サマリー
- Darktrace の真の運用テストは、受理されたアノマリー判断にある。ネットワーク、メール、クラウド、アイデンティティ、エンドポイント、OT データにわたる異常な振る舞いが、通常のビジネスの変更と攻撃活動を混同することなく、信頼できる調査または限定された対応に変換できるかどうかが問われる。
- このプラットフォームの最大の強みは、一般的な AI 表現ではなく、トリアージ、相関分析、コンテキストに応じた調査、対応推奨、狭い範囲の封じ込めといった、反復的で大量のセキュリティ作業にある。公開証拠は、一部の顧客環境でアナリストの作業負荷の軽減に役立つことを示唆しているが、普遍的な侵害防止や均一な低誤検出率を証明するものではない。
- 自律的対応は、対応ポリシーが適切で、可逆的であり、レビューされている場合にのみ有効である。ブロックされた接続、隔離されたメール、強制的な再認証、または一時的に隔離されたデバイスは、滞留時間を短縮できる。一方、ベースラインがノイズが多い場合や、中断されるビジネスプロセスが十分に理解されていない場合、同じアクションが信頼を損なう可能性がある。
- 購入者は、Darktrace を、調整された EDR、SIEM、SOAR、クラウドネイティブ検出、メールセキュリティ、マネージド検出・対応、脅威主導のハンティングと比較すべきである。Darktrace がプレミアムを得るのは、単なる別のアラートストリームを追加するのではなく、反復環境で判断の質を向上させる場合である。
Darktrace は、AI 企業として扱われた場合に過大評価されやすく、単なるアラート製品として扱われた場合に過小評価されやすい。有用な中道的立場は、より厳しいものである。同社は、特定の組織が通常どのように振る舞うかを学習し、その学習されたパターンからの逸脱を検出し、複数の技術領域にわたってそれらの逸脱を調査し、人間がレビューを終える前に、時に制約された対応を行うセキュリティプラットフォームを販売している。これは真剣な運用命題である。同時に、実際のセキュリティ運用の脆弱な部分、つまり資産の可視性、アイデンティティのコンテキスト、変更管理、ノイズの多いアラート、アクセスポリシー、インシデントの所有権、証拠に対する信頼の部分で脆い。
Darktrace は、ActiveAI Security Platform を、組織内の通常の振る舞いを学習し、ネットワーク、メール、クラウド、アイデンティティ、エンドポイント、オペレーショナルテクノロジー環境を含むデジタルエステート全体にわたってリアルタイムの検出と自律的対応を適用するシステムとして説明している。そのプラットフォームページは、製品を単一のコントロールではなく、広範なサイバーレジリエンスレイヤーとして位置づけている。企業ホームページも同様に、エンタープライズ全体の主張をしている。すなわち、AI を顧客のデータにもたらし、組織全体の脅威を相関させ、既知および未知の脅威に対して行動する。
問題は、その広さがより良い判断につながるのか、単により大きな責任につながるのかである。セキュリティオペレーションセンターにおいて、価値の単位がアラートであることは稀である。価値の単位は、受理された判断である。すなわち、このユーザーを調査し、このホストを封じ込め、このメッセージを隔離し、このアカウントを再認証し、このインシデントをオープンし、あるいはこの振る舞いを無害として無視する。Darktrace の最も強い主張は、コンテキスト内の振る舞いを見ることができるため、この判断をマシンの速度で改善できるということである。その最も弱い点は、コンテキストこそがセキュリティツールにしばしば欠けているものであるということだ。
アノマリー判断こそが製品である
アノマリーという言葉は、サイバーセキュリティにおいて過度に使われている。新しいペイロールエクスポート、プラントのメンテナンスウィンドウ、合併に伴うディレクトリ移行、新しいクラウドサービスを使用する開発者、普段と異なる国からログインする出張中の幹部、突然多くのデータを移動するバックアップジョブ、侵害されたアカウントは、すべて異常に見える可能性がある。そのうちの１つだけが悪意を持つかもしれない。マシンは偏差を表面化できるが、組織はその偏差が何を意味するのかを依然として判断しなければならない。
Darktrace の製品言語は、その区別を重視している。そのネットワークセキュリティページでは、Darktrace / NETWORK が組織の通常の振る舞いを学習し、接続、デバイス、アイデンティティ、攻撃経路を分析し、ネットワーク、エンドポイント、クラウド、アイデンティティ、OT、メール、リモートデバイスにわたってイベントを相関させるとしている。また、プラットフォームは、ネイティブまたは統合を通じて、対象を絞った対応アクションを取ることができるとも言っている。これは、攻撃者がもはや１つのクリーンな境界内にとどまらないため、現代の検出にとって正しい野心である。フィッシングがアイデンティティの悪用に変わり、アイデンティティの悪用がクラウドアクセスに変わり、クラウドアクセスがデータ移動に変わる。単一のコントロールでは、その連鎖を見逃す。
しかし、連鎖の検出は、各リンクがアクションをサポートするのに十分な証拠を持っている場合にのみ有用である。受理されたアノマリー判断には４つの部分がある。第一に、プラットフォームは通常の振る舞いを記述するのに十分なテレメトリを見なければならない。第二に、問題となる偏差を認識しなければならない。第三に、その偏差が日常的な変更ではなくセキュリティリスクに関連している理由を説明しなければならない。第四に、その判断を、不必要な害を避けるために十分に狭い対応に結びつけなければならない。ベンダーは、これらのうちの１つで強みを持ち、別のところでは弱みを持つ可能性がある。
難しい問題は、最良の誤検出でさえ不条理ではないということだ。それらはもっともらしい。実際のユーザー、実際のサービス、実際の資格情報、モデルが予想したよりも速く変化した実際のビジネス活動が関わっている。そのため、アノマリー主導型セキュリティは、奇妙な活動を見つけるかどうかで判断されてはならない。それは、奇妙な活動がどれだけ頻繁に有用な判断になるか、そして組織がそれを受け入れるためにどれだけのレビューを費やさなければならないかによって判断されなければならない。
Darktrace の境界はツールよりも広く、保証よりも狭い
Darktrace の現在の公開製品領域は広い。プラットフォームには、ネットワーク検出・対応、メール保護、クラウドセキュリティ、アイデンティティ防御、エンドポイントカバレッジ、OT モニタリング、攻撃対象管理、露出管理、インシデント準備、フォレンジック取得が含まれる。また、同社は Cyber AI Analyst も販売している。これは、人間の調査要素を反映し、アラートの負担を軽減するとする機械駆動型の調査レイヤーである。これにより Darktrace は、ポイント製品ではなく、セキュリティ運用レイヤーに近いものとなっている。
広い製品領域は、サイバーバイヤーが断片化されたツールに飽きているため、商業的に重要である。相関に依存する製品の約束には、技術的にも重要である。アイデンティティコンテキストなしのネットワークアノマリーは弱すぎるかもしれない。エンドポイントやクラウドコンテキストなしのアイデンティティアノマリーは漠然としすぎるかもしれない。下流のアカウント行動を含まないメールアノマリーは、フィッシングに続く侵害を見逃すかもしれない。Darktrace の価値は、その領域が互いを強化するときに増大する。
しかし、境界は正直に保たれなければならない。Darktrace は、顧客のパッチ適用プログラム、アイデンティティガバナンスモデル、インシデント指揮者、バックアップ戦略、クラウドアーキテクチャ、ユーザートレーニングプログラム、エグゼクティブリスク選好ではない。観察し、相関させ、推奨し、時に行動することができる。機器の整備が不十分な環境をクリーンにすることはできない。曖昧な対応ポリシーを信頼できる封じ込め判断に変えることはできない。回避されたすべてのインシデントが侵害になっていたと証明することもできない。
この区別は、同社の 2024 年のプライベート化取引後に中心となる。Thoma Bravo は、2024 年 10 月に Darktrace の買収完了を発表し、同社を約 53 億ドルと評価し、その時点で Darktrace が約 1 万社の顧客を保護し、従業員数が 2,400 人以上であると述べた。Thoma Bravo の発表では、このプラットフォームがクラウド、メール、アイデンティティ、オペレーショナルテクノロジー、エンドポイント、ネットワークをカバーしているとも説明されている。規模は Darktrace に流通、サポート能力、製品投資をもたらすが、それだけで信頼性の問題に答えるわけではない。
反復的なセキュリティタスクが経済性の出発点
Darktrace の経済的根拠が最も強いのは、人間のチームがすでに実行に苦労している反復的な作業においてである。セキュリティ運用チームは、トリアージ、エンリッチメント、重複アラート、コンテキスト収集、インシデントノート、ツール間の引き継ぎに多くの時間を費やしている。プラットフォームがこれらのループを削減できれば、そのリターンは具体的である。バイヤーは、プラットフォームが専門家の判断を置き換えると信じる必要はない。専門家の判断が、より少なく、より形成された判断に予約されることになると信じればよいだけである。
Darktrace のCyber AI Analyst ページでは、製品がセキュリティチームに追加のアナリスト容量に相当するものを提供し、機械学習技術を使用してデータに質問し、仮説をテストし、結論に達し、調査の 4% 未満しか人間のレビューを必要としないとされている。また、SOC 変革の資料では、Cyber AI Analyst がサードパーティのアラートを含む関連アラートを調査でき、Darktrace 自身の調査では、レベル 2 分析と文書作成レポート時間の大幅な年間節約と関連しているとされている。これらはベンダーの主張であり、そのように扱われるべきである。それでも、実際の痛みに向けられている。
反復的なタスクは魅力的ではない。それらには、稀なログインが興味深いかどうかの判断、ファイル転送がそのアカウントにとって正常かどうかの判断、新しいクラウド API 呼び出しが正当かどうかの判断、送信メールパターンが疑わしいかどうかの判断、デバイスがそれらしく振る舞っているかどうかの判断、ファイアウォールブロックが安全かどうかの判断、ケースがエスカレーションに値するかどうかの判断、インシデントノートに他のアナリストが信頼するのに十分な証拠が含まれているかどうかの判断が含まれる。これらのタスクが時間を消費するのは、それぞれにコンテキストが必要だからである。
これが、Darktrace のベンチマークが巧妙な検出のデモンストレーションではなく、導入前後の運用テストであるべき理由である。導入前にアナリストに届いたアラートはいくつか？チューニング後に残っているのはいくつか？インシデントとして受理されたのはいくつか？有用な封じ込めに至ったのはいくつか？無害として再オープンされたのはいくつか？対応アクションによって引き起こされたビジネス中断はいくつか？以前は複数のコンソールを必要としたコンテキストをプラットフォームが組み立てたことで、調査がどれだけ速くなったか？これらの質問に答えられる製品は、セキュリティ運用を改善する。答えられない製品は、依然として印象的かもしれないが、正当化することがより難しい。
ベースラインはビジネスが変化するまでは有用
自己学習型セキュリティの魅力は明らかである。署名や過去の脅威インテリジェンスだけに依存する代わりに、製品が特定の組織の仕組みを学習し、その生きたベースラインからの逸脱をフラグできる。Darktrace のメールセキュリティページは、このアイデアをコミュニケーションに適用し、製品が数千のデータポイントを分析し、疑わしいメッセージをタグ付け、保留、または隔離できるとしている。ネットワークページも、デバイス、ユーザー、接続の振る舞いに同じロジックを適用している。この概念は、多くの実際の攻撃が既知のマルウェアや既知のインフラとして認識される前に異常であるため、防御可能である。
リスクも同様に明らかである。ビジネスは実験室ではない。サプライヤー、地域、クラウドアーキテクチャ、オフィスパターン、ペイロールシステム、アイデンティティプロバイダー、勤務時間を変更する。企業を買収し、プラントを開設し、請負業者を雇い、メールテナントを移行し、製品を発売し、危機に対応する。これらの変更はそれぞれベースラインを乱す可能性がある。あまりに遅く適応するベースラインはノイズを生む。あまりに速く適応するベースラインは悪意のある行動を正常化するかもしれない。ビジネスコンテキストを理解していないベースラインは、重要だが正当な行動を脅威として扱うかもしれない。
ここで、調達言語がしばしば滑らかになりすぎる。プラットフォームは行動から学習できるが、それでも十分に安定した観測と意味のあるラベルに依存している。資産の所有権が必要であり、アイデンティティマッピングが必要であり、例外が必要であり、判断を有用または誤りとしてマークできるアナリストからのフィードバックが必要であり、変更フリーズが有効な時期や移行が予想される時期を知る必要があり、推測を避けるために完全なテレメトリへのアクセスが必要である。
モデルドリフトはデータサイエンスの問題だけではない。セキュリティツールにおいて、ドリフトは信頼の問題になる。ビジネスが変わるたびにシステムが過剰反応することをアナリストが学習すれば、対応ポリシーを弱めるか、推奨を無視するだろう。疑わしい行動にあまりにカジュアルに適応することを学習すれば、その安心感を信用しなくなる。製品が成功するのは、ベースラインがインストールとともに魔法の特性として現れるものではなく、ガバナンスが必要な運用資産として扱われる場合である。
対応は奇跡ではなく、ポリシーの選択
Darktrace の最も特徴的な機能は長らく自律対応であった。同社は、ユーザーデバイス、ネットワークデバイス、SaaS アカウント、メールメッセージにわたる対応を説明しており、そのマルチプラットフォーム対応に関するリサーチノートでは、効果的な対応には単一のユーザーを表すエイリアスと行動を関連付けることが必要であると説明している。この点は重要である。プラットフォームがいくつかのアカウント、デバイス、サービスが一人の人物または一つのプロセスに属していることを理解できなければ、誤った場所で対応するか、真の連鎖を見逃す可能性がある。
対応アクションの公開例は、意図的に狭い。メールの隔離、疑わしい通信のブロック、感染したデバイスの隔離、ユーザーへの再認証の強制、接続の制限、ファイアウォールやクラウド統合を介したアクションのトリガーである。これらのアクションは滞留時間を短縮できる。また、ビジネスコストを生み出す可能性もある。ブロックされた産業用ワークステーション、隔離されたエグゼクティブのメール、無効化された SaaS アカウント、展開中に取られたクラウドアクションは、セキュリティの意図が健全であっても損害を引き起こしうる。
これは自律対応に反対するものではない。対応の階層化を支持するものである。低信頼度のアノマリーは、エンリッチメントとキューイングに値するかもしれない。中信頼度のアノマリーは、ユーザー検証、タグ付け、レート制限、可逆的なネットワーク制限に値するかもしれない。高信頼度の連鎖は、一時的な封じ込めを正当化するかもしれない。重要な資産は、アクションが低影響であることが分かっている場合を除き、より厳格な人間の承認を必要とするかもしれない。対応ポリシーはインシデントの前に書かれるべきであり、その過程で即興で作られるべきではない。
NIST のコンピュータセキュリティインシデント対応ガイドは、インシデント対応を準備、検出・分析、封じ込め、根絶、復旧、インシデント後活動を含むライフサイクルとして扱っている。この構造は、Darktrace の約束に対する有用なチェックである。検出と封じ込めだけでは不十分である。バイヤーは、証拠の取得、復旧計画、教訓の学習、所有権、コミュニケーションも必要とする。製品はライフサイクルの真ん中を加速させることができるが、組織にはその他の部分に対する責任が残る。
メールが示す期待と測定の問題
メールは、なりすまし、緊急性、関係履歴、通常のコミュニケーションパターンからの逸脱に依存するため、Darktrace の行動モデルの自然な適用場所である。メール製品は、セキュアメールゲートウェイで見逃されたメッセージを捕捉し、平均して他のソリューションよりも早く脅威を阻止し、タグ付けから完全な隔離に至るまでのアクションをとると主張している。これらの主張は、メールが行動上の手がかりに富むため、形としてはもっともらしい。しかし、顧客自身のメールフロー、誤検出履歴、インシデント結果なしに評価するのは難しい。
課題は、メールセキュリティの指標が滑りやすい可能性があることだ。「より多くの脅威がブロックされた」は、成功した侵害が少ないことと同じではない。「より早期の検出」は、比較セット、キャンペーンタイプ、誤検出の扱いが不明瞭な場合、より良いビジネス結果とは同じではない。隔離アクションは、悪意あるメッセージがユーザーに到達するのを防ぐ場合に価値がある。しかし、それは正当な取引、法的通知、運用指示を中断する場合にはコストがかかる。プラットフォームは、これらのケースを繰り返し選別しなければならない。
良い Darktrace メール展開は、受理された判断によって測定されるだろう。すなわち、正しく保留されたメッセージ、受信者全体で正しく相関されたキャンペーン、メール活動の変化後に検出された侵害アカウント、フィードバック後に削減された誤保留、ツールがなぜコミュニケーションが異常であるかを説明することで高速化されたインシデントレビュー。弱い展開は、余分なコンソール時間、ユーザーからの異議申し立て、ポリシーに積み上げられた例外、製品が下すべきではなかった判断をアナリストが手動で取り消すことによって測定されるだろう。
メールはまた、クロスドメインの主張をテストする。フィッシングはアイデンティティの悪用につながるかもしれない。アイデンティティの悪用はクラウドの持ち出しにつながるかもしれない。Darktrace がメール、アカウントの行動、その後のデータ移動をすべて見ることができれば、ポイントメールコントロールに対する利点は本物である。メッセージだけしか見ていなければ、その利点は狭まる。プラットフォームのストーリーは、ドメインが結びついているときに最も強力である。
クラウドと OT が重要性を高める
クラウド環境は単なるリモートサーバーではない。それらはコントロールプレーン、アイデンティティ、API、コンテナ、ストレージサービス、データパイプライン、一時的なリソースである。Darktrace のクラウドページは、製品がハイブリッドおよびマルチクラウド環境をサポートし、クラウド検出・対応に焦点を当て、多段階のデータ流出などのガイド付きシナリオを提供するとしている。これは、クラウド攻撃がしばしば不正な方法で使用される正当な資格情報を含むため、行動分析にとって正しい領域である。
同じ領域が難しいのは、通常のクラウドの振る舞いが非常に弾力的だからである。新しいビルドパイプライン、Infrastructure-as-Code の変更、データサイエンス実験、リージョン拡張、インシデント復旧テストは、疑わしい振る舞いを生成する可能性がある。クラウド資産は寿命が短い場合がある。ログは高価か不完全かもしれない。アクセス経路は間接的かもしれない。プラットフォームの価値は、攻撃的な振る舞いを現代のエンジニアリングのノイズから分離できるかどうかにかかっている。
オペレーショナルテクノロジーはさらにデリケートである。Darktrace のOT ページは、製品を重要インフラのために特別に構築されたものとして提示し、CVE マッピングを超えた OT リスク管理と AI 搭載の検出・対応を組み合わせているとしている。必要性は現実的だ。産業環境には、レガシーシステム、ベンダー管理機器、弱いセグメンテーション、高額なダウンタイムコストが含まれることが多い。しかし、OT 対応はオフィス IT とは異なるリスクプロファイルを持つ。ラップトップに許容される封じ込めアクションが、プラントコントローラーでは許容されない可能性がある。
これは、プラットフォームが OT で受動的であるべきだという意味ではない。対応の境界は、より保守的で、よりリハーサルされ、より資産固有であるべきだという意味である。多くの OT ケースでは、最も価値のあるアクションは、自動的な中断ではなく、早期の可視性、相関、エスカレーションかもしれない。製品の信頼性は、安全性と可用性の制約を尊重しながらも、収束した IT および OT 環境全体の異常な動きを検出できることを示すことにかかっている。
統合は後付けではなく、製品の一部
Darktrace の公開統合リストには、クラウドプラットフォーム、Microsoft Sentinel、ファイアウォール、VPN、エンドポイント、SaaS システムが含まれている。統合ページでは、例えば AWS と Azure の統合がクラウドベースの脅威を検出・対応するのに役立ち、Azure Sentinel が Darktrace AI Analyst のインシデントやモデル侵害アラートを分析できると述べている。ネットワーク固有の統合ページには、Check Point ファイアウォールへの自律対応の拡張や、VPN データを通じたユーザーとデバイスの追跡のエンリッチメントなどの例が挙げられている。
これは重要である。なぜなら、受理されたアノマリー判断が一つのコンソールに収まることは稀だからだ。疑わしいデバイスにはエンドポイントの証拠が必要かもしれない。疑わしいユーザーにはアイデンティティプロバイダーのログが必要かもしれない。疑わしいクラウドアクションには IAM、ストレージ、ネットワークのコンテキストが必要かもしれない。疑わしいメールにはメールボックス、アカウント、ブラウザの証拠が必要かもしれない。Darktrace がレビューコストを削減できるのは、そのコンテキストをひとまとめにするか、アナリストが既に作業しているツールに判断をエクスポートする場合だけである。
統合はまた、メンテナンスコストを生み出す。API は変わる。権限は期限切れになる。クラウドアカウントは増える。SIEM スキーマはドリフトする。ファイアウォールポリシーチームは広範な対応権限に抵抗する。アイデンティティグループは混乱する。ベンダーの統合ディレクトリは、特定の企業での信頼できる展開を保証するわけではない。バイヤーは、どの統合が読み取り専用か、どれがアクションを取れるか、どれが昇格権限を必要とするか、どのように監査されるか、誰がコネクタを所有するか、失敗がどのように表出されるか、統合が壊れたときに Darktrace の推奨が適切に劣化するかを尋ねるべきである。
最も危険な失敗は、静かな部分的可視性である。プラットフォームがログソースを失ったり、統合が古くなったりしても、アナリストは依然として自信に満ちた見解を見るかもしれない。成熟度の高い展開では、脅威を監視するのと同じくらい注意深く、テレメトリと対応コネクタの健全性を監視すべきである。それなしでは、Darktrace は、見かけ上の自信が実際の証拠を超える別のツールになりかねない。
顧客の証拠は作業負荷の軽減を支持するが、普遍的確実性ではない
Darktrace が公開する顧客事例は有用だが、注意して読まれなければならない。そのNCG 顧客事例では、英国の教育グループが調査時間を数週間から数分に短縮し、1 か月で 20,940 件の AI 調査を記録し、その月に潜在的なインシデントの 97% を自律的に解決し、24 日間で 15,835 時間のアナリスト調査時間を節約したと述べている。Vulcan Steel の事例では、脅威の 99% が自律的に調査され、潜在的脅威への平均自律対応時間は 30.5 秒で、3 か月で 22 億のイベントから人間の調査対象となるインシデントが 27 件発生したとされている。
これらは、劇的な攻撃の物語ではなく、反復的な運用負荷を指し示しているため、意味のあるシグナルである。これらは、一部の環境では Darktrace がアナリストの負担を軽減し、より少なく、より形成されたインシデントを表面化できることを示唆している。また、これらはベンダーが選択した事例研究によるものでもある。完全なベースライン、チューニング期間、元の誤検出率、重大度の混合、顧客の代替ツール、覆された判断の数、異なる業界で同じ結果が得られるかどうかは明らかにされていない。
正しい教訓は、シニシズムでも盲目的受容でもない。顧客事例は、製品が実際の環境で機能しうる証拠である。それらは、すべての環境で機能するという証明ではない。真剣なバイヤーは、事前に合意された尺度、すなわちアラート量、受理されたインシデント率、アナリスト時間、誤封じ込め、理解するまでの平均時間、対応の取り消し、テレメトリギャップ、ビジネス中断を用いて、自身のテレメトリに対するトライアルを要求すべきである。ベンダーは、製品の実際の主張と一致するため、その種の測定に抵抗を感じるべきではない。
Integrity360 を通じて提供される Darktrace Active AI Security Platform の英国政府デジタルマーケットプレイスリストも、アラートトリアージ時間の短縮、ダウンタイム対応の改善、クラウド資産の可視性向上といった運用成果を指摘している。このG-Cloud リストは、提案を調達言語に変換しているため有用である。それでも、サプライヤーが提供する証拠である。バイヤーは、自身の環境に対して前提をテストしなければならない。
証明はローカルでなければならない
最も重要な評価は、セールスミーティングで行われるのではない。プラットフォームがバイヤー自身の環境を観察し、事前に合意された運用尺度で判断されたときに行われる。Darktrace の広範な約束は、一般的な証明を異常に弱くする。クリーンなデモンストレーションは、異常なシーケンスがどのように提示されるかを示すことができるが、顧客の通常の振る舞いがノイズが多いかどうか、クラウドログが完全かどうか、アイデンティティデータが信頼できるかどうか、プラントネットワークに脆弱なデバイスがあるかどうか、アナリストが行動に移すのに十分信頼できると感じるかどうかを示すことはできない。
真剣な評価は、ベースライン期間と、バイヤーが所有する文書化された判断台帳から始めるべきである。表面化された各イベントは、いくつかの単純なカテゴリーに分類されるべきである。すなわち、有用なインシデント、有用な早期警告、無害だが理解できる、無害だがノイズ、見逃されたコンテキスト、安全でない推奨アクション、または盲点である。目的は、ツールを不確実性で罰することではない。目的は、有用になる不確実性と作業になる不確実性を分離することである。バイヤーはまた、単に発見数だけでなく、発見を理解するのに必要な時間も追跡すべきである。各 5 分のアラート 10 件は、午後を費やして 3 つのチームが検証する美しく提示された 1 ケースよりも良いかもしれない。
対応は段階的にテストされるべきである。第 1 段階は読み取り専用でアドバイザリとすることができる。第 2 段階ではタグ付け、エンリッチメント、ユーザー検証などの低影響アクションを許可できる。第 3 段階では、定義された資産クラスでの一時的な制限を許可できる。第 4 段階は、封じ込めが高信頼度で運用上許容される少数のケースに予約されるべきである。バイヤーはより強力な段階を有効にする前に、取り消しをリハーサルすべきである。迅速に取り消せない対応は、単なるセキュリティの選択ではなく、ビジネス継続性の問題になる。
トライアルには、計画されたビジネス変更を含めるべきである。メール移行、クラウド展開、新しいサプライヤー接続、テストメンテナンスウィンドウは、プラットフォームが正当なサプライズをどのように扱うかをバイヤーに見せる。システムがすべての変更を敵対的として扱えば、セキュリティチームは溺れるだろう。変更をあまりにカジュアルに正常化すれば、同じ動きの中に隠れた悪用を見逃すかもしれない。有用な製品とは、違いを見るにつれてより良い質問をし続けるものである。
このローカル証明は、代替品が具体化する場でもある。バイヤーは、Darktrace の調査結果を EDR ケース、SIEM 相関、クラウドネイティブアラート、メールセキュリティの保留、脆弱性の優先順位、マネージドプロバイダーのエスカレーションと比較できる。Darktrace がスタックの残りが見逃したケースを説明すれば、購入の根拠が強まる。それらのツールが既に述べていることを繰り返すのであれば、プレミアムを正当化するのが難しくなる。
経済性は重複した労働を避けるかどうかに依存する
Darktrace のプライベート化前の最後の公開市場報告は、商業的圧力を理解するのに役立つ。ロンドン証券取引所の2024 年第 4 四半期の取引更新では、2024 年 6 月 30 日時点で年間経常収益が 7 億 8,220 万ドル、顧客数が前年比で 9,735 に増加し、純新規顧客の追加があったと報告している。その後、同社はプライベートエクイティの所有下に移行した。戦略的メッセージは規模である。バイヤーの問いは、予算が統合される中でプラットフォームがセキュリティ予算の取り分を維持し続けるかどうかである。
その答えは、重複した労働にかかっている。Darktrace が別のコンソール、別のアラートフィード、別のチューニング負担になるのであれば、経済性は弱まる。複数の狭いコントロールを置き換え、調査時間を短縮し、アナリストの疲労を減らし、クロスドメインの証拠を改善し、より狭い対応判断をサポートするのであれば、経済性は改善する。高いライセンス価格は、手動トリアージの必要性を減らし、滞留時間を短縮し、回避可能なビジネス影響を防ぐのであれば正当化できる。AI ブランディングだけでは正当化できない。
監督のコストもある。自律システムは監視をなくすのではなく、その形を変える。誰かが対応ポリシーをレビューし、例外を処理し、誤検出を検査し、見逃された検出を確認し、統合を維持し、資産コンテキストを更新し、ベンダーの変更を評価し、アナリストがアウトプットを解釈するよう訓練しなければならない。これらのタスクは手動のアラート処理よりも安いかもしれないが、ゼロではない。現実的な比較は、「Darktrace 対 人間」ではない。Darktrace と監督の組み合わせ対、SIEM ルール、EDR、クラウドネイティブアラート、メールセキュリティ、SOAR プレイブック、マネージド検出、人間のレビューの組み合わせである。
したがって、Darktrace の最良の商業的地位は全面的な置き換えではない。それは判断のレバレッジである。プラットフォームが多数の弱いシグナルを少数の防御可能な判断に変えるならば、それは金を稼ぐ。同じ不確実性を新しい言葉に移しただけならば、バイヤーは二度支払う。製品に一度、それを解釈しなければならないアナリストに再度。
失敗モードは予測可能
主な失敗モードは珍しいものではない。第一に、ノイズの多いベースラインである。学習されたノルムが不安定だったり、不十分にセグメント化されていたりすると、アナリストはあまりにも多くのアノマリーを受け取り、システムをチューンダウンする。第二に、低速度で潜伏する見逃しである。十分に忍耐強く振る舞う攻撃者は、特に侵害された資格情報がもっともらしい時間とアクセス経路で使用される場合、急激な偏差を生み出さないかもしれない。第三に、ビジネス変更の混乱である。移行、買収、新しいサプライヤー、緊急の運用変更は侵害のように見えるかもしれない。
第四に、誤封じ込めである。正当な活動をブロックする対応は、セキュリティツールを可用性リスクに変える可能性がある。第五に、不透明な推奨である。アナリストがプラットフォームがその結論に至った理由を理解できなければ、それを過信するか無視するかのどちらかであり、どちらも危険である。第六に、部分的可視性からのアラート洪水である。心配するには十分だが判断するには不十分と見るプラットフォームは、作業負荷を増加させる可能性がある。第七に、ロールバック失敗である。封じ込めアクションは可逆的で、文書化され、所有されなければならない。
製品ポジショニングのリスクもある。ベンダーの言葉は、不確実性を圧縮する形で「異常な振る舞いを検出する」から「攻撃を阻止する」へと滑ることがある。最初の記述は技術的主張である。二番目は成果の主張である。Darktrace は、そのプラットフォームが顧客環境で脅威を検出し対応してきたと信頼性を持って言うことができる。バイヤーやセールス資料が、異常検出から侵害防止が自動的に続くことをほのめかすならば、より慎重に判断されるべきである。
セキュリティチームは、展開中に自身の失敗登録簿を維持すべきである。すべての誤検出、誤検出、対応の取り消し、盲点、見逃されたコンテキストを、それを引き起こした特定の条件とともに記録するべきである。時間を経て、その登録簿は一般的な機能リストよりも価値が高くなる。それは、プラットフォームがビジネスを学習しているのか、あるいはビジネスが単にプラットフォームの周りで働くことを学んでいるのかを示す。
ガバナンス標準が不足しているコントロールを指摘する
独立したサイバーセキュリティフレームワークは、製品をより広範なリスクプロセス内に留めるため、ここで有用である。NIST のサイバーセキュリティフレームワーク 2.0は、検出をガバナンス、識別、保護、対応、復旧の横に置いている。これは、アノマリー主導型検出が弱いガバナンスや復旧を補償できないため重要である。CISA のインシデントおよび脆弱性対応プレイブックも同様に、特定、調整、修復、復旧、緩和の追跡のための標準手順を強調している。
AI 固有のガバナンスについては、NISTAI リスクマネジメントフレームワークが、AI システムがリスクマッピング、測定、管理を必要とすることを想起させる。Darktrace の展開では、それはプラットフォームがどの判断に影響を与えうるか、どのアクションが人間の承認を必要とするか、どのデータソースがモデルに供給されるか、どの資産が自動中断には敏感すぎるか、どの指標が改善を証明するか、どの失敗がレビューをトリガーするかを知ることを意味する。
Darktrace 自身のトラストセンターは、同社が ISO 27001、ISO 27018、ISO 42001 関連の文書を保持しており、これを責任ある AI とセキュリティ実践の一部として位置付けていると述べている。これらのコントロールはベンダーの信頼にとって重要である。それらは顧客側のガバナンスを置き換えるものではない。ベンダーが強力な内部統制を持つ一方で、顧客が弱い権限、弱い例外処理、曖昧な対応所有権で製品を展開することはあり得る。
実践的なガバナンスの問いは単純である。誰が Darktrace の判断を受け入れることを許可されているのか？一部の組織では、セキュリティ運用チームが対応アクションを承認できる。他では、ネットワーク、アイデンティティ、クラウド、法務、OT、ビジネスオーナーが関与しなければならない。所有権モデルが不明瞭な場合、製品は受動的アラートに制約されるか、適切な説明責任なしに行動することを許される。どちらも理想的ではない。
代替品は現実的であり、時に十分である
Darktrace は、類似のアノマリー主導型プラットフォームだけでなく、より狭いコントロールの組み合わせとも競合する。成熟した EDR 展開は既にエンドポイントの侵害を検出し封じ込めるかもしれない。チューニングされた SIEM は既にアイデンティティとクラウドログを相関させるかもしれない。SOAR プラットフォームは既に対応プレイブックを調整するかもしれない。クラウドネイティブセキュリティツールは、自身のドメイン内で AWS、Azure、Google Cloud をよりよく理解するかもしれない。メールセキュリティ製品は、より強力なメッセージ固有のデータを持つかもしれない。マネージド検出・対応プロバイダーは、同じ内部スタッフを必要とせずに、バイヤーに人間の専門知識を提供するかもしれない。
代替の問いは、それらの代替品が一般的に優れているかどうかではない。それは、組織の主な痛みがクロスドメインのアノマリー判断の質にあるかどうかである。主な痛みがエンドポイントマルウェアの封じ込めであれば、EDR で十分かもしれない。主な痛みがクラウドの姿勢であれば、CNAPP や CSPM ツールの方が直接的かもしれない。主な痛みが分析者の不足であれば、マネージド検出がより有用かもしれない。主な痛みがネットワーク、アイデンティティ、メール、クラウド、OT にわたる断片化されたシグナルであれば、Darktrace の統合モデルがより魅力的になる。
戦略的な代替案もある。基本を改善することだ。資産インベントリ、アイデンティティの衛生、セグメンテーション、ログ、バックアップの回復力、パッチの優先順位、インシデントのリハーサルは、しばしば別の検出レイヤーよりも直接的にリスクを低減する。Darktrace の露出管理と攻撃対象モジュールは、この広い領域を認識しているが、バイヤーは検出を制御の代替として扱うべきではない。最良の展開は、組織が攻撃対象を削減し続けながら、Darktrace を使って異常な振る舞いを見つけて理解することである。
不快な真実は、多くのバイヤーが経営に属する曖昧さを吸収する AI 製品を望んでいることだ。Darktrace は優先順位付けを助けることができる。組織のリスク許容度を単独で決定することはできない。ツールは「これは異常であり、潜在的に有害である」と言うことができる。企業は依然として、事業がそのユーザー、サービス、デバイスの自動隔離を許容できるかどうかを決定しなければならない。
Darktrace が勝てる場所
Darktrace は、セキュリティチームが十分なテレメトリ、十分な資産コンテキスト、プラットフォームがノイジーになることなく学習できるだけの規律を持っている環境で勝つことができる。攻撃対象がメール、ネットワーク、クラウド、アイデンティティ、OT にわたる場合に勝つことができる。アナリストがアラートに溺れながらも、どのアラートが受理されたインシデントになるかを測定する成熟度を持っている場合に勝つことができる。対応ポリシーが段階的で、可逆的で、ビジネス所有権に結びついている場合に勝つことができる。
特に、静的ルールでモデル化しにくい複雑な環境の組織に適している。大学、製造グループ、分散インフラオペレーター、医療ネットワーク、大規模プロフェッショナルサービス企業、市政府、レガシーとクラウドが混在する環境を持つ企業などである。これらの設定は、単純なシグネチャを弱くするのに十分な多様性と、ベースラインを有用にするのに十分な反復行動を含んでいる。また、過信した封じ込めを罰するのに十分な運用リスクも含んでいる。
Darktrace は、可視性が低く、所有権が断片化されている場合、または組織が運用上の作業を行わずにセキュリティの保証を購入しようとする場合には、説得力が低くなる。また、バイヤーが自身のテレメトリに対してプラットフォームを評価することにコミットできない場合も同様である。アノマリー主導型製品は、それが保護する環境で判断されなければならない。公開された主張、顧客事例、アナリストの評価は、トライアルを正当化できるが、それに取って代わることはできない。
したがって、最終的な判断は条件的だが明確である。Darktrace は、戦略的に重要になったカテゴリー、すなわち広大なエンタープライズシステムにわたる機械支援型の検出、調査、対応において、真剣なプラットフォームである。その価値は、流行の AI 言語を使用するかどうかではなく、異常な振る舞いを受理された判断に繰り返し変換するかどうかにかかっている。それができれば、リスクとアナリストの負担を軽減する。できなければ、不確実性をコストに変えるリスクを負う。
バイヤーの負担は、その区別を見えるように保つことである。プラットフォームが何を見たのか尋ねよ。何を見なかったのか尋ねよ。なぜその判断が受理されたのか尋ねよ。どのようなアクションが取られたのか尋ねよ。どのように取り消されたのか尋ねよ。類似の判断のうちいくつが間違っていたのか尋ねよ。ビジネス変更後に結果が改善したかどうか尋ねよ。Darktrace の約束は、モデルに付けられたレッテルではなく、これらの問いの中で生きるか死ぬかである。