自動化パイプラインを使用すると、新しく検出された結果に対して自動化ルールを設定できるため、大規模なトリアージや修復作業を加速できます。
可用性
Automation Pipelines は以下で利用可能です。
- ランタイムコードの脆弱性
- 静的コードの脆弱性
- ライブラリの脆弱性
- シークレット
- Infrastructure as Code
- コンテナイメージの脆弱性
- ホストの脆弱性
- 誤構成
- 攻撃パス
- アイデンティティリスク
- API セキュリティ
- ワークロードアクティビティ
仕組み
自動化パイプラインは、新しい検出結果の管理方法を自動化できるルールベースのシステムを通じて動作します。仕組みは次の通りです。
- ルール構成: 各ルールは、特定の属性に基づいて検出結果をフィルタリングするように設計された複数の基準で構成されています。ルール内で、これらの基準の組み合わせは論理積 (AND) として機能しますが、いずれかの基準に複数の値が含まれている場合、それらの値は論理和 (OR) として機能します。この構造により、ニーズに合わせて正確にターゲットを絞ったルールを作成する柔軟性が得られます。
- ルールマッチング: 自動化パイプラインは、リストに記載された順序でルールと照らし合わせて検出結果を評価します。各検出結果が処理される際、自動化パイプラインは一致するルールが見つかるまでリストを順に確認します。一致するルールが見つかると、緊急性の低い問題をミュートする、重大な脅威を強調表示するなど、指定されたアクションがトリガーされます。自動化パイプラインのルールは、新しい検出結果に即座に適用されます。既存の検出結果については、更新に最大 2 時間かかる場合があります。
ユースケース
ビジネスコンテキストを反映するように検出結果の重大度を調整する
組織のリスクプロファイルに合わせて、検出結果のデフォルトの重大度を上書きします。これにより、次のことが可能になります。
- 低リスクの検出結果の重大度を下げる: 現実的なリスクが限定的な、分離された環境における検出結果の重大度を下げます。
- 高価値ターゲットの重大度を上げる: 個人を特定できる情報を含むデータベースや、より高いコンプライアンス要件を持つサービスなど、重要なシステムにおける検出結果の重大度を上げます。
- 組織の優先順位に合わせて重大度を調整する: 標準スコアリングのみに頼るのではなく、組織の優先順位を反映した一貫性のある重大度の基準を確立します。
緊急性の低い検出結果をミュートして重要な事項にフォーカスする
緊急性の低い検出結果を自動的にミュートすることで、アラートによる疲弊を軽減し、重大な脅威を優先します。これにより、次のことが可能になります。
- 優先度の低い問題を自動的に無視する: 既知の誤検知、許容されたリスク、および直ちに対処する必要のないその他の検出結果を抑制します。手動による確認は不要です。
- 実際の脅威を優先する: 調査と修正が必要な影響度の高いアラートに注意を向けます。
- アラートストリームを整理する: 誤検知、重要度の低いリソース、テスト環境やステージング環境、およびアラートをトリガーするものの長期的なリスクをもたらさない短期的なリソースからのノイズを排除します。
セキュリティ SLA に合わせて検出結果の期限を設定する
検出結果に修正期限を割り当てることで、説明責任を向上させ、セキュリティポリシーへの準拠を維持します。これにより、次のことが可能になります。
- 設計段階から準拠を維持する: FedRAMP や PCI などの業界標準に準拠した期限を自動的に適用します。
- チーム全体で説明責任を促進する: SLA を使用して、絶え間ないフォローアップなしでタイムリーな修正を確実にし、セキュリティおよびエンジニアリングに明確な期待値を示します。
- プロアクティブなリスク管理を促進する: SLA を使用して修正作業の優先順位付けと追跡を行うことで、対応時間の短縮とリスクへの曝露の低減を促進します。
組織にとって重要な項目が強調されるように Security Inbox をカスタマイズする
Datadog は、Security Inbox に情報を入力するためのデフォルトのインボックスルールセットを提供しています。これらのルールを確認し、組織に適さないものを無効にしたり、どの調査結果を強調するかを定義する独自のルールを追加したりできます。これにより、次のことが可能になります。
- デフォルトでキャプチャされない検出結果を再表示する: カスタムルールを使用してデフォルトルールでは一致しない検出結果を強調し、重要な検出結果が見落とされないようにします。
- コンプライアンスを強化し、主要なシステム上の懸念に対処する: 重要度に関係なく、規制コンプライアンスや重要なビジネスシステムに影響を与える懸念事項に対処します。
- 現在のリスクに優先順位を付ける: インシデント発生後のアイデンティティリスクや業界全体で共通する検出結果など、差し迫った脅威に焦点を当てます。
チケットを自動作成して検出結果をエンジニアリングワークフローにルーティングする
セキュリティ上の検出結果が発見されたらすぐに、Jira または Case Management に直接ルーティングします。これにより、次のことが可能になります。
- 手動トリアージを排除する: 条件に一致する検出結果に対してチケットを自動生成し、セキュリティチームが手動でチケットを作成する必要をなくします。
- 既存のエンジニアリングワークフローと統合する: セキュリティ関連の作業をエンジニアリングチームが他のタスクで使用しているツールにルーティングすることにより、普段作業している環境で対応できるようにします。
- 修復までの時間を短縮する: 検出後すぐにエンジニアリングキューに検出結果を送信することで、発見から割り当てまでの遅延を解消します。
参考資料
