Hughes Federal Credit Unionのサイバーセキュリティ管理者ジュディ・マヨラーは、小規模チームが手動調査やベンダー文書だけでは十分に情報に基づいたセキュリティ判断を下すには不十分であることを認識し、 Recorded Futureのリアルタイムインテリジェンスを発見しました。

ゴール

正確で広く情報源のインサイトをより早く得られ、多数のベンダーとの関係で組織が急速に拡大する中で、小規模なセキュリティチームが機敏さを維持できるようにします。

課題

ヒューズ氏は、急速な成長が小規模なチームを圧倒する中、重要なことを優先するための信頼できるセキュリティ インテリジェンスを欠いていました。 ベンダー評価は直感に基づいていました。彼らは安定性やリスク露出、ベンダー情報がダークウェブに現れるかどうかをRecorded Futureなしで確認できませんでした。

成果

Third-Party Intelligence 数値化されたサイバーリスクスコアを提供し、情報漏洩/侵害過去のベンダーを明らかにします。 IBM QRadarの統合により、リスクスコアやカスタマイズされたアラートでSIEMデータが充実します。Brand intelligence 詐欺が発生する前に6つの年間 タイポスクワッティング ドメインと疑わしいBINを検出します。 Vulnerability Intelligence 優先順位を付けるパッチはNVD公開の数日前に行われ、 Analyst-On demand はボード対応のレポートを届けます。

もともと1952年に設立されたHughes Federal Credit Unionは、アリゾナ州のツーソン地域にサービスを提供しており、現在166,000人以上の組合員と19億ドル以上の資産を擁しています。

Hughesには、サイバーセキュリティ管理者であるJudy Mayoral氏、サイバーセキュリティ担当副社長、およびセキュリティアナリストで構成される比較的小規模のセキュリティチームがあります。つまり、実務作業の多くはMayoral氏とアナリストによって実行されることになります。組織の急速な成長により、セキュリティチームは、重要なことに優先順位を付けるための信頼できるセキュリティインテリジェンスを提供するソリューションを探すようになりました。チームは、日々流入する膨大な量の多様なデータをより効率的にふるいにかけるために、Recorded Futureインテリジェンスプラットフォームに目を向けました。

Mayoral氏が指摘するように、ソリューションの導入は組織に大きなメリットをもたらしました。「Recorded Futureは、調査対象が現行の脅威なのか、過去の脅威なのか、また優先すべきものなのか、それほど重要視しなくてよいのかを判断するのに役立つため、非常に貴重です。当社では、業者の選定や管理などの調査目的にも使用しています。会社が急速に成長を続ける中、機敏に状況を把握し、対応していく必要がありますが、Recorded Futureのおかげでこれが可能になります。」

ベンダーリスクの正確な評価

Hughes Federal Credit Unionは多数のベンダーと関係を築いています。この組織の事業の中核は、クレジットユニオンを通じて顧客の購入資金の調達を考えている自動車ディーラーと協力することです。実際、これは彼らのビジネスの約70%を占めています。自動車ローン関連エンティティとは別に、Hughesはソリューションプロバイダー、ベンダー管理ソフトウェア会社、CiscoやIBMなどの技術ベンダーと提携しています。さらに、クレジットユニオンは合併または買収を検討している企業の評価も行います。

ヒューズ社は、取引したい新規ベンダーを選定する際に、適切なデューデリジェンスを実施するよう努めている。「私たちの時間の多くは、ベンダー契約に関して、十分な情報に基づいたリスクベースの意思決定を行うことに費やされています。」市長の発言。「だからこそ、私たちはRecorded Futureに頼っているのです。」

Recorded Future以前は、ベンダー評価プロセスは主に直感や信頼に頼っていました。ベンダーがHughesにアプローチすると、信用組合は彼らを知り、ビジネスの感触をつかみ、セキュリティオペレーションセンター（SOC）の文書やデューデリジェンスパッケージを確認していました。その情報に基づいて、信用組合は、定量的リスク評価のために第三者にエスカレーションするか、関係を築くか、取引関係を築かないかなど、次のステップについて決定を下します。

「ベンダーを評価する際に私たちに欠けていたのは、企業の安定性と外部に抱えるリスクに関するデータでした。Recorded Futureの活用を本格的に始めたところ、これまで取引してきた一部のベンダーが高リスクで、すでに侵害されていることが判明しました。たとえば、彼らの情報がダークウェブ上にあることが判明したのです。Recorded Futureからのインサイトがなければ、私たちはそれを知ることはできなかったでしょう。今では、公開されていたり、ダークウェブに明らかになったりしたセキュリティ上の問題がベンダーにあったかどうかを特定できます」とMayoral氏は言います。

Recorded Future Third-Partyのモジュールは、ベンダー、パートナー、その他のサードパーティに数値化されたサイバーリスクスコアを割り当て、推測を排除します。Mayoral氏は、Hughesが取引するベンダーを常に注意深く監視し、侵害、潜在的な脆弱性、ランサムウェア、認証情報の侵害、その他のセキュリティ課題がないかチェックしています。

Hughesの環境に直接アクセスでき、情報漏洩が発生した場合にビジネスにリスクをもたらすようなコアベンダーやサービスプロバイダーについては、Mayoral氏はRecorded Futureを使用してユーザー名を追跡しています。彼女のチームがダークウェブでそれらのユーザー名を見つけたら、ベンダーに通知し、さらなる調査と修復を行えるようにします。

「Recorded Futureから問題があると警告された場合は通常、そのベンダーとは取引を避けるべきか、取引する際に特別な注意を払う必要があることを示しています」とMayoral氏は断言します。

脆弱性管理によりベンダープロファイルが充実

Recorded FutureのVulnerability Intelligenceを使用することで、Mayoral氏と彼女のチームは、信用組合のベンダーとパートナーがゼロデイ攻撃やその他の脅威に対して脆弱であるかどうかを判断できます。Recorded Futureは機械学習を活用し、オープンウェブ、ダークウェブ、技術情報源からのリアルタイムデータに基づいて、脆弱性が悪用される可能性を評価します。これにより、Mayoralと彼女のチームは、米国国家脆弱性データベース（NVD）に公開される数日前に脆弱性を優先順位付けし、対応することができます。

2021年12月に発見されたApache Log4jの脆弱性は、複数の業種にわたる多数の企業に影響を与えたゼロデイ脆弱性の明確な例です。これにより、リモートの攻撃者がシステムを乗っ取ってマルウェアをインストールしたり、ペイロードを実行したり、データを盗んだり、システムに損害を与えたりできるようになります。幸いなことに、HughesはLog4jに対して十分に備えていたため、他の多くの組織のように打撃を受けることはありませんでしたが、クレジットユニオンでは第三者が被害を受ける可能性を懸念していました。

「Recorded Futureは、私たちが取引する相手がLog4j攻撃に対して脆弱であるかどうかを確認するための充実したレポートとツールを提供してくれます。さらに、他の侵害の指標（IoC）を発見し、脅威アクターが私たちを標的にしているのか、あるいは攻撃しているのかを判断するのに役立ちます」とMayoral氏は述べています。

SIEM統合によりコンテキストが強化され、一層容易な情報アクセスを実現

Recorded Future SecOps Intelligence Moduleの重要な利点は、Hughesに実装されているセキュリティ情報およびイベント管理（SIEM）ソリューションであるIBMのSecurity QRadarとシームレスに統合できることです。Recorded Futureはリアルタイムの情報をQRadarに送り、Mayoral氏とアナリストが迅速かつ自信を持って意思決定を行うために必要な情報を提供します。

Mayoral氏が話しているように、Recorded Futureは「外の世界を見る」ため、Hughesが起こりうる脅威に備えるのに役立ちます。QRadarとRecorded Futureを組み合わせることで、Mayoral氏のチームはSIEMのデータセット全体を充実させることができています。SecOps IntelligenceとQRadarの統合により、各CVE（共通脆弱性識別子）の悪用に関連する実際のリスクのコンテキストを提供するリスクスコアがSIEMデータに付加されます。Recorded Futureのリスクスコアは、CVSSスコアを補完し、Mayoral氏のチームが、脆弱性が悪用される可能性に基づいて、最も重要なセキュリティパッチを優先するのに役立ちます。

統合のおかげで、Mayoral氏とチームはカスタマイズされたアラートを構築できます。「たとえば、社内のユーザーがアクセスしているウェブサイトはファイアウォールを通して許可されているにもかかわらず、Recorded FutureがこれらのURLのリスクスコアが高いと示した場合、私たちに通知が届きます。そうすることで、ウェブサイトに問題がある可能性があることを把握し、アラートを微調整できます。これにより、従業員の行動とアプリケーションの動作を適切に把握できるようになり、両方をより適切に保護できます」とMayoral氏は説明します。

Mayoral氏の直属のセキュリティチーム以外の従業員も、Recorded Futureが提供する強化機能のメリットを得ています。たとえば、インフラストラクチャチームは、セキュリティパッチの適用を実行するときに、QRadarのRecorded Futureデータのガイダンスを使用できます。

この統合を行うだけで、組織内のより多くのユーザーがインテリジェンスに触れ、活用することができ、データを理解できるようになります。

MayoralはThird-Party Intelligenceモジュールを使用して企業のリスクスコアを検索することで、ユーザーがデューデリジェンスやベンダー管理プログラムのプロセスを行う際に役立ちます。

Recorded Futureは、Mayoral氏のチームが信頼できる有能なファシリテーターとして活躍できるよう支援し、Hughes従業員のセキュリティに対する見方を変える取り組みを成功に導きました。ユーザーは、Mayoral氏のチームがセキュリティを理由にプロセスを妨げないことを理解するようになり、Mayoral氏は従業員の心を掴んだのです。従業員からは、悪意のあるサイトやソーシャルエンジニアリングによるフィッシングメールなどの問題が、自発的に彼女のチームにレポートされるようになりました。

自動化がチーム能力の強化につながる

Mayoral氏が述べているように、「Recorded Futureのおかげで、私のチームの能力と効果が倍以上」になりました。

Recorded Future SecOps Intelligenceは、手作業による調査を不要にし、すぐに使える高信頼性の脅威データを提供します。リアルタイムのリスクスコアと情報漏洩/侵害(IoCs)の指標を活用することで、彼女のチームは誤検知を迅速に排除し、優先順位を付けるアラートを行い、必要に応じてトリアージを実施する詳細な調査を行うことができます。

Recorded Future Vulnerability Intelligenceでは、プロセスも自動化されています。これまで、脆弱性スキャンを確認するのは非常に時間のかかる作業でした。Mayoral氏のチームは、ファイアウォールやMicrosoft Windowsツールなど、スキャンされた重要な資産と併せて、すべてのCVEを確認する必要がありました。Recorded FutureはCVEとそれに関連付けられた資産をペアリングするため、特定の資産に対してどのCVEが高リスクであるかを簡単に確認できます。

「Recorded Futureは、私たちに代わって多くの作業を行ってくれます。一つ一つのCVEを詳しく調べて、そのリスクや悪用される可能性を判断する必要はありません。また、CVEとリスクレベルが資産に結び付けられるため、アクションを実行する必要があるかどうかを判断できます。これにより、脆弱性が発生している資産に基づいて注意を払う必要があるかどうかを判断するのに時間を無駄にする必要がなくなります」とMayoral氏は言います。

さらに、『Recorded Future』の情報の深さと幅広さは、チームがより迅速かつ容易にリスクのある場所を特定するのに役立ちます。数十のウェブサイトを手動でフィルタリングするのではなく、URLをRecorded Futureに入力するだけで、すぐにリスクスコアが得られます。
「インシデントがいる時や何かを調べる必要がある時は、一人で対応できます。 そして、この人物は複数の異なるシステムに精通している必要はありません。

彼らが理解する必要があるのは、Recorded Futureのすべてのインテリジェンスを取得し、コンテキストを提供して点と点をつなぐIBM Security QRadarだけです。そうすれば、何かが実行可能なのか、それとも誤検知なのかについて、知識に基づいた決定を下すことができます。これにより、時間の優先順位をより適切に付けることができます。」