脅威ハンティング（Falcon OverWatch）

CrowdStrikeの Falcon OverWatchは従来のSoCサービスでは対応できない新たな脅威にも対応できるように、人の目による新たな検知ロジックを採用しています。

NGAV＆EDRでの機能的検知をすり抜けた高度な脅威が存在することを前提に通常ログからプロアクティブに脅威を見つけ出すことで多層防御を実現する機能です。

昨今の攻撃手法は高度化しており、環境に侵入後の標準コマンド/正規ツールを利用した通常の動作と見分けが付きづらい動作で内部偵察やラテラルムーブメント（横展開）による攻撃を仕掛けてきます。これらの振る舞いを機能で検知した場合、過検知が多発し重要な脅威の見逃しに繋がる可能性が発生します。

そのため、機能的な検知を擦り抜けた脅威を炙り出すために脅威ハンティングが重要となります。

従来のSOC(Security Operation Center)サービスの課題点

• FW（ファームウェア）やIDS（侵入検知システム）、EDRで検知した内容やNW機器/端末等の異常ログを定常的に監視
  ⇒ふるまいを判断した上で正常と判断されるログの確認までは実施しないため脅威の見逃しが発生する可能性がある
• 24/365体制で監視を行い、発見したセキュリティ脅威を特定し内容を連絡
  ⇒発見可能なセキュリティ脅威は導入済み製品の検知ロジックに依存してしまうため、新たな脅威に対しては対応できない

Falcon OverWatchとSOCの連携イメージ

• Falcon OverWatch：製品に反映しきれていない新たな脅威をいち早く検知
• SOCサービス：お客様環境で検知された内容を統合して取りまとめて通知