CASB+機械学習
クラウドサービス時代のセキュリティはどう変わるのか？
株式会社 Imperva Japan
シニアセールスエンジニア© 2016 Imperva, Inc. All rights reserved.

福本淳

02

Who’s Imperva

Impervaについて© 2016 Imperva, Inc. All rights reserved.

ConfidentialImperva Inc.
設立

：2002年

本社：3400 Bridge Parkway, Redwood Shores, CA, US

創業者 ：Shlomo Kramer
現CEO ：Anthony Bettencourt
CTO：Amichai Shulman

従業員数 ：約1000+名事業展開 ：100ヶ国以上、23オフィス
売上
3© 2016 Imperva, Inc. All rights reserved.

：$264.5M（2016）導入実績
5,000＋社のエンタープライズ企業
100,000＋のクラウドユーザー• 275+

政府機関／部門• 400+

Forbes グローバル2000に選出された企業• トップ10の7社

グローバル電気通信事業者

4© 2016 Imperva, Inc. All rights reserved.

• トップ10の5行
米国商業銀行• トップ5の3社- グローバル金融サービス企業- グローバルコンピュータ・ハードウェア企業- グローバルバイオテクノロジー企業- グローバル保険サービス企業

資産をおよび脆弱性を検出

情報を保護

ビジネス・組織活動に不可欠なデータとアプリケーションを守る
規則、法令の遵守© 2016 Imperva, Inc. All rights reserved.

マーケットでの評価（第3者機関）
Webアプリケーションファイアウォール
3年連続唯一のリーダー（～2016）

DDoS対策ソリューション 2016年
提供されている機能で最高の格付け、かつリーダーポジション

データセキュリティガイド 2016年
IMPERVAが、現代に適したデータセキュリティ市場を主導しているリーダー

6© 2016 Imperva, Inc. All rights reserved.

Imperva ビジネスの状況
2016 Excellence inInformation Security
Testing Award2016
Most Innovative
Cloud Security Solution

264.5
234.3

2016
Most Innovative
Data Center
Security SolutionCommunication164.0
DefenseSharePoint

137.8

104.2
FAM

17.7
132.1
239.3

378.3

2014 Global
Web Application
Firewall Market
Leadership Award

55.4

4567

売り上げ ($MM)
7© 2016 Imperva, Inc. All rights reserved.

8910112014 Network World
Asia Information
Management Awards
For Most Promising Data
Protection Solution

株式会社 Imperva Japan
設立：2007年
本社：東京都中央区京橋2-7-14 BUREX京橋

Japan Area Vice President：長坂 美宏
主要パートナー：マクニカネットワークス株式会社
ソフトバンク・テクノロジー株式会社
株式会社ネットワークバリューコンポネンツ（NVC）
ＮＲＩセキュアテクノロジーズ株式会社
CTC、ユニアデックス、NEC、Fujitsu、NTTデータ、KEL、LAC、NS-SOL他

2010年以降、日本国内WAF市場シェアNo.1、および最高の評価

8© 2016 Imperva, Inc. All rights reserved.

What’s CASB

1

9CASBとは© 2016 Imperva, Inc. All rights reserved.

Confidential

クラウドへのデータ移行が進行中
IaaS/PaaSプロバイダ

SaaS やクラウド・アプリケーション

従来型（オンプレミス）データ・センター

50
1© 2016 Imperva, Inc. All rights reserved.

クラウドアプリケーションの普及と死角
生産性、利便性、コストを考えた場合、広く普及しているクラウド・アプリケーションの利用を止められる組織はない

生産性向上(Office 365, Google Apps)

ファイル共有(Box, Dropbox, Google Drive)

ビジネスサポート(Salesforce, AWS, ServiceNow, NetSuite, etc.)

既存のクラウド・アプリケーションで提供する標準機能は、IT管理者にとって、可視化やコントロールの面でセキュリティの死角を創出
311© 2016 Imperva, Inc. All rights reserved.

Cloud Access Security Brokers（CASB）とは？
Cloud Access Security Brokers（CASB “キャスビー”） ← Gartnerが提唱
ガートナーの定義によれば、企業や組織が利用する複数のクラウドサービスに対して、認証／シングルサインオンやアクセス制御、データ暗号化、ログ取得、マルウェア対策といった、一貫したセキュリティポリシーを適用できるクラウドサービスを指す

クラウド
アプリケーション

様々な場所のユーザー

Cloud Access Security Broker (CASB)“ CASB は、クラウドサービスを利用する組織にとって不可欠なセキュリティプラットフォームです ”
https://www.gartner.co.jp/press/html/pr20160711-01.html
2016年の情報セキュリティ・テクノロジのトップ10
12© 2016 Imperva, Inc. All rights reserved.

なぜ、CASBが注目されているか• ITコスト削減に伴い、 SaaSやPaaS、IaaS等のクラウド利用が加速– AWSやAzure等の利用でネットワークインフラコストを8割削減– オンラインストレージの利用でファイルストレージのコストを7割削減– Office365への移行によりオフィスツールやメールシステムのコストを○割削減• SaaSやPaaS、IaaSのメリットを殺さずリスク・コントロールを実現– クラウドの利用状況を監視し、ユーザや機能毎に利用の許可、遮断、アラート等が可能– SSO-IdPとの連携により、エンドユーザの利便性を保ちつつセキュリティを向上• BYOD環境へのセキュリティ対応– クラウドベンダによっては対応できない場合がある

13© 2016 Imperva, Inc. All rights reserved.

Confidential

クラウド・アプリケーションと “Shadow IT” の課題

職員
学生
モバイルユーザー
部外者

クラウド
アプリケーション

誰がどのアプリケーションを利用しているかわからない
クラウド・アプリケーションのリスク評価の方法がない
使用状況を監視・分析することができない
エンドポイントをコントロールできない
クラウド・アプリケーションはハッカーや悪意ある内部関係者の格好の標的となっている
6
14© 2016 Imperva, Inc. All rights reserved.

クラウド・アプリケーションの可視性および統制 - Skyfence

職員
学生
モバイルユーザー
部外者

Cloud Discovery & Governance (API-based)

15

クラウドアプリケーションCloud Audit & Protection (Proxy-based)“Shadow IT” アプリケーションの検出とリスク制御下にないデバイスの検出

クラウド・アプリケーション上の重要データ管理

リアルタイム, 包括的なアクティブモニタリング

非アクティブ・ユーザ抽出のため、ユーザ権限レビュー

DLPポリシー適用によるデータ・アクセスの制御

クラウド・アプリケーションのセキュリティ＆設定を一元的に評価・検証

不審な振舞いの検出 ＆ アカウント乗っ取り防止

SIEM 連携

リスクベースの複数要素認証によるエンドポイント© 2016 Imperva, Inc. All rights reserved.

従来型FW・次世代FW・Skyfence(CASB) 役割と違い
Skyfence(CASB)は業務利用を許可した「クラウドアプリケーション」の操作を識別して制御

次世代型FWはアプリケーションを識別して制御、業務利用を禁止する

従来型FWはポート番号で制御
FW ルール: TCP:80 を許可
WebWeb

従来型FW
DropBoxSkyfence ルール: O365 OneDrive-UPを監査
O365 OneDrive-Sharingを拒否
O365 OneDrive-DLを許可
O365 Outlookを許可

FW ルール: TCP:80 を許可
App制御 ルール: DropBoxを拒否、O365を許可
Web

DropBox

WebWebWeb

次世代型FW
DropBox

O365

次世代型FW
O365

DropBox

App制御 ルール:
DropBoxを拒否
O365を許可
O365

Skyfence(CASB)O365
OneDrive-Sharing

O365
OneDrive-Download& Outlook16© 2016 Imperva, Inc. All rights reserved.

O365
OD-UP

O365
OneDrive-Upload

O365
OD-DL&Outlook

完全な可視化と制御のためのプロキシ構成(3) クラウド・アプリケーションへのアクセスを管理するため、アプリケーションは、Skyfence Gatewayのリクエストに応答(2) Skyfence ゲートウェイがユーザ・リクエストをアプリケーションに転送。
Skyfenceはアクセスを分析し、イベントログを保管し、ポリシー違反にチャレンジを実行、もしくはブロック(1)モバイルや企業ユーザーが有効なIDPにより認証（サービス・プロバイダー/エンタープライズ・ディレクトリ経由）
Identity Provider(SSO infra)

17© 2016 Imperva, Inc. All rights reserved.

••••

Auto-Discovery
Active-sync
Mobile thick apps
Browser-based

クラウド型セキュリティゲートウェイサービス
DBサーバー
ファイルサーバー

DDoS, WAF, DRWebサーバー

DB
ファイアウォール

ファイルサーバ
ファイアウォール

メール

アプリケーションサーバー

メール、エンドポイント

ブラウザ
Webブラウズセキュリティ

エンドポイント
CASB

ユーザークラウド型セキュリティ／ネットワークサービスゲートウェイ
DBサーバー
ファイルサーバー

WebサーバーDB
ファイアウォール

ファイルサーバ
ファイアウォール

メール
SD-WAN
VPN
NGFWWebセキュリティ
CASB

アプリケーション
サーバー

ブラウザ

エンドポイント

ユーザー

2

20

Machine Learning

機械学習による脅威の検知© 2016 Imperva, Inc. All rights reserved.

Confidential現在のIT環境において、特定多数のユーザーによるデータ共有は避けらないユーザーにはセキュリティポリシーやパッチを適用できない過剰かつフラットな情報の海から、異常を特定することの難しさ

ユーザーからの正当なデータアクセスでさえ膨大に© 2016 Imperva, Inc. All rights reserved.

ログの詳細も完全ではなく、他社が発するアラート情報と一致しないことも多い

膨大なセキュリティアラートを選別することは、干草の中の針を探すに等しいトラッキングする方法と範囲
Endpoint host nameで、最適なアルゴリズムと導Operation response time
OS user
き出される結果が変わる
File type File share IP

Server response time

Number of rows

nt IP • User department • User identity • OS user

ユーザーとデータ
Schema の動きを Data sensitivity

File operation

OS user • File share IP • Database user name • U
Client port
IP • User domain •• Client application • Server
File type

IP • Endpoint host name • OS user • Client port

OS userDatabase user name

Table name

SQL operation and type

User domain

OS userユーザー

Server IP
File name
File path• Data sensitivity • File type • Database name • Number of rows • Database error code
Affected rows
Database error codeesponse time • SQL operation and type • Database error code • Schema • File type • Tab
User department
情報漏えい
User identity
ServerIP
File type • Table name • Server response time • File operation • File path • Data sensitivit
Client IP
Table name
Affected rows • File nameSchema• Operation response time • SQL operation and type • Schema
File type
Data sensitivity
データ

データ侵害を識別するための要素

ユーザ

データ

アプリケーション
データへの不審なアクセス

過剰なデータ
ベースレコード
アクセス

サービスアカウントの不正利用トラフィックの増加を抑止したファイル
アクセス

過剰なファイル
アクセス

User identity

User identity

User identity

User identity

Client IP

User department

Client IP

User department

User identity
User department

Server IP

Server IP

Client app

Client app

Database name

Database name

Database name

File operation

File operation

Table name

Data sensitivity

Table name

File path

File path

Data sensitivity

Table name

SQL operation

File name

File name

SchemaSchemaSQL operation type

Folder type

File typeSQL operation

Number of rows

File share name

File share name

SQL operation TypeSQL operation

Operation response
time

25

© 2016 Imperva, Inc. All rights reserved.

User Behavior Analytics(UBA)/User and Entity Behavior Analytics(UEBA)とはDeep Learning/AI技術の発達
ロガー/セキュリティデバイスの浸透
ハードウェアスペックの向上• 集められたログなどをAI/機械学習の技術を用いてユーザを中心に置いた分析を実施• さまざまなエンティティにわたる分析の相関関係によって分析結果の精度を高めるとともに、より効果的に脅威を検知することを目的とした技術

トラフィック情報

各種ログ
コンソール

インプット情報

機械学習・AI
リスク値
予兆分析

26

© 2016 Imperva, Inc. All rights reserved.

フォレンジック ユーザー
調査効率
ベース分析

感染端末の特定

悪意を持ったユーザ特定

アラート

情報漏えいインシデントに至るライフサイクルの理解も必要•
••
•

1

2

3

4

偵察潜入データアクセス・収集

データ送出

マルウェア
感染アカウント痕跡
ログイン失敗27•••

ネットワーク異常
末端間通信
異常ログインパターン•••

過剰なデータアクセス
アプリケーションデータア
クセス
サービスアカウントの不正利用••

外部への異常な通信
ネットワークトラフィックの増加

UBA（User Behavior Analytics）
行動分析 → 行動ベースラインの作成

そのデータベースにアクセスするのは誰か？

どのデータにアクセスするのか？

どのようにデータベースに接続するのか？アクセスデバイ
スはいくつあってどういうデバイスなのか？
28© 2016 Imperva, Inc. All rights reserved.

ユーザーは、一度にどのくらいのデータ量を扱うのか？
組織の平均値はどのくらいか？

同僚は同じ方法、同じデバイスでアクセスしているのか？

Confidential

ユーザーや組織は通常いつ活動しているのか？

Imperva CounterBreach ユーザーとデータのプロファイリング
アプリケーション
アクターの分類

インタラクティブ
ユーザー（人間）
or

サービス
アカウント
アカウントタイプ

個別
DBアカウントor

メタデータ
テーブルの分類29

ビジネス
クリティカルなデータ
or

継続的なデータアクセスモニタリング+=インシデントの検知

次世代ピア･グループ分析• マシーン・ラーニングを活用して、“仮想”ワーキンググループを動的に検知する• Learn：ファイルアクセスパターンを分析して、ピア･グループを学習• Detect： ピア･グループ外のファイルに不適切にアクセスした内部者を検知

マシーン・ラーニングが“仮想”ピア･グループを学習30

AI/機械学習を活用したセキュリティ分析
ネットワーク型アプローチ

SIEM型アプローチ

監査ログ中心アプローチ• ネットワークトラフィック• フロー情報 など• Syslog / イベントログ• NW機器のログ など• Audit ログ• ファイルアクセスログ など

独自エンジン

独自エンジン

独自エンジン

機械学習
AI

機械学習
AI

機械学習
AI

リスク値・予兆分析
拡散活動

31

フォレンジック
調査効率化
偵察活動

データアクセス© 2016 Imperva, Inc. All rights reserved.

ユーザベース
分析
拡散活動

偵察活動

マルウェア感染
端末の特定データアクセス

悪意を持ったユーザ特定
拡散活動

偵察活動

アラートデータアクセス

UBA キル・チェーン・スタディ
どこが重要か？

いつ浸入されたか？

いつデータ侵害されたか？ どのように止めるか？

Imperva の強み:

事前調査

初期潜入

情報アクセス/収集

情報送出

 データを中心とした保護• 重要なデータリソースを中心に保護• 悪意のある内部ユーザが、重要なデータに容易にアクセスできない 事前調査フェーズ• 疑わしい振る舞いを迅速に検知
 データアクセス & 収集フェーズ• 「誰が」「何に」「どのファイルへ」「いつ」「どのように」をリス
ク分析• ブロック/遮断を実行

32© 2016 Imperva, Inc. All rights reserved.

内部からの情報漏えい対策

データベースとファイルサーバー
感染

行動分析
アノマリ検知エンジン

不注意

クラウドアプリケーション

33© 2016 Imperva, Inc. All rights reserved.

異常なデータアクセスパ
ターンを可視化

悪意• データ盗難• アカウント乱用• データの誤った取り扱い• 不審な活動

特権Confidential

本資料について• 本書に記載されている事柄は、予告なく変更されることがありますので、予めご了承ください。
• 本書は「無保証」で提供され、市場性、特定の目的に対する適合性、または第三者の権利を侵害しないことを含むいかなる明示または暗示保証は一切付与されません。Imperva , Inc. (以下「Imperva」といいます) は、本書に含まれる技術的および編集上の誤りと欠落について、また、本書の内容の実行および使用に起因する直接的、付随的、二次的、その他のあらゆる損害について、Impervaは、そのような損害の可能性について事前に知らされていた場合でも、一切責任を負いません。
• 本書には著作権により保護されている情報が含まれています。内部での配布を除き、Imperva, Inc.の事前の書面による許可なく、本書を、いかなる形式においても複写または複製することを禁じます。
• Imperva製品の限定保証については、各製品の付属文書をご参照ください。Impervaは、Imperva製品のみを保証し、他社製品は一切保証いたしません。
• 本書に記載されているその他のすべての商品名は、該当する各社の商標または登録商標です。
Copyright © 2017 Imperva, Inc., 3400 Bridge Parkway, Suite 200 Redwood Shores, CA94065 United States All rights reserved.
© 2016 Imperva, Inc. All rights reserved.