HydraDefender
Active Threat Detection & Deception Platform
能動的な脅威検知とデセプション防御のプラットフォーム
独立型・非侵入型・エージェント不要の、能動的な脅威検知とデコイのプラットフォーム。
脅威が重要資産に到達する前に、不審な挙動を可視化する。
HydraDefenderは実環境に近いデコイサービスにより、既存の業務システムに影響を与えることなく、スキャンや探索、不審なアクセスなどの疑わしい通信を検知できるよう支援します。
独立型・非侵入型・エージェント不要のアーキテクチャを採用し、1台のホストから複数のIPとVLANインターフェースを通じて、内部・外部ネットワーク、DMZ、その他の重要なネットワーク上にデコイノードを配置できます。検知したイベントはSyslog（CEF）、Webhook、STIX 2.1で既存のログサーバー、SIEM、セキュリティ運用プロセスへ送信します。
- 製品分類
- Threat Detection & Deception
- 導入形態
- Agentless · オンプレミスとクラウド
- 対象環境
- IT · IoT · OT/ICS · 医療 · 金融
- 連携
- Syslog (CEF) · Webhook · STIX 2.1
配置から連携防御まで、4つの段階。
デコイノードの配置
企業が実際に外部・内部へ提供しているサービスに合わせた模擬サービスを配置し、既存のネットワーク環境に溶け込ませます。
攻撃者の接触を誘導
偵察や横展開の過程で攻撃者がデコイノードに触れると、その挙動がすべて記録されます。
リアルタイム検知とアラート
攻撃行動とサービスの重要度に応じて4段階で判定します。内部ネットワークからの攻撃はEmailまたはLINEで即時に通知し、それ以外は1時間ごとのサマリーにまとめます。
情報の出力と連携防御
イベントはSyslog（CEF）、Webhook、STIX 2.1でログサーバーやSIEMへ出力でき、集中管理や他の防御機器との連携に活用できます。
47種類の模擬サービスで、ネットワークに実在しそうなものに偽装する。
サーバー、ルーター、IoT、制御システム、医療、VoIP、金融など14種類の偽装プロファイルのテンプレートを適用でき、サービスのバナーやおとり用の認証情報もカスタマイズできます。
リモートアクセスとファイル
REMOTE · FILEWebとアプリケーション
WEB · APPデータベース
DATABASEメールとネットワーク基盤サービス
MAIL · DIRECTORY制御システム OT / ICS
INDUSTRIAL医療・IoT・その他
MEDICAL · IOT · VOIP · FINANCESSHとTelnetは模擬シェルと仮想ファイルシステムを提供し、その他のサービスはプロトコルのハンドシェイクとサービス応答を模擬します。
5つの主要な機能。
実環境に近いデコイ
SSH／Telnetは模擬シェルと仮想ファイルシステムを提供し、その他のサービスはプロトコルのハンドシェイクとサービス応答を模擬します。偽装プロファイルのテンプレートと組み合わせることで、デコイと見破られる可能性を下げます。
攻撃者のツールを保存
攻撃者がSSH、Telnet、FTP、SMB、HTTPなどのサービスを通じてダウンロードまたはアップロードしたファイルを保存し、MD5／SHA-256のハッシュ値で重複を排除してインデックス化します。
アラートと情報の出力
4段階の重大度判定と、内部ネットワークからの攻撃の即時通知（Email／LINE）。イベントはSyslog（CEF、最大16の宛先）、Webhook、STIX 2.1で出力できます。
エージェント不要、1台のホストで稼働
オフラインインストールパッケージでLinuxホスト（Ubuntu／Debian／RHEL）またはクラウドVMに導入でき、エンドポイントへのソフトウェアのインストールは不要です。アップデートはWebコンソールからのアップロードで完了します。
コンソールとアクセス管理
アラート、マルウェアサンプル、レポート、デコイコンテナを一元管理。3種類のロール権限、TOTPによる二要素認証に対応し、外部システム連携用の読み取り専用REST APIも提供します。
ステータス、アラート、サンプルを単一のコンソールに集約。
見えているものしか、調査はできない。
Threat Visibility & Alert Investigationイベントの時刻、送信元、国、プロトコル、攻撃行動から、デコイサービスが捉えた不審な活動を把握できます。検索結果はCSV、XLSX、STIX形式でエクスポートできます。
攻撃者が残したものは、それ自体が情報になる。
Malware Samples & Threat Informationデコイの過程で取得した不審なファイルとサンプル情報を一元的に確認でき、その後の分析と脅威調査を支援します。
一覧はMD5とSHA-256のハッシュ値、ファイル名、取得時刻でサンプルを表示します。ハッシュ値による検索と参照ができ、サンプルは暗号化アーカイブとしてダウンロードして詳細分析に利用できます。
いま、ハニカムで起きていること。
以下はイメージ画面であり、実際のイベントではありません。送信元アドレスには文書用に予約されたネットワーク範囲のみを使用しています。
| 時刻 | 送信元 | プロトコル | デコイノード | 状態 |
|---|
内部ネットワークの安全性を重視する環境へ。
内部ネットワークの安全性、IoT / OT / ICS、重要サービスの保護を重視する企業環境に適しています。製造業や技術分野など、停止時間の影響が大きい領域が該当します。
こうした領域では、「侵入されたことを早く知る」ことが事後のフォレンジックよりも価値を持つ場面が少なくありません。デコイの仕組みが提供するのは、この短縮された対応時間です。
既存のセキュリティ体制の一部として。
SIEMと連携して集中管理を行い、精度の高い攻撃情報を提供することで、SOCチームの調査時間の低減に寄与します。
SOCをすでに運用している組織にとって、HydraDefenderが補うのは信頼度の高い検知シグナルであり、既存の監視・対応プロセスと連携して機能します。
HydraDefenderは御社の環境でどのように導入できるでしょうか。
実際のネットワーク構成に合わせて、適した導入方法と期待できる効果をご説明します。