C＆C通信を機械学習で検出--Windowsログから潜伏活動を検出
新版では、ログ分析とパケット分析の両方を強化し、より迅速に標的型攻撃を発見できるようにした（図2）。具体的には、機械学習などを活用することで分析と検知を自動化させている。運用管理者の人手を介することなく検知できるようになった。
図2：新版ではC＆C通信や潜伏活動の検知を自動化するなど強化を図った
- TechRepublic Japan関連記事：今必要なのはセキュリティコックピット--再注目されるSIEMの意義
- インシデント発生時に迅速、正確に原因を突き止める“第3世代”SIEM--EMCジャパン
- スキーマ不要でログを収集、検索、分析するSIEMの次世代性--Splunk
- 検知後の行動も定義、“グレー”な振る舞いを見極めるSIEMの分析力--HPE
- “マグニチュード”で危険度を数値化するSIEMのインテリジェンス--日本IBM
- セキュリティ対策をライフサイクルで捉えるこれからのSIEM--マカフィー
パケット分析では、攻撃者がインターネット上に設置し、社内のマルウェアと通信して司令を出す“コマンド＆コントロール（C＆C）サーバ”とのHTTP通信を検知できるように機械学習を取り入れた。
C＆Cサーバとの通信かどうかを判定するために、複合的な評価指標に基づいてスコアリング（点数付け）する。例えば、つい最近できたばかりのドメインかどうかなど、サーバのドメインをプロファイリングして評価付けする。定期的な通信が発生しているかどうかなども評価する。
ログ分析では、Windowsのイベントログを分析して社内LAN上でのマルウェアの潜伏活動を検知する機能を付けた。
EMCジャパン RSA事業本部 システムズ・エンジニアリング部長 八束啓文氏
ログ分析だけでは限界--検知にはパケット分析が必要
RSA SAの利点について、EMCジャパンの八束啓文氏（RSA事業本部 システムズ・エンジニアリング部長）は「ログを収集するだけでは攻撃の発見に時間がかかる。脅威を迅速に発見するためにはログだけでなくパケットを収集しなければならない」と指摘する。パケットが残っていれば、情報漏えい時に何が漏えいしたのかを調べることもできる。
ログ分析だけでは限界があると八束氏は説く。まず、標的型攻撃の多くは正常な経路から侵入し、正常な経路で活動するので、アラートが出にくい。また、ログから得られる情報は限定的で断片的に過ぎず、十分な情報量がない。さらに、検知率を上げようとログを追加すると、それだけアラートが増えてしまう。
八束氏はベライゾンジャパンが公開している調査データを引用し、「標的型攻撃をログから発見できたケースはわずか1％に過ぎない」と説明。また、ほとんどのケース（83％）では標的型攻撃の発見までに数週間以上を必要としており、さらにほとんどのケース（85％）で外部が標的型攻撃を発見していると説明した。「RSA SAなら迅速に攻撃を発見できる」とアピールする。
