サイバー攻撃が高度化し、EPP（Endpoint Protection Platform）だけではセキュリティ上の脅威に対処することが難しくなってきている現在、EDR（Endpoint Detection and Response）は早急に導入を検討すべきソリューションの一つだ。導入を急がなければ立場が危ない情シスがここにもひとりーーー

EDR(Endpoint Detection and Response)とは、Endpoint(PCや社有スマホ、サーバ等のネットワーク端末)へのサイバー攻撃をDetection(検知)し、被害が拡大しないようResonse(対処)するソリューションである。
サイバー攻撃が社内に届かないようにファイアウォールを設置したり、社内のPCをアンチウイルスソフトで守ったりしても、すべての攻撃を防御できるわけではない。
EDRはそんな、侵入された後、感染してしまった後に対処する仕組みをもったソリューションである。

近年、EDRが重要だと言われているポイントを解説しよう。

サイバー攻撃は日々、高度化している。
アンチウイルスソフトなどセキュリティ製品も進化しているのだが、巧妙な手口を駆使して侵入・感染を試みるそれらの脅威を、アンチウイルスソフトだけですべて防ぐのは事実上不可能なのだ。

もしセキュリティ対策を突破して端末がウイルスに完成してしまった場合、その端末がネットワークにつながったままだと感染が拡大してしまうリスクがあるため、すぐにネットワークから切り離す必要がある。しかし実際のところ人が気づいた時には既に広範囲に拡散が済んでしまっているケースもあるだろう。

EDRを導入することで、端末の挙動から感染状況をチェックしたり、いざというときに自動でネットワーク隔離の対応をすることができるため、重宝されるのだ。

テレワークが常態化している現在、社内だけでなく出先や従業員自宅等、社外ネットワークを含んだ広範囲までセキュリティ意識を広げなければいけない。社外に持ち出した端末から情報漏えいしたり、社外から持ち込む端末から感染したり、社内・社外だけで切り分けられない状況になっている。

このようにセキュリティ対策ポイントが広がっていることに対応するためにも、あるいはマルウェアへの感染などの被害に遭遇した後、それら脅威を迅速に検知し対応するためにも、EDRの導入が必要不可欠な状況となっているのだ。

EDRの仕組みとして最も特徴的なことは、全てのエンドポイントに対してプログラムやプロセスを監視し、ログを収集していることだろう。EDRによってリアルタイムにログが解析され、サイバー攻撃等の脅威を検出、管理者に通知をする。
また重大リスクだと判断される場合には、自動的に感染した対象をネットワークから切り離す措置をとる。並行して管理者は通知された内容の詳細を管理画面で確認し、検知された脅威に応じた適切な対応を行うことができる。

マルウェアが攻撃を開始する前、あるいは攻撃を開始した際にそれを検知して、マルウェアだと思われるプログラムやプロセスが動いている場所を特定し、管理者にアラートを送る。

マルウェアに対して迅速に検知されることが重要だ。

また、今回の多田野部長のように画面上に感染がわかりやすく出る場合とは異なる「気が付かないうちに」侵入、攻撃を仕掛けるマルウェア（ファイルレスマルウェア※など）に対しても効果を発揮する。

^{※ファイルレスマルウェア…実行ファイルを使わず、OSに元からある機能を対象とした攻撃手法。}

検知された情報をもとに、管理者によって怪しい動きをするプロセスを即時停止させる→感染した端末を社内ネットワークから切り離すことで感染拡大による二次被害、三次被害を防ぐ。
感染させないことも重要だが、巧妙化されるサイバー攻撃に対して100%安全な防御は難しい。セキュリティインシデントが起こると多くの手間やコストがかかることからも、侵入後の被害を最小限に抑えることが重要だ。

EDRは、通常ではあり得ない動きや不審な動きがないかを常時監視することで、怪しいプログラムやプロセスを検知する為、マルウェアの感染がどこから始まったのか、侵入経路やその影響範囲を調査をすることが容易になるというのも特徴のひとつだ。原因箇所を特定し、脅威として把握出来れば再発防止に努める事もできるだろう。

隔離された感染端末のマルウェアを駆除して復旧。検知・隔離のフェーズをスピーディに実行することで、復旧も最小限の範囲で行うことが可能になる。

EDRはエンドポイントがマルウェア等に感染したことを検知し、それに迅速に対応することが主な機能である。

EDRの機能である「検知」では、アンチウイルスソフトなどでは検知できない（気が付かない）侵入を検知することができる。
検知がしっかり行われることで、その後の迅速な対応につなげることができるのだ。

どんなに防御しても侵入されてしまうこともある。そういったときに必要なのが、早期検知・即隔離である。
EDRの機能である「検知」と「隔離」によって、その迅速な対応が可能となり、感染拡大を防ぐことできるのである。
また、「復旧」の機能により端末を安全な状態に戻すことができる。

「調査」の機能によって、EDRのサービス内で感染経路などの調査・分析を行うことができ、再発防止調査などの手間を省くことができる。

EDR単体では、外からの侵入を防いだり、感染を防ぐことはできない。それらを行うにはEPPが必要となる。
つまりサイバー攻撃の脅威からエンドポイントを守るには、EPPで可能な限り防御し、すり抜けてきた脅威をEDRで検知、対応するといった総合的な対処が必要となるのだ。

EPP（Endpoint Protection Platform)とは、PCやサーバがウイルス感染等のマルウェア被害を防ぐことを目的とした製品で、従来のアンチウイルスソフトやNGEPP（Next Generation Endpoint Protection Platform）、NGAV（Next Generation Anti-Virus）もEPPに分類されるツールだろう。
パターンマッチングによる既知の型のウイルス検知、駆除が主な機能だが、最近ではネットワークとは別のサンドボックスという領域内でウイルスの振る舞いを解析して疑わしいものを検知するなど、未知のウイルスを検出するような技術も取り入れられている。
しかしマルウェア側の進化もこれを上回り、サンドボックス内では自らの挙動を停止するものも出現していたり、パターンマッチングに引っかかりにくいファイルレスマルウェアも多く出回っている。
EPPはマルウェアなどの脅威からエンドポイントを防御するもの、EDRは感染したことを検知し、対応を行うもの、つまり事前対応を主眼とするのがEPP、事後対応を主眼とするのがEDRということである。
脅威に対応するタイミングが違うわけであるから、どちらがいらないということはなく、どちらも必要不可欠なセキュリティソリューションなのだ。

EDRサービスは様々な事業者から提供されている。導入時には主に以下6つのポイントを確認しながら検討をするのがよいだろう。

自社のセキュリティリスクや情シスリソース、運用スキルと照らし合わせて、誰がどういった目的でどのように運用していくのかを考えたうえで、サービス選定に入ると自社に必要な機能を持ったEDRサービスを選ぶことができる。
もしこの段階でつまづくようであれば、いったん総合的にICTサービスを扱っているマルチベンダ相談するのが良いだろう。

EDRの性質上、検知する能力が高いことは絶対条件だ。EPPをすり抜けてくる最新の脅威をいかに検知するかが、EDRを活用する上で重要なポイントとなる。検知率が低いのでは意味がない。製品として検知率が一定の評価を得ているものを選びたいところだ。

高い検知率を目指すと付きまとうのは誤検知だ。そして誤検知を判断するのは人間の作業である。効果的、且つ効率的なEDRの運用には、適切な判断が出来る人材が必要ともいえる。EDRの機能がいかに優秀でも、適切な運用ができなければ宝の持ち腐れだろう。
EDRは集積されたログによって、マルウェアの侵入から攻撃開始までのプロセスを可視化する事が出来る。それによりインシデント発生後の調査の一助にもなるのだが、社内にログを読み解ける人材がいるという前提条件がついて回る。そのような人材を抱えていない場合は、スキルやノウハウを補完するマネージドサービスがセットであるとありがたい。自社にとって運用が容易なソリューションを選定するというのも大切なポイントとなる。

EDRの提供形態として「オンプレミス」と「クラウド」がある。
自社内インフラで運用するオンプレミスの方が、カスタマイズ性に優れ、ネットワークのセキュリティも担保しやすい反面、コストが増大しやすく、災害などにも弱いというデメリットもある。
一般的にクラウド型のEDRを導入することが多いが、自社の運用と照らし合わせて形態も選ぶとよい。

すでに導入している、もしくはこれから導入したいセキュリティサービスと相性がよいかも重要なポイントだ。
あくまでも「検知」「隔離」が主機能であるEDRにプラスして様々なセキュリティ対策を施していくのが一般的であるため、その他導入している・するサービスとの相性は確認しておく必要があるぞ。

数多くのEDR製品が流通している中、その選定に第三者の評価を参考にするのもひとつの方法である。
たとえば調査会社が発行している市場調査レポートなどを参照してみるのも、製品選定の助けとなる。
例としてITコンサルティング会社ガートナーが発行している「Magic Quadrant」などがある。

「USEN GATE 02 ― セキュアエンドポイントサービス（Va） ―」はおすすめできるEDRサービスの一つだ。

EPPとEDR、そしてMSS(マネージメントサービス)を組み合わせたトータルエンドポイントセキュリティサービスとなっており、エンドポイントセキュリティ対策の強い味方となるだろう。
主な特徴は以下の通りだ。