標的型攻撃に狙われる「検知の死角」――なぜ担当者は発見できないのか？

　高度なスキルを持つセキュリティ担当者であっても困難といわれる作業の1つに「標的型攻撃とインシデントの検出」がある。高いステルス性を備えた標的型攻撃は、侵害の指標（IoC：Indicators of Compromise）が捉えづらく、検出が困難であるため、侵入されても異常が見つからないケースも多い。

　侵入を見過ごす最大の理由は、セキュリティ対策のサイロ化だ。従来の対策では、複数のセキュリティ製品が独立して機能するため、セキュリティの全体像を把握することが難しい。また、製品ごとに必要なデータを収集するため、多くの時間がかかり、対応の遅れを招いている。

　この他にも、セキュリティデータの爆発的な増加に伴う「アラート疲れ」も挙げられる。さまざまな製品が残す、膨大なログと頻発するアラートが、担当者の注意をそらし、攻撃全体を見逃すリスクを生んでいる。そこで考えたいのが、複数のセキュリティ製品の連携による攻撃の検知だ。その具体的な手法と効果について、詳しく見ていこう。