Zebra Technologies、セキュリティとリスクの管理に Security Command Center を使用

※この投稿は米国時間 2021 年 6 月 12 日に、Google Cloud blog に投稿されたものの抄訳です。

クラウドネイティブなセキュリティ アプローチの導入

最も重要なのは、環境の安全を常に維持することです。セキュリティ意識の高い組織として、私たちは最善のセキュリティ技術を環境内で実行しています。クラウド変革を進める中で、セキュリティの可視化が行えていない部分が見つかりました。既存のツールでは、クラウド上のアセットおよびインフラストラクチャに対応できていなかったのです。Google Cloud のアセットを包括的に確認できるクラウドネイティブなセキュリティ ツールを追加して、クラウドに依存しないセキュリティ スタックで既存の機能を補強する必要が生じました。そんなときに出会ったのが Security Command Center でした。SCC は、プラットフォームレベルで Google Cloud とクラウドネイティブに統合されており、アセットのリアルタイムでの可視化が実現されます。これにより、現在デプロイ中のリソース、その属性、それらリソースへの変更をリアルタイムで確認できるようになりました。たとえば、SCC では、新規プロジェクトの数、デプロイされているリソースの種類（Compute Engine、Cloud Storage バケットなど）、コンテナで実行されているイメージ、ファイアウォール構成のセキュリティ検出結果などを確認できます。

Zebra では、情報セキュリティ チーム パートナーがプロダクト チームおよびセキュリティ ソリューション チームと連携して、リスク管理を行うとともに、環境内の脅威を検出して対応する技術プラットフォームを提供します。Google Cloud 環境のモニタリング、構成ミスの早期発見、脅威の検出および対応のために、全チームで SCC を使用しています。また、脆弱性スキャナから提供される追加の脆弱性情報を開発チームとサポートチームに渡すための新たな方策も探していました。一般的なユーザー インターフェースでその情報をやり取りする手段として、Security Command Center が浮上しました。SCC のサードパーティ統合機能によって、脆弱性スキャナの検出結果を Security Command Center 内の同一のユーザー インターフェースに提供可能になり、開発チームとサポートチームがリスクを評価しソリューションを推進できるようになりました。Security Command Center では、コンプライアンス ベンチマーク ビューが追加設定なしで提供され、それによって、主な業界基準との比較が明らかになり、是正措置実施のベスト プラクティスが示されました。

Security Command Center Premium による運用化

環境全体で脅威をモニタリングし、対応する情報セキュリティを 24 時間 365 日運用しています。セキュリティ オペレーション センター（SOC）と脆弱性管理部門の両方で、重要な検出と対応のために SCC を使用しています。SCC は、潜在的なマルウェア感染、データの引き出し、クリプトマイニング行為、ブルート フォース SSH 攻撃などの脅威の特定に役立ちます。

特に気に入っているのが、SCC のコンテナ セキュリティ機能です。コンテナ脅威の攻撃経路を除外するトップアタック手法を検出できます。当社では、Security Command Center をセキュリティ インシデントおよびイベント管理（SIEM）ツールにも統合し、Security Command Center で検出される脅威に対して、迅速な対応を着実に行えるようにしています。SCC が提供する統合機能のおかげで、SOC の設計に SCC をシームレスに組み込むことができます。ここで、イベントのトリアージと対応を行っています。プラットフォームからも他のツールでの検出と同じ方法および同じ時間枠で対処できるため、同じ標準プロセスを使用して効果的に対応できます。検出結果から詳細ログに直接移動できる SCC の機能を、SOC チームは高く評価しています。この機能は、トリアージの時間の大幅削減に寄与しています。

当社では、リソースの構成ミスリスクとアプリケーションの脆弱性に対処する専任の脆弱性管理部門があります。脆弱性管理チームは、SCC のダッシュボードで提示される情報を使用して、潜在的な構成リスクを評価し、アセット所有者と連携して対策を推進します。SCC は、必要な修正に取り組む上で役に立ちました。特に、環境内に新規リソースがオンボーディングされてくるときに、アセットの構成ミスまたはコンプライアンス違反を検出できました。このチームでは、既知の Common Vulnerabilities and Exposures（CVE）をスキャンするために、サードパーティ製ツールを使用しています。SCC はサードパーティの脆弱性ツールと統合できることが好評でした。これにより、脆弱性情報を SCC で一元的に確認できます。たとえば、SCC を使用すると、構成ミスまたは脆弱性のある重要なアセットの特定や、重大度を 1 つのビューで評価して直ちに問題解決アクションをとることが可能になります。SCC をデプロイする前は、スプレッドシートなどのメカニズムを使用して情報共有していました。今では、すべてのセキュリティ脆弱性検出結果が 1 つのビューに統合されています。チームがすべての関連情報を参照でき、同じ場所から取り込んで対処することができます。

また、エンジニアリング開発チームに一定の権限を持たせ、基幹業務のアセットのセキュリティ検出結果に対処させています。業界ではこれを「シフトレフト」セキュリティと呼んでいます。Zebra には複数の開発チームがありますが、セキュリティ検出結果への対処が各チーム内で可能であることを確信しています。SCC のきめ細かいアクセス制御（スコープビュー）機能により、役割と責任に基づいてリアルタイムでアセットを可視化してセキュリティ検出結果を提供できます。これにより、個々のチームごとに、自身の職務に関連するアセットと検出結果を見ることができます。こうして、知る必要のある人のみに限定して機密情報を提供することができます。自身の権限の及ばない膨大なセキュリティ検出結果に邪魔されることがないため、個々のチームの迅速なアクションを促進します。また、組織内で必要に応じてアクセスを制限することで、セキュリティ リスクの軽減とコンプライアンス目標の達成を支援します。さらに、このスコープビュー機能によって、アセットの構成ミスおよび脆弱性検出結果に対処するオペレーションの効率が向上しました。

Google Cloud により未来をともに守る

Security Command Center は、Google Cloud とのネイティブ プラットフォーム レベルの統合性と使いやすさから、当社のセキュリティ ファブリックに欠かせない存在になりました。総合的に見て、Security Command Center は、Google Cloud 環境を継続的にモニタリングして優先的なセキュリティ検出結果をリアルタイムで確認するために役立っており、対応と処置を迅速に行えるようになりました。

Zebra と Google は、クラウド環境のセキュリティ維持という目的を共有しています。Zebra Technologies は、Google Cloud と Security Command Center の力を借りて、総合的なセキュリティ体制とワークロード保護を改善しました。また、開発チームとセキュリティ チームのコラボレーション強化や、企業のセキュリティ リスクの管理および低減にも役立っています。

^{Google Cloud 公式ブログ注: Security Command Center は Google Cloud を対象としたネイティブのセキュリティおよびリスク管理プラットフォームです。Security Command Center のプレミアム ティアには、クラウド アセットの可視化、リソースの構成ミスと脆弱性の検出、アセットを標的とする脅威の検出、業界標準とベンチマークに基づくコンプライアンス維持支援を実現する組み込みサービスが用意されています。プレミアム サブスクリプションを有効にするには、Google Cloud Platform セールスチームにお問い合わせください。}

^{Security Command Center とセキュリティ運用への役立て方に関する詳細を確認するには、プロダクトのドキュメントをご覧ください。}

-Zebra Technologies 最高情報セキュリティ責任者（CISO） Brad Skibitzki