VMware VMware Carbon Black

VMware Carbon Black Cloud(以下Carbon Black Cloud)は、次世代アンチウイルス(NGAV)やEDR(Endpoint Detection and Response) 、脆弱性診断といった機能をクラウド上で提供するセキュリティソリューションです。クラウド上で行われるビッグデータ解析を通して、巧妙化する高度なサイバー攻撃から端末を安全に保護します。
あらゆるイベントやプロセスを記録しており、万が一のセキュリティインシデント発生時には過去に遡った状況の可視化や調査、リモートからの復旧対応が可能です。

Carbon Black Cloudのセンサーが導入されたエンドポイントはクラウドとポーリング通信を行い、各機能がクラウドから提供されます。Carbon Black Cloudは「攻撃侵害を受けたエンドポイント」の特定だけでなく、「封じ込め」という重要な作業が完了したと判断するために、「侵害を受けていないエンドポイント」の明確化も行います。
多くのEDR製品は「検知」を最優先に設計されており、検知プロセス中に不要と判断されたデータは短期間で破棄されます。Carbon Black Cloudは検知後に必要な作業にも注力し、不要と判断される可能性のあるデータでも長期間保持しているので、迅速かつ正確なインシデント対応が可能です。
NGAVとEDRをセットで提供するCarbon Black Cloudを導入することで、未知のサイバー攻撃に対するセキュリティが強化され、万が一の感染時に求められる迅速な復旧対応が可能になります。

NGAVはサイバー攻撃の「振る舞い」に着目し、AIやビッグデータ解析によるイベント分析で不審な挙動を検知します。これは既知のマルウェアが持つ「ファイル」をベースにした従来のアンチウイルスとは異なるアプローチであり、ゼロデイ攻撃や未知のマルウェアを検知できる技術です。
一方で、EDRはセキュリティ被害の発生を前提としており、エンドポイントで発生したログやイベントを調査・分析することで、攻撃の進行状況や根本原因を特定し、ネットワーク隔離や詳細調査といった復旧作業を行うためのソリューションです。Carbon Black社(後にVMware社が買収)はEDRソリューションを初めて市場に投入したセキュリティメーカーであり、Carbon Black社のMichael Viscuso氏はEDRの生みの親と言われています。

どのような対策をしてもウイルスの侵入を100%防御することは不可能であるため、侵入を前提に目的遂行をEDRで防ぎます。Carbon Black CloudのEDRは疑わしい情報のみならずエンドポイントのすべての動きを記録しており、過去に遡って調査することが可能です。さらにCarbon Black Cloudは可視性が高く、プロセスの遷移をプロセスツリーで容易に把握することができ、管理者が原因の特定から対処までを素早く行うことができます。

エンドポイントやワークロードで発生した特徴的な振る舞いを収集し、クラウド上で相関分析を行うことで未知の攻撃や不審な振る舞いを検知します。
検知したイベントはプロセスツリー上で前後関係が可視化され、対象端末のネットワーク隔離やファイル削除を実行できます。防御ポリシーとの連動によって、プロセスを自動終了させることで攻撃の実行を防御することが可能です。

Advanced以上で利用できる「Live Query」機能では、管理コンソールから各保護対象に対して検索クエリを実行し、システムやデバイスが持つ「現在の情報」をリアルタイムで収集します。
Live QueryによってEDRで収集している「過去の情報」を補完することができ、インシデント発生時のリモートからの現状調査や脆弱性診断を支援します。

Enterprise EDR機能では、マルウェア感染などの明確なアラートログ以外のイベントを含めて、あらゆる端末の情報をクラウド上に長期間保存します。これにより調査精度が向上し、脅威インテリジェンスを活用した脅威ハンティングや、潜伏期間のある攻撃の詳細な可視化が実現します。

インシデントに対して詳細調査を行う際には、GUIによる対応に加えて、管理コンソールを介してコマンドを使った操作や制御が可能です。
ファイルの削除や取得、変更されたレジストリキーの復旧など、リモートからのインシデント対応を支援します。

NGAVを提供する「Prevention」、NGAV+EDRがセットになった「Standard」、リアルタイム検索機能が可能な「Advanced」、端末の全挙動を記録する「Enterprise」の4種類が用意されています。

Carbon Black Cloud Endpointは、保護するエンドポイント単位のSaaS形式で提供されます。オプションとして、管理コンソール上でWindows Defenderファイアウォールのポリシー管理を可能にする「Carbon Black Cloud Host-based Firewall」 や、センサーの機能を拡張してネットワーク側のイベントも検知・可視化する「Carbon Black XDR」のアドオンも可能です。

エディション選定チャート

VMware Carbon Black CloudやVMwareソリューションに関する最新情報は「VMware Cloud Frontier」でもご紹介しています。