インターネットイニシアティブ（IIJ）は10月1日、セキュリティオペレーションセンター（SOC）でセキュリティログの監視とインシデント対応を行う「IIJ C-SOCサービス」において、既存の「EDR運用オプション」にアイデンティティ保護機能を追加し、提供を開始したと発表した。CrowdStrikeの「CrowdStrike Falcon Identity Threat Protection（ITP）」を活用し、認証情報の窃取や正規アカウントの悪用を起点とする攻撃の兆候を検知する。

認証情報を悪用する攻撃への対策を強化

近年、マルウェア感染や脆弱性の悪用に加え、窃取した認証情報や正規アカウントを悪用して組織内部へ侵入する手法が増加しているという。攻撃者が正規ユーザーとして振る舞うことで、従来のネットワーク監視やエンドポイント監視をすり抜け、管理者権限を奪う「権限昇格」や、他の端末・サーバへ侵害範囲を広げる「横展開」に至るケースがあるとしている。

こうした状況を受け、IIJは「IIJ C-SOCサービス」で提供しているEDR運用オプションの監視対象に、ITPが検知するアイデンティティ脅威情報を追加した。ネットワークやエンドポイントの監視情報と組み合わせて分析することで、認証情報を悪用した攻撃への対策強化を図る。

認証基盤の利用状況を監視し、不審な権限昇格などを検知

新たなアイデンティティ保護機能では、ユーザーの認証活動や権限変更などを継続的に監視する。Active Directoryなどの認証基盤の利用状況を分析し、不審な権限昇格や横展開といった攻撃の兆候を検知するという。

また、IIJ C-SOCサービスで取得するネットワーク監視情報やCrowdStrike EDRの監視情報に加え、アイデンティティ情報を分析対象に追加する。複数の情報を組み合わせた相関分析により、単一のログでは判断が難しい脅威を可視化する。

SOCアナリストが24時間365日体制で監視

検知したイベントは、IIJ C-SOCのアナリストが確認し、調査や通知、一次対応も実施するという。IIJは、顧客がITDR（Identity Threat Detection and Response）の専門人材や運用体制を自社で抱えることなく、高度なアイデンティティ監視を活用できるとしている。

参考価格は300ユーザーの場合、アイデンティティ保護機能の初期費用が76万9,340円、月額費用が24万5,245円。いずれもライセンス費用は含まない。

Microsoft Entra IDやOktaへの対応も予定

IIJは今後、Active Directoryに加え、Microsoft Entra IDやOktaなど複数の認証システムへの対応を進め、製品を横断してアイデンティティ情報を統合的に分析できるSOC機能の提供を目指す。

さらに、脅威インテリジェンスやAI技術の活用、各種セキュリティ製品との連携強化も進め、ネットワーク、エンドポイント、アイデンティティ、クラウドなどの情報を統合的に分析する次世代SOCに向けて、監視・分析・対応機能を拡充していくとしている。