企業がBox Agent、AIを活用した自動化、サードパーティ製の統合の導入を進める中で、セキュリティチームは、プログラムによる新たな種類のリスクに直面しています。 従来の検出ルールは、一般的な営業時間や手動での共有パターンなど、人間の行動を前提としています。 ところが、自動化されたアクターはそのように動作しません。 このようなアクターは、リポジトリを横断してナレッジを集約し、高速にデータを移動します。また、多くの場合、イベントストリームでは、サービスIDを介して操作している標準ユーザーのように見えます。
しきい値ベースのアラート機能では、Box Shieldの既存の異常なダウンロードのルールが拡張され、管理者は、どの程度の量をどの程度の速さで処理した場合に過剰とみなされるかを正確に定義できるようになります。 リスク許容度に合った上限を設定すると、ユーザー、エージェント、サービスアカウントを問わず、いずれかのIDがその上限を超えた場合にShieldからアラートが通知されます。
新機能
管理者は、検出ルール内でグローバルなしきい値を設定できるようになります。 現在、各ルールでサポートされているしきい値は1つですが、今後のリリースでは複数のしきい値のサポートが検討されています。
設定可能なオプションを以下に示します。
- ファイル数またはダウンロード量。 ダウンロードされるファイル数、または合計ダウンロード量 (GBまたはTB単位) に上限を設定します。
- 期間。 過去に遡って評価する時間枠として、1時間から24時間までの任意の期間を指定します。この期間中のダウンロード数やダウンロード量がしきい値に対して継続的に測定されます。
- サービスの範囲。 監視対象とする統合の許可リスト、またはカウントから除外する統合の拒否リストを作成します。 どちらのフィールドでも、企業に登録されている統合を検索できます。
- アラートの重大度。 しきい値によって生成されるすべてのアラートに、低、中、高、重大のいずれかの固定の重大度を割り当てます。 デフォルトでは [中] になります。
より充実したアラートの詳細
しきい値を超えると、管理者は、アラートページで全体像を確認できます。
- タイトルカードには、アラートが発生する原因となったしきい値を示す [アラートトリガー] フィールドが表示されます。また、既存の異常アラートでは、同じフィールドに [異常検出] と表示されます。 [ダウンロードの詳細] カードには、開始時刻と終了時刻、ファイル数、ダウンロード量、使用したサービスなど、上限を超えたアクティビティの概要が表示されます。しきい値を超えた値にはアイコンが表示されます。
- サイドパネルには、設定済みのしきい値が一目で確認できるよう再度表示され、ルールの構成ページに移動する [しきい値を管理] リンクも表示されます。
- [ダウンロードされたコンテンツ] カードには、異常が発生した期間中にアクセスされたすべてのファイルが、最近ダウンロードされた順に最大1,000件表示されます。
検出ルールの概要ページでも、[異常検出] と [しきい値の上限] の両方のステータスを一目で確認できるため、管理者は各ルールを開かなくても適用状況を確認できます。
Shieldのイベントストリームへの組み込み
しきい値によってトリガーされたアラートは、既存のShieldアラートイベントスキーマを通じて送信されます。 アラートサマリーには、設定済みのしきい値 (タイプ、上限、時間枠)、ダウンロード期間、ファイル数、ダウンロード量、使用したサービスが含まれるようになり、後続のSIEMおよびSOARワークフローでこのシグナルが自動的に取得されます。
重要である理由
しきい値ベースのアラート機能により、セキュリティチームは、プログラムによるデータ流出を拡大前に正確に検知し、機密性の高いリポジトリを一括集約から保護するとともに、外部AIエージェントの企業全体への展開を安心して進めることができます。
管理者側で必要な対応
しきい値ベースのアラート機能は、Box Shieldの一部として提供されます。 有効にするには、Box Shieldで [異常なダウンロード] ルールを開き、[しきい値の上限] を有効にして、上記のオプションをご利用のポリシーに合わせて設定します。 既存の異常検出も、これまでどおり引き続き実行されます。