログを持つこれらの異なる領域は、 gaping holes（すっぽり開いた穴）になりつつある。攻撃者は愚かではない。彼らはこれらのシステムの間の messy seams（整理されていない継ぎ目）を悪用している。それは、家の正面だけでなく、窓やドアを一つ残らずチェックする泥棒のようなものだ。Unit 42は、彼らが見たインシデントの75％で、証拠はログの中にあったが、見つけるのがあまりにも困難だったと指摘している。
見えないピボット：エンドポイントが失敗する場所
考えてみてほしい。攻撃者は、設定ミスのあるクラウドサービスアクセスキーを通じて足がかりを得る。そこから、クラウドホスト型サーバーへとホップできる。エンドポイントログを熱心に見つめているSOCアナリストにとって、この初期侵入からその後の発見フェーズ全体は、完全に正規のユーザーアクティビティに見えるかもしれない。ポフッ。見えない。エンドポイントEDRは、アクションがエンドポイント上にないため、何も見えないのだ。それはクラウド上で、糸を引いている。
次に、アイデンティティ盗難の角度がある。攻撃者は、不正なDNSトンネリングを利用して侵害されたデバイスを制御し、その間にも正規のクラウドアプリへの認証情報を盗もうとする。彼らは、通常のアプリ利用に見せかけた中で、悪意のあるC2トラフィックを隠蔽する。もし君のセキュリティチームが、単にマシン上のマルウェアシグネチャを探しているだけなら、ネットワーク全体、それらのSaaSアプリ全体で発生しているアイデンティティ侵害を見逃していることになる。それはデジタルな煙幕だ。
そして、シャドーITや不正なデバイスについては、もう語るまい。それらはしばしば管理されておらず、エージェントがなく、したがって従来のEDRやSIEMツールからは見えない。攻撃者はこれを愛している。彼らは、ネットワークの忘れられた隅に独自の永続的なツールを仕掛けることができ、君のSOCはそれに気づかないだろう。それは、裏口のゲートを施錠せず、誰も気づかないことを願っているようなものだ。
「エンドポイント検知・応答（EDR）中心のアプローチは、不可欠な要素ではあるが、EDRだけに頼ることは、攻撃者が不可視で移動するために利用するギャップを生み出す。」
この引用は、まさに核心を突いている。EDRが悪いのではなく、EDRだけに頼ることが悲劇への道筋なのだ。我々は、堀が一つしかないデジタルの城を築いており、攻撃者はそれを迂回できることを突き止めた。
なぜこれが開発者やDevOpsにとって重要なのか？
システムを構築する者たちにとって、これは君のコード、君のデプロイ、そして君のクラウド構成が、EDRさえも見ていない可能性のある潜在的な侵入口であることを意味する。設定ミスのあるS3バケットや弱いIAMロールは、エンドポイントの問題ではない。それはクラウドネイティブな問題であり、それを保護するためにはクラウドネイティブな視点が必要だ。「エージェントをインストールしてウイルスをスキャンする」という古いプレイブックは、もはや通用しない。コードリポジトリからデプロイされたマイクロサービスまで、そしてそれらが互いにどのように通信するか（そして何と通信するか）——攻撃サーフェス全体を考える必要がある。
「単一のガラスパネル」という約束は、すべてのセキュリティベンダーのサイレンの歌だ。Palo Alto Networksは、そのUnit 42を通じて、Cortex XSIAMプラットフォームをその答えとして推進している。そのアイデアは、クラウドインフラからアイデンティティプロバイダー、そしてあの不正なIoTデバイスまで、すべてのセキュリティログを一つの中央リポジトリに統合することだ。そしてAIがそれらすべてを消化し、ばらばらのイベントを縫い合わせて、攻撃の包括的な絵を描く。それは、隠されたデータの75％を可視化することだ。
彼らは、AI駆動のSOC、MLベースのインシデントスコアリング、そして異常がエスカレートする前にそれらを捉えるためのユーザー行動分析について話している。もしそれが実現すれば、ここに真の価値があるのだ。
