機械学習が解決するネットワークとセキュリティの分断問題：イベントレポートアーカイブ（3/3 ページ）

[土肥正弘，ドキュメント工房]

マカフィーのSIEMとの連携

山野 修社長

　2017年4月にインテルから分社した新生マカフィーは、今後エンドポイントだけでなく、クラウドセキュリティも含め、セキュリティオペレーション全体の運用向上を目指すという。脅威情報の交換フォーマットのオープン化（OpenDXL）や業界内の各種アライアンスなど、セキュリティの世界のオープン化と協働に積極的だ。

　Arubaとの連携では、ClearPassからマカフィーのSIEM「McAfee ESM」にデータを渡して可視化と分析を強化できる一方、SIEMによるセキュリティログ監視により、隔離すべき端末があればClearPassに通知して接続を遮断、検疫ネットワークへの接続などができる。このとき同社の統合セキュリティ管理製品「McAfee ePO」（McAfee ePolicy Orchestrator）を利用することも可能だ。

　デモでは、ClearPassで管理するデバイス情報などをSIEMで可視化、管理できる様子やSIEMがセキュリティログを分析、高リスクなインシデントを発見したらClearPassに通知し、それをトリガーに高リスク端末を隔離する場面が実演された。

SIEMからの情報をもとにセキュリティリスクのある端末を隔離

IntroSpect UEBAの紹介デモ

　IntroSpect UEBAの概要も紹介された。これはユーザーのさまざまな行動を記録し、リスクの程度を、AI技術を用いて点数化するツールだ。累積点数の高いユーザーに事情を聞いたり注意を与えたりするとともに、突然スコアが上がったユーザーの場合は、なりすましやウイルス感染の可能性があると見なしてひとまず端末を隔離して、行動を確認するようなアクションもとれる。デモでは、リスクスコアがグラフ表示され、アラートの発生時に何をしたのかが分かるようになっている。

IntroSpect UEBAのリスクプロファイル画面

外部に大サイズのデータが送られた場合

サマリー画面の例

　今回のフレームワークにより、無線、有線ネットワーク全体と、エンドポイントを含めてインシデントへの迅速な対応ができるようになれば、「真の多層防御」に向けた取り組みが容易になりそうだ。

　なお、360Secure Fabricの導入に関しては、同社の「HPE Pointnext サービス」が利用できる。目標設定から診断、プラン作成、導入まで担当できるようだ。

　また、HPEでは、同社社屋内に、各ベンダーの機器が使える検証用環境を構築し、エンドユーザーにも見てもらえるデモ環境も用意した。ネットワークベンダー、セキュリティベンダー、そしてユーザーが協働して、さらなるセキュリティ強化を検討できる場ができた。