MDRからMDIRへ：インテリジェンスが防御のサイクルに入る
MDIR（Managed Detection, Intelligence and Response）は、MDRの進化をFortgaleが名付けた用語です。インテリジェンスを検知と対応の中に組み込んだ防御を指し、サイバー脅威インテリジェンスを検知から対応までの防御サイクルのすべての段階に統合します。攻撃者を知ることで、一つひとつのアラートに重みが生まれ、対応はより速く効果的になり、攻撃側の次の動きを予測できます。アラートの段階で止まるサービスは、前の世代の防御です。
インテリジェンスが防御のサイクルに入る理由
検知と対応の歴史は、重心が少しずつ移ってきた歴史です。最初は検知し（EDR）、次に相関分析し（XDR）、そこに24時間365日の人による運用が加わりました（MDR、マネージド・ディテクション・アンド・レスポンス）。次の一歩は新しいテクノロジーではありません。運用の流れの中に攻撃者の知識を置くことです。FortgaleはこれをMDIR（Managed Detection, Intelligence and Response）と呼んでいます。インテリジェンスを検知と対応の中に組み込んだ防御です。
理由は、攻撃が実際にどう行われるかにあります。サイバー攻撃は「何か」ではなく「誰か」です。攻撃者にはインフラがあり、繰り返し使う手口があり、狙う業種があり、経歴があります。誰が攻撃しているかを知らずに防御すると、すべてのアラートを孤立した事象として扱うことになります。どれも同じ重みで、どれもゼロから確認しなければなりません。ループの中にインテリジェンスがあれば、すべてのシグナルは攻撃者について分かっていることと照らし合わせて読み解かれます。まず理解し、それから行動します。
- 287プロファイル化した攻撃グループと攻撃ツール
- <15分TTD中央値 · テレメトリからアラートまで
- <30分TTC中央値 · 検知から対処まで
- >90%ノイズ削減 · 30日目
流れの中にインテリジェンスがあると何が変わるか
効果は抽象的なものではなく、測定できます。一つひとつのアラートに重みが生まれます。正規アカウントによるアクセス（T1078）は、そのコマンドインフラがお客様の業種を狙うグループと一致するまでは、ありふれたシグナルにすぎません。優先順位付けは一般的な深刻度から、お客様の環境にとっての関連性へと移ります。こうして、導入30日目でノイズを90%超削減できます。対応はより速く、より効果的になります。攻撃者を知ることは、そのTTP、どこで永続化を試みるか、どのアカウントを狙うか、どのようにデータを持ち出すかを知ることです。封じ込めは一般的なものから、的を絞ったものになります。攻撃側の動きを先読みできます。攻撃はキルチェーンに沿って進むため、3手目で攻撃者を特定できれば、4手目と5手目が分かります。予測はAIの約束ではありません。現場で確認したTTPに基づく攻撃者プロファイルの成果であり、それを2017年からミラノで運用する欧州のSOCチームが適用しています。中央値で検知まで15分未満、封じ込めまで30分未満です。
流れの中のインテリジェンスとは理解することであり、理解することが有効な防御につながります。アラートの話しかしないサービス、つまりアラートをいくつ生成し、いくつ転送したかだけを語るサービスは、前の世代の防御です。理解するという仕事をお客様に委ねていた世代です。
私たちが提案する用語、私たちが証明する中身
明確にしておきます。MDIRは業界標準ではありません。この略語には複数の解釈があります。Fortgaleは、Managed Detection, Intelligence and Responseという形でこの用語を採用し、その意味を守っています。インテリジェンスをマネージドサービスの重心に置くという、私たちが目指す進化を正確に表しているからです。略語の価値は、Iが証明できることの分だけです。Fortgaleを含め、どのプロバイダーにも根拠を求めてください。何組の攻撃者を、どの情報源からプロファイル化しているのか。インテリジェンスはトリアージと対応にどう入っているのか。それを裏付ける実際の事例は何か。関連記事：MDRとは、そしてその知識を築いているサイバー脅威インテリジェンス。
サイバー攻撃は「何か」ではなく「誰か」です。相手を知り、その動きを先読みし、間に合ううちに止める。MDIRはその一連の流れの名前です。攻撃者を知ることが、防御の第一の行為です。間に合ううちに止めることが、第二の行為です。
重心の移動：アラートから攻撃者の理解へ
| 段階 | 重心 | 主なアウトプット |
|---|---|---|
| EDR | エンドポイントで検知する | アラート |
| XDR | 複数の領域を相関分析する | 相関済みのアラート |
| MDR | 検知と対応を24時間365日運用する | 収束したインシデント |
| MDIR | すべての段階にインテリジェンスを統合する | 攻撃者を把握したうえで収束したインシデント |
Operation Storming Tideでは、封じ込めと根絶を行い、データの持ち出しとランサムウェアを阻止しました。対応が決定的だったのは、攻撃者、そのTTP、そのインフラについての知識に導かれていたからです。MDIRという用語が明示しているのは、まさにこの運用ループの中のインテリジェンスです。
分析を読む（英語） →よくある質問
MDIRとはどういう意味ですか？
MDIRはManaged Detection, Intelligence and Responseの略です。MDRモデルの進化をFortgaleが名付けた用語で、サイバー脅威インテリジェンスを付属のフィードとしてではなく、防御サイクルを構成する要素として位置付けます。インテリジェンスの目的は、攻撃者と攻撃を理解し、インシデントに最善の形で対応し、攻撃側の動きを先読みすることです。
MDRとMDIRの違いは何ですか？
インテリジェンスの位置です。多くのMDRサービスでは、CTIは購入したIOCのストリームで、後工程に届くものです。MDIRモデルでは、インテリジェンスは運用の流れの中にあります。一つひとつのアラートに重みを与えて検知を強化し、アナリストが相手が誰でどう動くかを知っているため対応を導き、キルチェーン上の次の動きの予測にも使われます。
MDIRは業界標準ですか？
いいえ。この点は明確にしておくべきです。この略語には複数の解釈があり、定義している第三者機関はありません。FortgaleにとってIはIntelligenceを意味し、それが私たちの目指す方向です。大切なのは名称ではなく検証できる中身です。287の攻撃グループと攻撃ツールのプロファイル、すべてのアラートのトリアージに適用されるインテリジェンス、測定された検知と封じ込めの時間です。
インテリジェンスはすべてのMDRにすでに含まれているのではありませんか？
指標のフィードは、ループの中のインテリジェンスではありません。違いは、IOCのリストを受け取ることと、現場で確認したTTPに基づき、実際のインシデントで更新され続け、トリアージ・対応・予測に適用される攻撃者プロファイルを持つことの差です。どのプロバイダーにも、こう尋ねてください。インテリジェンスはどのように運用上の判断に入っているのか、どの情報源から、どのような根拠で。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：FortgaleのMDRサービス
関連リソース： MDRとは · サイバー脅威インテリジェンス · インシデントレスポンス
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。