平均検出時間（MTTD）はデータアクセスの問題です

ユースケース
SOCの効率性とインシデント調査インテリジェンス

セキュリティオペレーションのメトリクスは、過去10年間でより洗練されてきました。MTTD、MTTR、偽陽性率、アナリストの利用率など、セキュリティオペレーションセンターの運用パフォーマンスは、他のあらゆるビジネス機能と同様の厳密さで測定されています。そして、それらのメトリクスが分析されると、一貫したパターンが現れます。アナリストの時間の不釣り合いな部分が、分析ではなくデータ収集に費やされています。

疑わしいアラートを調査しているアナリストは、複数のソースからログデータを取得し、ユーザーIDレコードを相互参照し、関与したシステムのアセット情報をチェックし、関連エンティティに関する以前のアラートを確認し、ソース間でタイムラインデータを相関させる必要があります。これらのデータ取得のそれぞれは、異なるクエリ、異なるシステム、異なる構文を必要とします。

ほとんどのSOCで平均検出時間（MTTD）が停滞する理由

セキュリティオペレーションのリーダーは、この問題に対処するためにSIEMプラットフォーム、SOAR自動化、脅威インテリジェンス統合に投資してきました。これらの投資は実際の改善をもたらしました。しかし、それらが解決していないのは、根本的なデータ断片化の問題です。調査に関連する質問の権威あるバージョンが、互いに通信するように設計されていなかったシステム間でデータを結合する必要がある場合、アナリストが統合レイヤーになります。

インシデントに関するあらゆる質問を秒単位で回答できるレベル2アナリストは、各部分の情報を取得するために3つのシステムをクエリしなければならないアナリストの5倍の分析を行っています。

SOC調査のためのGenieとLakewatch

Genieは、Lakewatch内のエージェントインターフェイスとして機能し、Anthropic Claudeモデルの高度な推論を活用して、エージェントベースのセキュリティオペレーションを提供します。Claudeの推論機能を統合することで、Lakewatchはセキュリティ、IT、ビジネスデータにまたがる複雑な信号を数秒で相関させることができます。これにより、アナリストは、データを検索するだけでなく、調査のコンテキストを理解して、手動のワークフローよりも高速に高忠実度の脅威を表面化させる防御セキュリティエージェントを展開できます。

GenieはLakewatch内のエージェントインターフェイスとして機能し、アナリストが人間参加型から人間主導型へと移行できるようにします。複雑なSQLを記述したり、独自の検索言語を学習したりする代わりに、アナリストはGenieを使用して、数秒でペタバイトのデータを検索、要約、相互参照できる自律エージェントをオーケストレーションします。

Genieにより、セキュリティオペレーションチームは、セキュリティデータ環境全体で自然言語で調査に関する質問をすることができます。アナリストは、「過去7日間のユーザーXのすべての認証イベント、アクセスしたシステム、機密データストアへの関連ファイルアクセスイベント、およびEDRからの関連アラートを表示してください」と質問できます。その調査の統合は、単一の会話型応答で表面化します。

MTTDの計算：200日から数分へ

MTTDの削減は単なる目標ではありません。それは生存要件です。Databricksの共同創業者兼CEOであるAli GhodsiがRSA基調講演で強調したように、私たちは脅威ランドスケープにおける大規模な世俗的シフトを目撃しています。Zero Day Clockによると、2018年にはCVEから悪用可能なエクスプロイトまでの平均時間は2年以上でした。今日、そのウィンドウはわずか1.3日に短縮されました。

この1.3日のエクスプロイトウィンドウは、従来のSIEMにとっての「アーキテクチャ上の行き止まり」です。最近のデータは、中央値の侵害検出時間が劇的に短縮されたことを示唆していますが、その中央値は、可視性のギャップのために数ヶ月間検出されないままの洗練された脅威の「ロングテール」をしばしば覆い隠しています。人間だけでは、この武器化のスピードについていくことはできません。私たちは、防御側がまだ手動のワークフローと、データの最大75％を破棄することを余儀なくさせる「セキュリティ税」に制約されている一方で、どこでも攻撃するAIエージェントの群れに直面しています。

群れと戦うには、群れが必要です。LakewatchとGenieは根本的な変化を表します。Lakewatchは、データが存在する場所にネイティブに検出、トリアージ、調査を自動化する防御エージェントの群れを展開します。私たちは人間ペースのトリアージから機械速度の防御へと移行し、防御者を指揮してエンタープライズ全体で自律的な防御をオーケストレーションできるようにします。

DATABRICKS GENIE · 主要な差別化要因
データのために構築され、ルールによって管理され、あらゆるビジネスリーダーに応答します。

• 統合されたセキュリティデータレイク：すべてのセキュリティテレメトリを1か所に — SIEM、EDR、NDR、IAM、CSPMデータを単一のクエリ環境で。
• タイムライン再構築：Genieはデータソース全体でイベントの時系列を組み立てることができ、インシデント再構築の手作業を削減します。
• エンティティコンテキスト：イベントデータの横に常にユーザー、デバイス、アプリケーションのコンテキストが利用可能 — 調査は自動的に強化されたコンテキストを取得します。
• アナリストレベルのアクセス制御：ジュニアおよびシニアアナリストは、役割に応じたデータにアクセスします — 調査機能は適切なガバナンスとともにスケールします。

Genieがあなたのチームに何ができるかをご覧ください

Databricks Genieは本日よりご利用いただけます。業界の同業他社がどのようにそれを使用して、データへのアクセス方法とデータに対するアクション方法を再考しているかをご覧ください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事