豊富なワイヤ・データの洞察をシンプルで強力な自動化と融合
ExtraHopのネットワークでの検知と対応（NDR）には、ネットワークに対する無類の可視性、あらゆる資産の自動的な検出と分類、暗号化通信を含むすべてのトランザクションの100 Gbpsでの分析を提供する機能が備わっています。このデータをPhantomで使用し、他のツールと統合して調査と対応措置を自動化することで、より迅速かつ効果的なセキュリティ運用を実現することができます。
調査の自動化。対応のオーケストレーション。脅威阻止の迅速化。Phantomでは、プレイブックを通じて複雑なプロセスを簡単に自動化およびオーケストレーションできます。プレイブックにより、Phantomユーザは何百もの製品からデータを取得し、シンプルなドラッグアンドドロップ・インターフェイスを使ってプラットフォーム間でデータを送信し、調査と対応措置を自動化できます。以下に、Phantomアプリ向けにExtraHopで利用可能な事前構築済みのプレイブックを示します。独自のプレイブックを作成することもできます。
ユース・ケース
プレイブック
Scan New DNS Servers for Vulnerabilities（新しいDNSサーバの脆弱性をスキャン）
このプレイブックでは、ネットワーク上の新しいDNSサーバを検出してNessus脆弱性スキャンを開始します。不正なDNSサーバであるか、IT部門が新しく設定したDNSサーバであるかにかかわらず、サーバが存在することを自動的に確認して詳細なスキャンを実行できます。
Block External Access to Internal Databases（内部データベースへの外部アクセスをブロック）
このプレイブックでは、ExtraHopが検知した外部からの内部データベースへのアクセスを処理し、対応する外部クライアントのIPアドレスをPalo Alto Networksファイアウォールでブロックします。個人データの流出は大きな懸念であり、ファイアウォールの設定ミスを見落としただけで大きな被害を招きかねません。したがって、このプレイブックでは、ワイヤ・データの力を利用してアクセスをリアルタイムにブロックし、より広範囲にわたる可能性のある外部アクセスの問題に集中するよう通知を行うことができます。
Investigate Data Exfiltration Anomalies（データ流出の異常の調査）
このプレイブックでは、ExtraHopの機械学習によって検知された、ネットワークでデータ流出が発生している可能性を示す異常を処理します。ExtraHopの機械学習による異常検知により、お客様のチームは発生した問題を常に最初に把握できるため、迅速かつプロアクティブな問題解決が可能になり安心です。このプレイブックでは、自動的に調査を開始し、可能性がある機密データ流出に対する初動対応を取ることによって、この処理を実現します。
仕組み
ExtraHop Reveal(x)は、ワイヤ・データを分析して環境内で通信しているすべての資産を検出・分類し、機械学習を使用して通常動作の状態を示す実行ベースラインを作成します。Reveal(x)が提供するあらゆる資産についての豊富なデータは、データベース、ファイル・サーバ、機密データが保存またはやり取りされるすべての場所など、重要と定義された資産に対するより深い分析を可能にします。Reveal(x)なら、重要な資産を操作している人物とその動作を、実行しているDBクエリやファイル操作コマンドまで把握することができます。セキュリティ脅威を示す異常が発生した場合は、その異常が記録されて攻撃チェーンのステップに対応付けられます。このデータをPhantomで使用し、現在の調査プロセスを加速して、時間のかかる面倒なステップや迅速な対応を自動化することで、攻撃を実行中に阻止したり、被害の拡大防止に十分な速度で攻撃を調査したりすることが可能になります。詳細については、ExtraHopとPhantomの統合の概要をご覧ください
Why Wire Data
Wire data provides an unbiased, complete, immutable, and detailed record of all communication in your environment in a way that log data cannot. Applications without logging enabled can still be monitored, and even where logging is configured, ExtraHop captures critical details not included in the logs.
By supplementing your existing data sources with wire data, your SIEM can get complete visibility into everything communicating in your enterprise, enabling it to detect more threats and empowering your incident responders to discover root cause faster.