【物語連載】Vol.5 運用編：見えないものは守れない

「家中の窓に鍵をかけた。でも、今この瞬間、押し入れの中に誰か潜んでいないと言い切れるか？」

IDを固め、ネットワークを分割した主人公ディラン。
しかし、彼の不安は消えない。

「もし、正当なIDを持った社員が、悪意を持ってデータを盗み出そうとしたら？」
「もし、設定ミスで裏口が開いていたら？」

第5回は、ゼロトラストの最後のピースであり、終わりのない日常業務、「運用・監視（Monitoring）」についてだ。
これは、高額なSOCサービスを契約する話ではない。「何を見るべきか」を知る話だ。

この記事は『Project Zero Trust』特集の一部です。全記事一覧はこちら↓

Scenario：ログの洪水と「沈黙の音」

ディランは「念のため」すべてのサーバーとPCのログを取り始めた。
結果、1日に数億行ものログが生成され、肝心な脅威情報はその「ノイズ」の中に埋もれてしまった。
SIEM（ログ分析基盤）のアラートは鳴り止まず、担当者は「オオカミ少年」状態のアラートを無視するようになる（Alert Fatigue）。

その裏で、攻撃者は「アラートが鳴らない正規のコマンド」を使って、静かにデータをコピーしていた。
これが、多くの企業が陥る「見ているつもりで見えていない」罠だ。

本書の第7章「Zero Trust SOC」で語られる鉄則はシンプルだ。

「ネットワーク全体（草むら）を監視するな。プロテクト・サーフェス（宝石）に出入りする通信だけを監視せよ」

ゼロトラスト環境では、守るべきデータ（Crown Jewels）の場所は特定されている。
ならば、見るべきログは以下の3つだけでいい。

「全社員のWeb閲覧履歴」なんて見る必要はない。
しかし、「経理部のサーバーから、深夜2時に、中国のIPアドレスへ向けて大量の通信が発生した」という事象は、即座に検知できなければならない。

中堅企業の情シスに、24時間365日の監視は不可能だ。
だからこそ、ディランは自動化（SOAR）を取り入れる。

「人が判断する」時間を極限まで減らし、「明らかに黒なものは機械に止めさせる」。これが、少人数で回すための唯一の解だ。

明日出社したら、SIEM（またはMicrosoft Sentinelなどのログ基盤）で、以下の「3つのダッシュボード」を作ってみよう。

Identity Analytics（なりすまし検知）
- 失敗したログインの連続（ブルートフォース）。
- 「ありえない移動」（1時間前に東京、今はロンドンからのアクセス）。
Privileged Access（特権ID監視）
- Domain Admin権限が使われた履歴。これは本来、週に数回しか出ないはずだ。毎日出ていたら異常だ。
Lateral Movement（横移動の兆候）
- PC同士の直接通信（本来クライアントPC同士は通信する必要がない）。