Extended Detection and Response（XDR）とは

Extended Detection and Response（XDR）は、ツールとデータを統合したものであり、エンドポイント、ワークロード、ユーザー、ネットワークの全体にわたる広範な可視化、分析、および対応を可能にします。

XDR はエンドポイントとワークロードのセキュリティ機能を、ネットワークやクラウドの重要な可視性と統合することで、これらのドメインにわたる信頼性の高いコンテキストを活用して盲点を減らし、脅威を早期に検知して、自動的に修正を行います。

XDR は基本的に、ツールとデータを統合したものですが、エンタープライズ セキュリティ機能が大きく進化しています。XDR では、環境全体から収集された未加工のデータにアクセスできるため、正規のソフトウェアを使用してシステムにアクセスしようとしている攻撃者を検知することができます。これは多くの場合、セキュリティ情報イベント管理（SIEM）ソフトウェアでは実行できないことです。XDR ではアクティビティ データの分析と関連付けが自動的に行われるため、セキュリティ チームはより効果的に脅威を封じ込めることができます。たとえば、ネットワーク検知、ラテラルムーブメント、異常な接続、ビーコン、持ち出し、悪意のあるアーティファクトの配信まで幅広く対応できるようになります。

XDR では EDR と同様に、脅威に対応して、それを封じ込め、削除することができます。しかし XDR はデータ収集に優れており、環境とも統合されているため、影響を受けた資産に対してより効果的に対応できます。真の XDR プラットフォームは、セキュリティ アナリストがターゲットを絞った効果的な方法で脅威に対応するために必要な、包括的な可視性とコンテキストを提供します。個々の状況に合わせた対応が可能になるため、脅威そのものだけでなく、その対応がシステムに与える影響も抑制しやすくなり、たとえば重要なサーバのダウンタイムを短縮したりすることも可能になります。

XDR は、テレメトリとデータ分析、検知、対応という 3 つの要素で構成されています。

• テレメトリとデータ分析：XDR は、エンドポイント、ネットワーク、サーバ、クラウドなど、複数のセキュリティ レイヤーにわたってデータを監視し収集します。そしてデータ分析を利用して、これらのレイヤーから発信された何千ものアラートのコンテキストを関連付け、少数の優先順位の高いアラートを表面化させることで、セキュリティ チームの負担を軽減します。
• 検知：XDR は可視性に優れているため、アラートを選別し、対応が必要なものだけを報告することができます。同じく可視化を通じて、環境内の通常の振る舞いを表すベースラインを作成でき、ソフトウェア、ポート、プロトコルを利用した脅威を検知したり、脅威の発生源を調査してシステムのほかの部分に影響が及ばないようにしたりすることができます。
• 対応：XDR では EDR と同様に、検知した脅威を封じ込めて削除することができるだけでなく、類似の侵害が再発しないようにセキュリティ ポリシーを更新することもできます。しかし、この機能をエンドポイントやワークロードでのみ実行する EDR とは異なり、XDR はエンドポイントの保護にとどまらず、コンテナ セキュリティからネットワークやサーバまで、対象範囲内のすべてのセキュリティ制御ポイントにわたって脅威に対応することができます。

EDR にない XDR の機能には、組織の IT 環境を保護するうえで、いくつかの確かなメリットがあります。得られるメリットは次のとおりです。

• 優れた可視性とコンテキスト：（エンドポイントやワークロードに限定された）EDR や（可視性が制限されていることが多い）サードパーティのセキュリティ サービスとは異なり、XDR はセキュリティ環境についてあらゆる角度からの包括的な可視性を提供することができます。セキュリティ アナリストは、あらゆるセキュリティ レイヤーの脅威を（正規のソフトウェア、ポート、プロトコルを利用して侵入した脅威も含め）確認できるだけでなく、攻撃方法、ブループリント、エントリ ポイント、影響を受けたほかのユーザー、脅威の発生場所、拡散経路も把握することができます。このような付加的なコンテキスト、およびその意味を理解するために必要な分析は、脅威に迅速に対応するうえで非常に重要です。
• 優先順位：IT チームやセキュリティ チームは、セキュリティ サービスによって生成される何千ものアラートへの対応に苦労していることがよくあります。XDR では、データ分析と相関機能により、MITRE ATT&CK フレームワーク全体に基づいて関連するアラートをグループ化し、優先順位を付け、もっとも重要なものだけを表面化させることができます。
• 自動化：XDR の自動化機能を使用することで、検知と対応を迅速化し、セキュリティ プロセスから手作業の手順を排除できます。このため IT チームは、大量のセキュリティ データを処理し、複雑なプロセスを再現可能な方法で実行することができます。
• 運用効率：XDR は、セキュリティ ツールを断片的に寄せ集めたものではなく、環境全体の脅威を包括的に可視化することができます。環境やさらに大きなセキュリティ エコシステムに緊密に統合された、一元的なデータ収集と対応を実現できます。
• 迅速な検知と対応：これらの利点はすべて、より強固で効果的なセキュリティ ポスチャへとつながっています。XDR の優れた効率性により、今日のセキュリティ情勢において極めて重要とされる、迅速な脅威の検知と対応が可能になります。
• より洗練された対応：従来の EDR は、多くの場合、影響を受けたエンドポイントを隔離することで脅威に対応してきました。この方法は、エンドポイントがユーザーのデバイスである場合は問題ありませんが、重要なサーバが感染した際には問題が発生する可能性があります。より洗練された機能と優れた可視性を備えた XDR では、特定のシステムに合わせて対応を調整し、ほかの制御ポイントを活用して全体の影響を最小限に抑えることができます。