Exabeam で AI が悪意のある北朝鮮のインサイダーをどのように捕まえたか

「Trevor Roth」が初めて Exabeam 企業アカウントにサインインしたとき、SOC の脅威インテリジェンス フィードは彼のユーザー名に高リスクのフラグを立て、北朝鮮の脅威アクターの活動に関連していることを指摘しました。その情報に基づいて、インシデント対応者はロスのラップトップに密かにアクセスし、それをネットワークの他の部分から隔離しました。

当初は、 インシデント対応 RSAC でポヴォルニー氏とともにプレゼンテーションを行った CISO のケビン・カークウッド氏は、チームは脅威インテリジェンスが間違っていた可能性を受け入れていたと述べた。 「当初、私たちは肯定的な意図を持っていたと考えていました。これはまったく新しいユーザーであり、おそらく私たちが間違った人を見つけただけかもしれません」と彼は付け加えた。

同時に、 シェムリアップ Roth のアクティビティに関する散在アラートの生成を開始しました。これには以下が含まれます。

• 悪意のある Zoom サイトからファイルをダウンロードした。
• サードパーティの VPN に接続しようとしました。
• Jump Desktop ソフトウェアをインストールしました。
• ストリーミングサービスをロードしました。

カークウッド氏によると、それぞれのアラートは、コンテキストを無視して個別に取得した場合、脅威インテリジェンス フィードに注意を払わなかった場合、単なるノイズにすぎなかった可能性があります。そこでAIがチャットに参入したのです。

SOC の組織の捜査用 AI エージェントである Exabeam Nova は、ロスの散在したデータを自律的に収集しました。 ユーザーとエンティティの行動分析 (UEBA) データを分析し、彼の役割と新入社員のステータスに基づいて評価しました。徹底的な調査が必要であると判断した Nova は、ユーザーの行動と考えられる意図を分析し、人間のオペレーターに次のような結論を提示しました。

「活動のパターンは、内部関係者の侵害シナリオの前兆である『悪意のあるソフトウェア』の脅威ベクトルと一致しています。」

最後に、AI アシスタントは SOC アナリストに次のステップを実行することを提案しました。

1. 感染した宿主を隔離して、さらなる感染や側方への移動を防ぎます。
2. 影響を受けたホストの完全なフォレンジック分析を開始して、最初の感染ベクトルと侵害の全範囲を特定します。
3. 最近の電子メールやブラウザの履歴など、ユーザーのアクティビティを確認して、マルウェアの実行につながった可能性のあるフィッシングの試みや不正なソフトウェアのダウンロードがないか確認します。
4. スケジュールされたタスクや変更されたレジストリ キーなどの永続化メカニズムを確認します。
5. 影響を受けるホストによって不審な外部 IP またはドメインに対して行われた接続のネットワーク トラフィックを分析します。
6. エンドポイント保護を更新して、エンドポイントの検出と応答、ウイルス対策ソフトウェアが最新であることを確認し、影響を受けるマシンやその他の潜在的に脆弱なシステムに対してフル スキャンを実行します。

カークウッド氏によれば、SOC アナリストは 3 ～ 4 時間かかったであろう調査に、AI エージェントは数秒で終わりました。

「ここで、従来の UEBA と最新の AI 機能の組み合わせが本当に本当に強力になります。分散したすべてのものを処理できるため、 [seemingly] 「無関係で疑わしいノイズを検出して信号に変換します。当社が内部に導入した AI は、非常に迅速にこれを検出しました。」とポヴォルニー氏は付け加えました。

カークウッド氏とインシデント対応チームは、北朝鮮の脅威アクターのデバイスを密かに隔離した後、その後 5 時間を費やして彼の行動を観察しました。その中には、指揮統制ソフトウェアのインストールや企業データの流出の試みなどが含まれていました。

「楽しい5時間でした」とカークウッドさんは語った。 「それは、座って賞の戦いを眺めているようなものでした。ビールを飲み、ピーナッツを食べながら、打撃が決まるのを眺めています。」

それは、座って賞の戦いを眺めているようなものでした。ビールを飲み、ピーナッツを食べながら、打撃が着地するのを眺めています。