要約

  • Palo Alto Networksは8月3日、Cortex eXtended Threat Intelligence（Cortex XTI）とUnit 42 Threat Intel Servicesから成るUnit 42 Threat Intelligenceを発表した。
  • Cortex XTIはUnit 42の調査をCortexに組み込み、攻撃者、キャンペーン、マルウェア、露出を顧客環境の文脈で絞り込む設計だと同社は説明している。
  • サービス側は、活動中の攻撃や実際のインシデントを追うUnit 42のアナリストに顧客を直接つなぐ。
  • 同社は7万社超への可視性、数十億件のイベント分析、1日約900万件の新規脅威の特定、数千件のインシデント対応経験を基盤として挙げた。
  • 価格、提供形態、利用開始日、SLA、データ所在地、精度、アナリストの処理能力、削減工数、顧客成果は示していない。

情報量より、行動までの手間を売る

脅威インテリジェンスで不足しやすいのは指標そのものではない。自社の技術や露出に関係するものを見分け、検知ルールやハンティング、対応へ落とす時間が足りない。Palo Alto Networksが狙うのは、この判断と変換にかかる人件費だ。

Cortex XTIはソフトウェアによる経路である。世界規模の観測と顧客環境を結び、重要な情報を予防、検知、調査などの流れに持ち込むという。Unit 42 Threat Intel Servicesは別の役割を持つ。攻撃者を追う専門家から、顧客別の調査や助言を得るサービスだ。

この違いは価格を考えるうえでも重要だ。画面やデータモデルの統合は、転記や接続作業を減らせるかもしれない。専門家サービスは社内にない知識や時間を補える。しかし発表は、両者のライセンス、組み合わせ、価格、要員数を明らかにしていない。

7万社という規模は、個別判断の正しさを証明しない

Palo Alto Networksは、7万社を超える顧客、数十億件のイベント、1日約900万件の新規脅威、数千件のUnit 42対応案件を掲げた。いずれも同社による規模の説明であり、ある企業にとって最も重要な脅威を正しく選べるという検証結果ではない。

買い手が得たいのは関連性である。実際に使っている技術や露出に照らして候補を絞れれば、分析時間を減らし、対応を早められる可能性はある。ただし発表には、導入前後のアラート数、誤検知、見逃し、検知時間、対応時間、損失の比較がない。効果は仕組みとして説明されただけだ。

観測量が増えれば雑音も増え得る。優先順位が説明可能で、担当者が確かめられ、実際の行動につながることが必要になる。1日約900万件という数字は入力規模を示すが、顧客側の生産性を測る数字ではない。

統合は引き継ぎを減らし、交渉力も移す

すでにCortexを使う企業なら、テレメトリー、脅威情報、調査を同じ基盤で扱う利点がある。コネクターや手作業のエクスポートを減らせれば、セキュリティチームが受益する。Palo Alto NetworksはCortexを日常業務の中心に置き、Unit 42サービスへ予算を広げやすくなる。

同時に集中リスクが生じる。優先順位、調査履歴、専門家支援が一社に寄るほど、一部を交換したときに他の部分も揺れる。顧客は運用速度と引き換えに、移行費用の増加、価格交渉力の低下、ベンダーの収集範囲への依存を負う可能性がある。

確認すべきは持ち出せる資産だ。指標、攻撃者情報、露出の文脈、ケース、検知ロジック、調査履歴、優先順位の根拠を、別の環境で再利用できるのか。エクスポート機能があっても、移行を試していなければ退出経路とは呼べない。他社製品の証拠とCortexの判断が食い違う場合の扱いも重要になる。

対応の責任は顧客に残る

同社は、重要なものを見極め、相手を理解し、行動するための支援だと説明する。アナリスト、検知エンジニアリング、インシデント対応を置き換えるとは述べていない。遮断、隔離、エスカレーションの影響を引き受けるのは顧客企業である。

顧客環境の情報をどう取得・保持・分離するか、どこで処理するか、対象となるCortex製品、優先順位の算出方法も不明だ。Unit 42の人的サービスについても、契約上の応答時間や処理可能量がない。緊急時に使えるのか、計画調査向けなのかは、こうした条件で決まる。

導入評価には既知の事例が使える。存在する露出を拾えるか。キャンペーンとの関係を説明できるか。推奨から証拠までたどれるか。社内評価と順位が違うとき、検証後にどちらが正しかったか。「文脈付き」という表現を運用品質に変えるには、この試験が必要だ。

経済性は脅威の件数ではなく、減った工数で測る

脅威情報の費用には、購読料のほか、統合、データ処理、仕分け、検知開発、レビューが含まれる。Palo Alto Networksは調査、運用基盤、専門家を接続し、その予算を広く取り込もうとしている。買い手は導入後の総作業量が減ったかを測るべきだ。

見るべき数字は、情報の適格性確認に要した時間、発見から制御実装までの時間、重複調査、文脈不足で却下した推奨、結果を変えた事例などである。8月3日の発表にこれらはない。価格、一般提供、SLA、第三者検証も未公表だ。

今回確定したのは戦略の方向であって、投資収益ではない。Palo Alto Networksは大量の信号と限られた分析時間の間にある判断層を取りに来た。精度が伴えば顧客は注意力を買い戻せる。伴わなければ、検証が必要な主張を、より深く統合された形で受け取るだけになる。

示していない商用条件には価格と提供形態が含まれ、成果を裏付ける独立評価もない。導入判断は、公開される条件と顧客側の実測を待つ必要がある。

情報源