Akamai Huntでセグメンテーションを強化し続ける（後編：強化ポリシー提案）

本記事の3行サマリ

• Akamai Huntサービスでは、ポリシー最適化だけでなく、お客様環境のトラフィック分析に基づいたセグメンテーション強化の提案を行っている

• セグメンテーション強化のユースケースとして4例を紹介：4. デフォルトで許可されている管理系通信、5. インターネットへの管理系通信、6. Remote Access Tool (RAT)による通信、7. 未使用の組織内ネットワーク通信パス

• 実トラフィックに基づいて管理系・RAT通信を制限したり、未使用の通信パスを遮断したりすることで、お客様環境に合った形でセグメンテーションを強化できる

はじめに

セキュリティアーキテクトの齊藤です。Akamaiマイクロセグメンテーション製品のAkamai Guardicore Segmentation(AGS)の導入支援をしています。
AGSでは、オプションとして、マネージド脅威ハンティングサービスAkamai Huntを提供しています。Akamai Huntを使用することで、セキュリティ脅威の迅速な検知・対応が可能です。
前回記事では、お客様AGS環境のポリシー最適化に焦点を当てたユースケース3つをご紹介しました。本記事では、お客様環境のトラフィック分析に基づいてセグメンテーションを強化するルールの提案に焦点を当てたユースケース4つをご紹介します。
4. デフォルトで許可されている管理系通信
5. インターネットへの管理系通信
6. Remote Access Tool (RAT)による通信
7. 未使用の組織内ネットワーク通信パス
（この記事はAkamai Blog 記事「From Good to Great: Mastering Day-2 Network Security Policy」の主に後半部分を日本語抄訳したものです。）

4. デフォルトで許可されている管理系通信

デフォルトで許可されている管理系通信は、他ポリシーをバイパスする設定になっていることも多く、セキュリティリスクとなる恐れがあります。そのため、デフォルトで許可されている管理系通信全てを対象にトラフィックパターンを分析し、業務上必要な通信のみを許可するといった、ルールの詳細化が必要です。
Akamai Huntの検出エンジンでは、デフォルトで許可されている管理系通信を抽出し、ルール詳細化の推奨案を提示します。ルールの変更はネットワークを中断もなく、管理系通信の迅速なセグメンテーションが可能です。これにより、アタックサーフェスを減らしつつも、お客様環境に合った運用ニーズを満たすことができます（図 1）。

5. インターネットへの管理系通信

管理系通信の宛先にインターネットを許可すると、組織内の機密システムが外部の脅威にさらされる、データ漏洩の恐れがある等、重大なセキュリティリスクとなります。管理系通信のインターネットアクセス許可は、過度に許容範囲が大きいルール（前回記事）や初期設定が残っている等により発生することが多く、実際は許可が不要な場合が多いものです。
対応手順としては、まず、インターネットにアクセスできる管理系システムを全て特定し、インターネットへのアクセスの必要性を評価します。その上で、管理系通信のインターネットアクセスを遮断する、あるいは信頼できる送信元・宛先に限定する、といったルールを適用します。
例えば、業務上必要な通信が発生しないのであれば、図のようにポート単位で通信を遮断するルールを適用することで、不要なインターネットへの露見を防止し、管理システムのセキュリティの強化が可能です（図 2）。

6. Remote Access Tool (RAT) による通信

Remote Access Tool（遠隔操作ツール、RAT）は、業務目的の使用があったとしても、管理を誤るとセキュリティリスクとなる恐れがあります。RATから機密システムへのアクセスがセグメンテーション等で制御されていなければ、ラテラルムーブメント等で攻撃者に悪用される可能性があります。
RATの利用を管理するには、お客様環境内で利用があるRATを全て特定し、トラフィックパターンを分析します。分析では、過度な権限付与はないか、インターネットアクセスの許可はないか、想定されない宛先への通信が発生していないか、等に着目します。その上で、RAT通信を特定のIPアドレス、ポート、プロトコル、業務に必要なRATに制限します。
Akamai Huntでは、お客様環境に存在する全てのRATをリストアップして提供しています（図 3）。このリストには、新規で検出されたRATも、既に検出されたことのあるものも両方含まれます。さらに必要に応じて、RAT通信用のセグメンテーションポリシーの提案も行っています。

7. 未使用の組織内ネットワーク通信パス

ゼロ・トラストの概念に基づくと、デフォルトで許可するよりも遮断する状態が、より強いセキュリティを達成できます。組織内で使用されない通信パスを遮断することで、もしもサイバー攻撃が発生したとしても、その影響範囲を最小限に抑えることができます。
Akamai Huntでは、ラベルが割り当てられた資産が存在するにも関わらず、お客様環境内で通信の発生がないラベルを特定します。そこから、資産の内容と各ラベル内の資産の数に基づいて、遮断を推奨する未使用の通信パスを提示します（図 4）。

まとめ

本記事では、お客様環境のトラフィック分析を行い、セグメンテーションを強化できるルール提案を行うユースケースを4つ紹介しました。前回記事・今回の記事で紹介したアプローチで、お客様がセグメンテーションを強化し、進化し続ける脅威に先手を打つことが重要です。
Akamai Huntでは、お客様環境の実トラフィックの監視・分析を行っています。さらに、セキュリティ脅威の検知だけでなく、前回記事でご紹介したポリシー・ルールの検証・最適化、お客様の環境に合ったセグメンテーション強化も提案しています。
Akamai Huntが、お客様AGS環境のセグメンテーション最適化のお役に立てれば幸いです。

リンク
Akamai Hunt