ログ統合と高速分析で発見統制を強化、情報漏えいをリアルタイムでブロック―全体最適化を実現した CrowdStrike Falcon 統合基盤

患者情報と企業競争力を守り、製品を届けるために
―システムやデータの完全性、データ漏えい防止が不可欠

製薬メーカーのＪＣＲファーマと関わりが深い希少疾病の一つに、ライソゾーム病がある。ライソゾームとは、細胞内の老廃物をさまざまな酵素で分解する細胞小器官である。このなかで働く酵素が欠損または働きが低下すると、分解されない物質が細胞内に蓄積し、さまざまな深刻な疾患を引き起こす。多くが遺伝性で、治療法も限られている。

ＪＣＲファーマはこのライソゾーム病領域での治療薬開発に注力しており、また独自のバイオ技術や再生医療技術を通じて数多くの新薬創製を実現してきた。創業は1975年。創業者の芦田 信氏が当時勤めていた製薬会社で酵素精製プロジェクトを進めていたものの、突然中止となり、設備も原料も宙に浮く事態に直面した。芦田氏は自ら取引先を探し歩き、ついにフランス企業との契約を獲得。これを機に、日本ケミカルリサーチ（ＪＣＲファーマの前身）を創業した。

当初の酵素精製で培った技術は、やがて成長ホルモン製剤、再生医療、ライソゾーム病の酵素補充療法、そして世界初となる血液脳関門通過技術「J-Brain Cargo®」（有効成分を脳内に届ける技術）の実用化へとつながっていく。このように、希少疾病という治療選択肢の限られる領域に挑み続ける研究開発型企業として独自の地位を築いてきた。

こうした研究開発を支えるのが、患者情報や臨床試験データといった極めて機密性の高い情報だ。データのわずかな改ざんも漏えいも許されず、厳格に守り抜かなければならない。また、同社はバイオ医薬品の創薬研究から生産、品質保証、開発、販売までを一貫して担う国内でも数少ない製薬メーカーであり、システム障害が起きれば研究開発だけでなく製品供給や流通にも影響が及ぶ。

同社のセキュリティ対策の重要性について、ＪＣＲファーマ株式会社 管理本部 情報システム部 部長 西田 道夫氏は次のように語る。「医薬会社にとって最優先すべきは、言うまでもなく患者様です。特に臨床試験データは患者様のプライベートな情報を含むため、とてもセンシティブで死守する必要があります。次に重要なのが研究や製薬に関連する情報で、企業競争力に直結します。また弊社は販売も行っていますので、サイバー攻撃によるシステムダウンで製品を届けられなくなる事態は避けなければなりません。サプライチェーンの観点からも、システムの可用性・持続性・完全性が求められます。」

• 

  ＪＣＲファーマ株式会社 管理本部 情報システム部 部長 西田 道夫 氏

個別ツールの「分断」がもたらす運用の限界
―統合的なセキュリティ監視の実現が課題に

同社のIT環境は、本社・研究所・生産拠点・海外拠点を含む広範なネットワークで構成され、管理対象のエンドポイントはPCとサーバーで約2,000台に及ぶ。米国、欧州、ブラジルなど複数の海外拠点も保護対象となるため、グローバルで統一したセキュリティ運用が求められていた。

クラウドストライク製品導入前にも、すでに一定のセキュリティ体制は整っていた。PCとサーバーにはエンドポイント保護製品が導入され、SOCによる監視体制も敷かれていた。これらは主に外部からの脅威に対抗するためのものだったが、一方で同社は内部不正対策にも強い関心を持っていた。メールの誤送信や私物のクラウドストレージへファイルアップロードといった行為によって、重要なデータが外部に流出してはならない。そのため端末の操作ログ管理ツールやSASEプラットフォームを使用してユーザーPCのデータの動きを事後調査のために活用していた。

このように必要なツールは揃っていたものの、個別に導入してきた結果、ログ情報が各ツールに分断されてしまっていた。そのため、ログが散在し、相関分析ができず、全体像を把握しにくいという課題を抱えていた。

情報システム部では、定期的に情報流出が起きていないかを確認していたという。ＪＣＲファーマ株式会社 管理本部 情報システム部 課長 土井 康司氏が週に数回、操作ログやメール添付ファイル送信ログ、クラウドへのファイルアップロードログなどを入念にチェックしていた。ほぼ手動での目視確認であり、労力がかかるうえに見逃しのリスクも否定できなかった。また、外部委託していたSOCサービスではSASEの運用チームとエンドポイントセキュリティの運用チームが別々に存在していたため、統合的なセキュリティ運用ができておらず、有事の際に環境全体での調査や意思決定がしづらい状態になっていた。

• 

  ＪＣＲファーマ株式会社 管理本部 情報システム部 課長 土井 康司 氏

西田氏は「予防統制は整えてきたが、発見統制が追いついていなかった」と振り返り、発見統制に注力しようとしていた。予防統制はEDRやUSB制御などでインシデントを“防ぐ”仕組み、発見統制はSIEMや相関分析で“気づく”ための仕組みだ。例えば、不良品をゼロにするために製造ライン全体を作り変える（予防統制）には膨大なコストがかかるが、検査工程で不良品を確実に見つける（発見統制）仕組みを整えれば、効率的に品質を担保できる。この品質管理の考え方を、西田氏はセキュリティにも応用したのだ。

これを実現するため、自社の運用や規模に適したSIEMを模索していたが、多くのSIEMは初期構築や運用ルールの設計などに多くのコストがかかってしまう。コストを抑えつつ、内部不正対策や統合セキュリティ監視が実現できるプラットフォームを探していたものの、決定打となる製品が見つからない状態だった。

「EDRは問題ない」から一転、求めていたピースを発見
―高速検索が可能なFalcon Next-Gen SIEM

2025年はじめ、クラウドストライクが同社を訪問。SOCサービスについての運用上の課題はあったものの、EDR製品そのものには大きな課題はない状態だったが、同社の実情をヒアリングするなかでSIEMを模索していることが判明。CrowdStrike Falcon® Next-Gen SIEMを提案した。ＪＣＲファーマ株式会社 管理本部 情報システム部 主任 東本 伸一氏は「クラウドストライクといえばEDRというイメージでした」と語る。

• 

  ＪＣＲファーマ株式会社 管理本部 情報システム部 主任 東本 伸一 氏

Falcon Next-Gen SIEMは、同社が求めていた要件を満たしていた。クラウドサービスとしてログを一元化し、グローバルで統合的に運用できるだけでなく、ログのうち大きな割合を占めるエンドポイントのログがNext-GenSIEMと同じ基盤上にすでに保管されているため、データの転送コストや別所での保管コストもかからず、トータルコストを圧縮することが可能だ。さらに検索速度が圧倒的に速い。インデックスフリーアーキテクチャにより、ログデータが大量でも瞬時に結果を返すことができる。同社が試用したSIEMでは1～2週間分のログ検索に5～10分かかっていたのに対し、FalconNext-GenSIEMでは半年分のログでも数秒で結果が返ってくる。ログ検索で“待たされる”ことがなくなり、調査が格段にスピーディーになった。また、ログをチャート形式に加工してダッシュボード化する機能を備えており、Falconプラットフォームに搭載されている生成AIツールのCrowdStrike® Charlotte AIを活用することで運用に合わせたカスタムダッシュボードを容易に作成できる点も魅力だったという。

SIEMをきっかけに統合的なセキュリティ体制への移行を推進

Falcon Next-Gen SIEMへの評価をきっかけに、他のセキュリティツールにおいてもクラウドストライク製品への置き換えが検討されることになる。Falconプラットフォームに統合することで、より統合的なセキュリティ環境の構築と効率化が期待できたからだ。

まずはエンドポイント保護。従来のEDR自体に不満はなかったものの、契約していた外部SOCとの役割分担が「検知はするが対応は自社」となっていたこともあり、誤検知か否かの判断や調査後の対応など自社に委ねられる範囲が広く、時間を要してしまうことも少なくなかったという。その点、クラウドストライクが提供するMDR（Managed Detection and Response）であるCrowdStrike Falcon® Completeであれば検知から分析、隔離、修復まで一貫してメーカーが対応するため、運用負荷を大幅に削減できることができる。さらに他の領域もクラウドストライク製品に置き換えることで、Falcon CompleteチームがSaaSやIDaaSなど、EDR以外の領域についても網羅的に調査できるようになり、統合的なSOC運用を実現できる点も高く評価した。

また、アイデンティティ保護も追加した。近年のサイバー攻撃では不正ログインや特権アカウントの悪用などIDが狙われており、特にAD（ActiveDirectory）は重要な砦だ。CrowdStrike Falcon® Complete Identity Threat Protectionを導入することで、アカウントの利用状況をリアルタイムに可視化し、ブルートフォース攻撃や通常と異なる異常な認証挙動などのアイデンティティ脅威を検知・調査・対処できるようになり、ADを狙った攻撃に対して迅速に対応することが可能になった。他にもIT資産を可視化するCrowdStrike Falcon® Discover、リアルタイム脆弱性診断を行うCrowdStrike Falcon® Spotlightの採用が決まり、既存EDRからの置換えと同時並行で進めた。

重要なデータを流出させないために―Falcon Data Securityで内部不正対策を強化

同社では内部不正や情報流出の防止を重視しており、そのためにログ監視を徹底してきた経緯がある。Falcon Next-Gen SIEMでその負荷を軽減できるが、さらに踏み込んだ対策としてCrowdStrike Falcon® Data Securityを導入することにした。これにより本来実現したかったリアルタイムでのデータ流出検知やブロックが可能になる。

Falcon Data Securityはファイル内容を解析して機密データを検出できるため、USBデバイスへのコピー、ブラウザ上でのファイルのアップロードや外部送信などを検知し、リアルタイムでブロックや警告ができる。また不審な活動に関与したファイルは安全な隔離領域にコピーして保全することも可能だ。これは内部不正の証拠保全、事後調査、監査対応で役に立つ。また、データ転送のログはFalcon Next-Gen SIEMモジュールの基盤上に保管されるため、同製品の機能で作成できるインサイダー脅威ダッシュボードにおいてユーザーPCの挙動をベースにしたリスクスコアを算出できるようになり、高リスクユーザーを容易に特定、調査ができるようになった。この導入により、目的の１つであった内部不正への対策強化を進めることができた。

シングルセンサーでスムーズに展開、競合する不具合も迅速に解消

短期間に多くのセキュリティ対策の入れ替えを行う格好となったが、クラウドストライク製品の特徴であるシングルセンサーのアーキテクチャが活きてくる。センサーの入れ替えさえ完了すれば、各モジュールを全て実装できる準備が整うのだ。まず情報システム部内で検証を行い、問題ないことを確認した上で段階的に展開。およそ2カ月という短期間で国内・海外拠点を含む全ユーザーPCに対しての配布を完了した。

Falconエージェント導入により既存のエンドポイント製品と一時的に共存する形となったが、大半の端末では目立ったトラブルは発生しなかった。一部の端末では機能の競合により動作が重くなるケースがあったものの、既存製品をアンインストールすれば解消した。

東本氏は展開時の経緯を「競合で不具合が発生した際には、クラウドストライクのテクニカルサポートが迅速に対応してくれました。詳細なログを提出すると、クラウドストライク側で原因を特定し、アンインストールの順序や設定方法まで丁寧に提示してくれたおかげで、スムーズに移行を進めることができました」と振り返る。

1つのプラットフォームで実現するセキュリティ監視と内部不正対策

SIEM採用を起点に、セキュリティ環境をクラウドストライク製品で刷新した効果をあらためて振り返る。

まず挙げられるのが、Falcon Next-Gen SIEMによるログの一元管理と高速検索だ。これにより発見統制が大きく前進した。それまで行っていたログの人力巡回や目視チェックから解放され、見逃しのリスクも大幅に低減しただけでなく、検索速度も従来の5分から数秒へと劇的に向上した。ダッシュボードのカスタマイズも進み、今では管理ダッシュボードを開けば相関分析されたアラートが自動で上がってくる。EDRやADのログもFalcon Next-Gen SIEMモジュール基盤上に保管されているため、ADの移行を検討する際の影響範囲を精査することにもSIEMの機能を活用できているという。

Falcon Data Securityの導入によって同社が重視していた内部不正・情報流出のリアルタイム検知・ブロックが可能となった。今後は運用をブラッシュアップしてセキュリティレベルを向上させていく予定だ。これまではログをもとにした事後調査が限界だったが、現在は即時対応が可能だ。Falcon Data Securityはファイル名だけでなく内容まで解析し、機密データを検知できる。不審なファイルを自動で保全する機能も備えており、内部不正の証拠保全や監査対応にも効果的だ。

EDRやSOCを統合したことで、運用負荷は大きく軽減された。ＪＣＲファーマ株式会社 管理本部 情報システム部 前田 篤志氏は「初動対応を任せられる安心感があります。こちらが気づく前に対処が終わっていることもありますし、『こういう動きが増えているので、ポリシーをこう変えませんか』といった改善提案までしてくれます」と語る。また、アイデンティティの領域やFalcon Next-Gen SIEMに取り込んだサードパーティログ起因で上がる検知もFalcon Completeチームが調査・対処していることに対し、東本氏は「検知後の調査でエンドポイント以外の領域も幅広くみてくれているという実感があります」と語る。

• 

  ＪＣＲファーマ株式会社 管理本部 情報システム部 前田 篤志 氏

ID管理では、ADアカウントのリスクがリアルタイムで可視化されるようになった。攻撃者に狙われやすい弱いパスワードも一覧で把握できる。東本氏自身も半角英数と記号を含めたパスワードを利用していたが、パスワード強度は「弱い」と判定されてしまい、「まさか自分が……と驚きましたが、こうやって漏洩などによって脆弱となっているパスフレーズに気づけるのはありがたいです」と語る。

IT資産可視化では、OSやアプリだけでなくFalconセンサーがインストールされていない未管理端末などの情報も自動収集され、国内外すべての端末を一元管理できるようになった。IT資産情報とEDRで取得した端末側のログを合わせてみることができるようになったことで、調査対応も格段に効率化したという。また脆弱性管理では、OSやアプリケーションの脆弱性について影響範囲と優先度が即座に分かり、パッチ適用の判断が迅速になった。

そして何より、プラットフォームを統合したことでセキュリティの全体最適化が実現した点が大きい。東本氏は「これまで個別最適だったセキュリティを統合したことで全体最適化でき、多くのメリットが生まれました。ツール間の分断がなくなり、運用負荷の軽減と運用品質の向上を同時に実現できたのはよかったです。また、これまで技術的に実現不可能だったことが可能になるなど、技術的な基盤が整備できたので、今後は運用ルールをさらに高度化させていきたいと考えています」と語った。

※この記事はクラウドストライク合同会社による記事の転載です。

[PR]提供：クラウドストライク