Google CloudとSentinelOneが統合の再設計を発表、API直接取り込みを採用し統合全体で年末までの段階提供を目標

SentinelOne統合の技術的な取り組み

SentinelOneとGoogle Security Operationsの再設計した統合は、6つの技術的な取り組みを導入します。狙いは、検出の精度を保ちつつ取り込みの詰まりとデータの負担を減らすことです。^[1]

以下では、これらの取り組みの一部と、発表時点の提供目標をまとめました。

年末までの段階的提供を目標とする再設計版では、SentinelOne Cloud Funnelのフィルタを統合に組み込みます。Google Security Operationsへ送るテレメトリを、さらに柔軟に調整できる設計です。

EDRデータスキーマの刷新

年末までの段階的提供を目標とする再設計した統合では、新しいEDRデータスキーマが分析の精度を保ったまま平均のイベントサイズを大きく減らします。エージェント型のワークフローでは、後段の計算負荷も減らす仕組みです。

図1　再設計した統合とEDRデータスキーマで見込む効果

SentinelOneは、Google Unified Security RecommendedのEDR（エンドポイントでの検知と対応）パートナーです。Google Cloudは、再設計した統合によって統合の総所有コストが大きく下がるとみています。

Google API経由の直接取り込み

発表時点で年末までの段階的提供を目標とする統合では、SentinelOneがAPIでイベントを直接ストリーミングします。送り先はGoogle Security Operationsで、中間のクラウドストレージを経由する段階とそのストレージ料金をなくす設計です。

図2　年末目標の再設計統合と従来経路の違い

年末までの段階的提供を目標とする再設計版では、中間のクラウドストレージを不要にすることによって、ストリーミングの遅延を短くします。データをGoogle Security Operationsの検出や調査、エージェント型のワークフローでほぼリアルタイムに使える設計です。

従来の取り込み経路の課題

Google Cloudは、防御には包括的なエンドポイントテレメトリの取り込みが欠かせない一方、従来の配信経路は転送の負担やアラートの遅れを増やしやすいとみています。中間のクラウドバケットを通る経路にも、継続的な保守と処理の遅れが伴うとの見方です。

図3　Google Cloudが指摘する取り込みと検知の課題

攻撃者が機械の速さで動く中、エンドポイントからSOCへのデータ移動の無駄な摩擦は、即時の対応に必要な洞察を奪いうるとGoogle Cloudは指摘しています。企業の利用者では、検知のパイプラインが攻撃者の活動を示すまで30分かかると、インシデント対応は進行中の緩和から事後的な被害対処へ移るとの見方です。

非効率な取り込みの影響

企業の利用者では、テレメトリが1分遅れるごとに進行中の侵入の被害範囲が広がりうるとGoogle Cloudはみています。セキュリティコミュニティやIT部門のリーダーにとっては、非効率な取り込みの経路が予算や計算資源にも影響しうるとしています。

かさばる未最適化のテレメトリを中間の保管環境に置き続けると、戦略的なセキュリティ施策から資源がそれるというのがGoogle Cloudの見方です。エンジニアリングチームに不要なインフラ負債を負わせるとも指摘しています。

図4　Google Cloudがみる中間保管の影響

Mandiantと設計したアラート連携

パーサーやアラートモデル、SOARプレイブックは、Mandiant Incident ResponseとManaged Defenseのチームと共同で設計されました。年末までの段階的提供を目標とする再設計した統合で、Google Security Operationsから直接行う次の対応を支えます。

図5　Google Security Operationsから行う4つの対応

年末までの段階的提供を目標とする再設計した統合では、Unified alerts APIとMandiantとの連携が技術的な取り組みの1つです。共同設計したパーサーやアラートモデル、SOARプレイブックで、上記の4つの対応を支える設計です。

SentinelOneへの業界の評価

SentinelOneとの連携は、業界でも評価を受けています。Google Cloud Nextでは、Google Threat IntelligenceのIntel Partner of the Yearに選ばれました。

SentinelOne統合を検討する際の相談先

統合の導入を検討する場合、Google Cloudは、Google CloudまたはSentinelOneのアカウントチームへの連絡を案内しています。アカウントチームに依頼できるのは、次の3つです。^[1]

図6　アカウントチームに依頼できること

SentinelOneのテレメトリをすでにGoogle Security Operationsへ送っている場合、編集部は相談の前に現在の経路を確かめることを勧めます。年末までの段階的提供を目標とする再設計した統合では、中間のクラウドストレージを経由する段階が取り除かれるためです。

SentinelOne統合の段階的提供の目標

SentinelOneとGoogle Security Operationsの再設計した統合は、発表時点で、年を示さない「年末まで」の段階的提供を目標とします。初期の展開では、Mandiant Managed DefenseやMandiant Threat Defenseを使う利用者が優先されます。^[1]

図7　再設計した統合の提供条件（発表時点）

早期アクセスは、Google CloudまたはSentinelOneのアカウントチームを通じて利用環境ごとに予約する形です。提供地域や料金、対象となるGoogle Security Operationsのエディションは、今回の発表に含まれていません。

日本の環境で再設計した統合を使う場合、編集部は提供地域と料金をアカウントチームに確かめることを勧めます。Mandiant Managed DefenseとMandiant Threat Defenseのどちらも使っていない場合は、提供時期も確かめる対象です。