サイバーセキュリティにおける異常検出とは?
公開: 2022-10-28異常とは、正常または予想される動作、結果、またはパターンとは異なる動作、結果、アクション、または一連のアクションを指します。 それは、一般的な慣習からの逸脱または逸脱と考えることができます。
上記の行動や行動の識別と検出は、単に異常検出として定義されます。 したがって、予想されるパターンまたは自然なパターンを満たさないアクティビティまたはデータ ポイントを特定することは、異常検出と呼ばれます。 IT 環境の異常を検出するための重要な資産は、記事の後半で説明するゼロ トラスト セキュリティフレームワークです。
サイバーセキュリティにおける異常検出とは?
サイバーセキュリティでは、異常検出は、構造上の欠陥、セキュリティの構成ミス、潜在的なデジタル攻撃の発見に役立ちます。 サイバーセキュリティの異常検出の旗印の下で動作する 3 つの主要なサブセクションがあります。
- 教師なし異常検出:これは、事前の知識がないようなまれなイベントまたはアクティビティの検出です。
- 半教師付き異常検出:ラベル付きの例を使用して、通常の動作からの例外を検出します。
- 監視付き異常検出:この手法は、ラベル付けされたデータ セットを使用して異常を検出します。 ラベルは、異常な動作と正常な動作を区別します。
異常の種類は何ですか?
サイバーセキュリティの脅威を示す一般的な異常には、次の 3 つのタイプがあります。
1.時間異常
予期しない、または異常な時間に発生するアクティビティは、時間の異常と見なされます。 すべてのユーザーに対して、組織内のすべてのアクティビティに特定のタイミングを設定することをお勧めします。
この場合、スケジュールされていない時間に活動が行われるたびに識別されます。 時間の異常の実際の例を次に示します。午前 9 時から午後 5 時までアクティブになるようにスケジュールされている従業員アカウントですが、彼のアカウントは午後 10 時にログインされています。
2.異常をカウントする
ホストまたは従業員によって複数のアクティビティが同時にまたは短期間に実行されると、カウントの異常が観察されます。 管理者は、特定の期間に実行できるアクティビティの数を指定する必要があります。
指定されたアクティビティの数 (ベースライン) を超えると、カウントの異常が観察されたことがシステムに警告されます。 たとえば、ルーターの構成変更の最大数を 11 に設定したにもかかわらず、ルーターで 20 回以上の構成変更が行われたとします。
3. パターン異常
予期しない一連のイベントが発生すると、パターンの異常が観察されます。 これらのイベントが個別に発生する場合、それらは異常な活動とは見なされない可能性がありますが、全体として予想されるパターンから逸脱します。 そのため、「パターン異常」という名前が付けられました。
すべてのユーザーとホストが従わなければならない活動の予想パターンのベースラインを組織内で作成する必要があります。 次に、発生するすべてのアクティビティをベースライン パターンと比較して、パターンに異常な動作があるかどうかを指摘できます。
ゼロ トラスト
現在のハイブリッド ワーク ルーチンでは、企業のデータとアプリへのアクセスを、モバイル ユーザー、サードパーティの契約業者、およびデスクトップ ユーザーに同時に提供する必要があることがわかります。 しかし、潜在的なデジタル攻撃のリスクも高まっています。 ゼロ トラスト モデルでは、タスクを完了するために必要な最小限の権限が許可され、異常なアクティビティが実行された場合は警告が生成されます。
基本的に、ゼロ トラスト モデルは、サイバー環境のすべてのユーザーを平等に扱うサイバーセキュリティ フレームワークです。 組織のリソースとデータへのアクセスを許可する前に、すべてのユーザーが承認され、継続的に検証および検証される必要があります。
ゼロ トラスト フレームワークは、次の原則に基づいて動作します。
1.自動検証
ゼロ トラスト モデルにより、組織は ID 検証および監視システムを自動化できます。 これにより、セキュリティ レベルの高い柔軟性が提供されます。 このフレームワークにより、組織のセキュリティ チームは、消費者の活動に対する緩衝的な対応を準備できます。 つまり、異常が検出されたらすぐにアクションを開始できます。
2. 最小限の権限の割り当て
顧客と従業員は、アクションを完了するために最低限必要なアクセス権のみを取得します。 これにより、セキュリティ チームは脅威をタイムリーに減らし、機密アプリケーションやデータの露出を最小限に抑えることができます。 ゼロ トラスト モデルでは、すべてのエントリ リクエストが承認される前に自動的に徹底的に検査されます。
3.ノンストップモニタリング
セキュリティ チームは、ユーザーと従業員が従う企業データとリソースへのアクセス プロセスを継続的に監視します。 正常なパターンからの逸脱が観察された場合、警告が発行され、脅威の軽減が開始されます。 継続的な監視は、インバウンドおよび外部のサイバー脅威を指摘して阻止するのに役立ちます。
ゼロ トラスト モデルの目的は、高度なサイバー脅威が組織に損害を与えるのを防ぐことです。 ゼロ トラスト フレームワークにより、HIPAA、CCPA、FISMA、 GDPR 、およびその他のデータ プライバシー法への準拠が保証されます。
あなたのビジネスのどの分野がゼロ トラストで保護されますか?
ビジネスは、データ、資産、アプリケーション、およびエンドユーザー/顧客という 4 つの主要コンポーネントに基づいています。
★データ
ゼロ トラスト戦略では、企業データの異常検出、アクセス、許可レベルを管理できます。 さらに、ビジネス環境内で許可されていないダウンロードや情報転送を簡単に特定できます。
★資産
デジタル攻撃者は、クラウドベースのワークロードに加えて、仮想マシン、コンテナー、機能などのビジネス資産も標的にしています。 ゼロ トラスト フレームワークは、このような状況に対処するための適切なツールを提供します。 企業は、重要な資産を特定し、役割ベースのアクセスを使用してアクセス要求を検証することにより、セキュリティへの取り組みに集中しています。
★アプリケーション
アプリケーションの使用状況とアクセシビリティは、実行時に継続的に監視されます。 これにより、セキュリティ チームはユーザーの行動を理解し、設定されたパターンからの逸脱を検出できます。 ゼロ トラストは、使用状況の変化を異常なアクティビティとして扱います。
★お客様
ビジネスの顧客またはエンドユーザーには、パートナー、従業員、およびサードパーティの請負業者も含まれます。 それらはすべて異なるアクセス権と ID を使用し、管理対象デバイスと管理対象外デバイスから企業のアプリケーションとデータにアクセスします。 これにより、ゼロ トラスト セキュリティ モデルで取り組むことができる多くの管理およびセキュリティの課題が生じます。
結論
サイバー世界では、異常は潜在的な攻撃を示しているため、異常を検出することはサイバーセキュリティにとって非常に重要になっています。 デジタル セキュリティの脅威が増大しているため、更新された絶対確実なセキュリティ インフラストラクチャが必要です。 したがって、ゼロ トラスト セキュリティは、IT インフラストラクチャの異常を検出して軽減するための優れた方法です。