Darktrace運用監視のMDR：異常を見つけるのはAI、判断するのはアナリストです

ネットワークの検知は、何かが動いていることを示しますが、それが誰で、何をすべきかは示しません。Fortgaleはその欠けた部分を補います。ネットワークの検知はすべて、アナリストが287の脅威アクターと攻撃ツールの情報に照らして読み解き、エンドポイントとアイデンティティの活動と相関させます。これにより、横展開が攻撃者の特定と判断につながります。導入30日目でノイズを90%超削減し、封じ込めはお客様の環境にすでにある制御を通じて行います。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。

Darktraceでの対応はAutonomous Response（旧称Antigena）が担います。異常に一致する接続の遮断、デバイスの「パターン・オブ・ライフ」の強制、送受信通信の遮断、デバイスの隔離です。アイデンティティではアカウントの無効化や強制ログアウト、メールではメッセージの移動やリンクのロックを行います。

各モデルは自律的に動作させることも、アクションを承認待ちにするHuman Confirmationモードで動作させることもでき、週次のスケジュールでどちらを適用するかを決めます。Fortgaleが関わるのはこの部分です。どのモデルを自律動作させるか、どの本番資産には必ずアナリストの判断を入れるか、営業時間外に誰が承認するかを決めます。端末の隔離やプロセスの停止はネットワークのアクションではないため、連携したEDRを通じて行います。

FortgaleのCTIの指標（週34,000件のIOC）は、Watched Domainsとして取り込まれます。振る舞いはデバイスが異常であることを示し、指標はそのデバイスが通信している先のインフラを誰が保有しているかを示します。両者がそろうことで、判断は「不審」から「封じ込め」へと進みます。