Snowflakeトラストセンター検知によるセキュリティ態勢の強化
今日の変化の激しい脅威ランドスケープでは、企業のセキュリティチームにはコンプライアンス統制やベストプラクティスだけでは不十分で、巧妙な攻撃に対抗するためのプロアクティブでほぼリアルタイムのインテリジェンスが求められます。
Snowflakeは、組み込みのセキュリティ機能を通じて、お客様がデータとアカウントの継続的なセキュリティを確保できるように全力で取り組んでいます。Snowflakeでは、その一環としてトラストセンター検知結果の提供を開始しました。Snowflakeのお客様に重要なセキュリティシグナルを提供することで、お客様のアカウントでの異常または疑わしいアクティビティについて常に最新情報を得られるようにしています。
設定だけではなく検知へのパラダイムシフト
これまでSnowflakeトラストセンターは、スケジュールされたスキャナー実行後にのみ提示される、設定ベースの具体的な是正措置によって、違反の検出結果を可視化することに焦点を当ててきました。
検知結果は、潜在的に疑わしい活動に焦点を当てた、トラストセンターの監視能力における重要な進化を表しています。
機能 |
違反 |
検知 |
例 |
MFA未対応のユーザー。ネットワークポリシー未設定 |
既知の悪意のあるIPアドレスからのログイン、重要なパラメータ変更 |
検出種別 |
設定およびポリシー違反 |
個別の異常なアクティビティ、または潜在的に不審なアクティビティ |
修復 |
処方的：設定変更が必要 |
処方なし：顧客の精査と対処のシグナル |
可視化 |
スキャナーを実行してからのみ可能 |
非同期（イベントベースの場合はほぼリアルタイム）で可視化 |
管理 |
検出結果のライフサイクル管理で通知を抑制できる |
緊急にレビューする必要があることを示すため、通知を抑制する明示的な制御がない |
集約された可視性 |
組織のアカウントで可視性あり。新しいGLOBALORGADMINロールが必要 |
将来的に対応 |
検知の主なセキュリティメリット
手元ですぐに活用できるプロアクティブな脅威インテリジェンス
検知結果の目的は、従来の方法では見逃されがちな、固有の異常や不審なアクティビティの兆候を検知し、可視化することです。以下のようなユースケースがあります。
不審なログイン
休眠ユーザーのログイン
権限のエスカレーション
異常なアカウントアクティビティ（クエリの長時間実行やクエリエラー率の高さなど）
セキュリティポリシーの変更（認証、ネットワーク、セッション、パスワードなど）
不審なデータ移動（近日中）
ドライバーに対するサポート終了（EOL）警告（近日中）
可視性の統合と死角の軽減
ネイティブのセキュリティシグナルがない場合、お客様はサードパーティのソリューションに頼るか、独自のカスタムモニタリングの構築に多大な労力を費やします。検知は、次の方法でこれに対処します。
調査結果の統合：単一のアカウント内で、お客様は違反と検知の両方を1か所で確認できます。
手作業の削減：お客様は検知結果を活用してセキュリティ態勢に関するインサイトを得られるため、アドホッククエリから情報を収集する手作業を削減できます。
セキュリティエコシステムへのシームレスな統合
Snowflakeは、エンタープライズ環境のお客様がセキュリティオペレーションセンター（SOC）でセキュリティデータを集約することが多いことを認識しています。そのため、Webhook統合（プライベートプレビュー）が今後の優先事項となっています。Webhookでは、トラストセンターの結果を低レイテンシーでほぼリアルタイムで集約できるため、既存のSOCツールに検知結果を直接送信して、一元的に迅速に対応できます。
調査と対応の迅速化
「Detections」タブは、迅速な対応のために設計されています。
エンティティの詳細：調査結果は、どのユーザーが異常な行動を示しているかなど、エンティティに関する重要な詳細を提供します。
詳細：検知をクリックすると、追加情報を含むサイドパネルと「Open in Worksheet」ボタンが表示され、アナリストは生データをさらに掘り下げることができます。関連する調査結果を明らかにするために構築された相関エンジンです。
リスク低減と、調整可能なコントロールの両立
この新しいスキャナーは、これまで脅威インテリジェンスパッケージを有効にしており、新機能のメリットを得られるSnowflakeの多くのお客様で自動的に有効化されます。私たちは、お客様を保護し、セキュリティリスクを軽減するためにこの決定を下しました。これは、私たちの共有運命モデルのもと、継続的なセキュリティ改善を最重要指針として掲げているからです。なお、お客様は引き続き、すべての制御を保持しています。
この新機能には追加費用が発生しますが、セキュリティモニタリングを強化するために活用されることを強くお勧めします。ただし、「Manage Scanners」タブで、新しいイベントドリブンなスキャナーを無効にしたり、スケジュールを変更したりすることも可能です。合計すると、この新しいスキャナーは1日あたり2クレジット未満で、コーヒー1杯分のコストに相当します（図 1を参照）。
使用をいますぐ開始するには
検知機能を使用して、Snowflakeアカウントを管理するセキュリティ制御を継続的に監視し、強化することをお勧めします。まずは、Snowsightのトラストセンターをご覧ください。「Findings」タブの名前が「Violations」に変更され、UIに新しい「Detections」タブが追加されました（図 2を参照）。詳細については、Snowflakeドキュメントを参照してください。
セキュリティは共有責任です。トラストセンター検知結果は、クラウドとAI時代の複雑なセキュリティ課題に取り組むためのチームを強化する最新のツールです。
著者
