Endpoint Detection and Response（EDR）とは

EDR システムは、現代のセキュリティ チームにとって、もはや必須と言えるほどの重要性を持つようになりました。EDR は、主に次のような方法により、既知および新興の脅威やセキュリティの問題に対する防御をデジタル境界で提供します。

EDR システムはまず、監視データを包括的に収集して、潜在的な攻撃を網羅したビューを生成します。オンラインとオフラインのすべてのエンドポイントを継続的に監視することで、分析とインシデント レスポンスが容易になります。これにより、詳細な分析とインサイトの取得が可能になるため、セキュリティ専門家が組織のネットワークの異常と脆弱性を把握して、将来のサイバー犯罪イベントへの備えを強化できます。エンドポイント脅威すべてを検知する機能は従来のアンチウイルスでは実現できなかったものです。また、さまざまな脅威にリアルタイムで対応できる EDR の機能により、セキュリティ チームは潜在的な攻撃や脅威が進化してもすべてリアルタイムで可視化できます。

こうした機能により、重大な損失や侵害が発生する前に、初期段階で攻撃を遮断して損失を防ぐことができます。また、リアルタイムの対応を活用することで、組織はネットワーク上の疑わしい振る舞いや不正な振る舞いを特定し、運用に影響が生じる前に脅威の侵入経路を突き止めることができます。最後に、EDR システムはほかのセキュリティ ツールと連携させることができるため、エンドポイント、ネットワーク、SIEM からのデータを相互に関連付けて、デジタル資産への不正アクセスを試みる悪意のある攻撃者の行動様式や手法をより深く理解できます。

脅威に関する状況は絶えず変化しており、新しいウイルス、マルウェア、その他のサイバー脅威が毎日登場しています。このような脅威の進化に対応するために、起こりうる異常に対するリアルタイムのデータ収集と検知がますます重要になっています。

これらの課題は、モバイル ユーザーの増加が加速している今日の状況下ではより深刻になります。新型コロナウイルス感染症のパンデミックによって従業員のリモート接続がより一般的になった今日、組織のデジタル資産へのアクセスに使用されるエンドポイントは多くの場合、従業員所有のデバイスです。この BYOD デバイスは、従業員の家族が共有して使用したり、家族の使用するネットワークに接続されたりする場合があるため、従業員の知らないうちにマルウェアに感染するおそれがあります。

このような課題に対し、組織は EDR を採用して、次のような方法で改善に取り組むことができます。

• 悪意のある行為を実行する可能性のある実行ファイルを特定してブロック
• USB デバイスを介した不正なデータ アクセスや、機密情報や保護対象情報のダウンロードを防止
• エンドポイント デバイスに感染する可能性のあるファイルレス マルウェア攻撃をブロック
• スクリプトの実行を制御
• 悪意のある E メール ペイロードによる添付ファイルの展開を防止
• ゼロデイ攻撃に対する防御を提供し、被害の発生を阻止

EDR をサードパーティの脅威インテリジェンス サービスと連携させることで、エンドポイント セキュリティ ソリューションの有効性を向上させることもできます。脅威インテリジェンスから得られる集合知を活用することで、ゼロデイ攻撃やその他の多層エクスプロイトに対する EDR の検知能力を強化できるからです。現在、多くの EDR ソリューションでは機械学習と人工知能（ML/AI）の導入を進めており、組織ごとのベースラインの振る舞いを「学習」させ、その情報を攻撃検知時のデータ解釈に使用することで、プロセスをより高度に自動化できます。

EDR は、ネットワークとエンドポイントのトラフィックを監視し、セキュリティの問題に関連する可能性のある情報を収集して、分析のために中央データベースに集積します。また、これらの情報により脅威イベントのレポート作成と調査を容易に実行できます。

すべての EDR ソリューションが同じように設計されているわけではありません。実行するアクティビティの範囲はベンダーごとに異なります。一般的な EDR ソリューションの主要コンポーネントは次のとおりです。

• データ収集エージェント：データ収集エージェントはエンドポイントにインストールされ、実行中のプロセス、ネットワークとデバイスへの接続、アクティビティのボリューム、データ転送を対象として、監視とデータ収集を実行します。
• 中央ハブ：エンドポイント データを収集し、関連付けおよび分析する統合ハブです。差し迫った脅威がある場合のアラート送信と脅威への対応の調整も行います。
  
• 対応の自動化：EDR システムは、通常は事前構成されたルールを使用して、収集されたデータが既知の脅威の存在を示している場合に脅威を認識し、セキュリティ担当者へのアラート送信やシステムからのユーザーのログオフなどの自動対応をトリガーします。
  
• フォレンジックと分析：EDR には、脅威の根本原因分析や事後分析を実行するためのフォレンジック ツールが含まれる場合もあります。また、リアルタイム分析機能は、既存の事前構成されたルールに違反する脅威の迅速な検出を支援します。