Endpoint Detection and Response（EDR）

よくあるご質問（FAQ）

• エンドポイント検出＆応答（EDR）とは何ですか？

  EDR（エンドポイント検出＆応答）は、エンドポイントレベルで起こるさまざまなイベントを相関させながら、継続的にリアルタイム監視を行い、悪意のあるアクティビティ、侵害されたプロセス、エンドユーザーデバイスでの不審な行動を検出する、アクティブなエンドポイントセキュリティソリューションです。このソリューションの目的は、進行中の攻撃、潜在的なセキュリティインシデント、侵害、または違反を特定した後、対応システムとして機能し、修復する機能を提供することです。
  
  EDR の主要機能について、Gartner では以下のように定義しています。

  • セキュリティインシデントの検出
  • エンドポイントでインシデントを封じ込め
  • セキュリティインシデントの調査
  • 修復ガイダンスの提供

• エンドポイント検出＆応答はどのような組織に必要ですか？

  サイバー脅威の標的になっている可能性があったり、貴重なエンドポイントデータを格納していたりする企業の場合、高度なエンドポイント脅威検出機能や対応ツールをエンドポイント保護戦略に組み込むべきです。
  
  SMB や中規模市場の組織の場合、内部の能力は限られ、予算の制約もあることから、そのコストと複雑さから従来エンタープライズ向けのものであった、高度なエンドポイントセキュリティソリューションの導入は難しく、高度なサイバー脅威のリスクにますますさらされています。
  
  さらに、金融、医療、法務、オンライン小売、公共部門といった業界では規制要件も厳格でサイバーリスクも高いため、あらゆる規模の企業にとって EDR は、コンプライアンスを確保し、エンドポイントの機密データにサイバー脅威の手が届かないようにするために、組織のサイバーセキュリティ戦略において不可欠です。
  
  EDR により、さまざまな規模や複雑さの組織は、高価値のサービスで保護され、複数のクライアントにおいて拡張可能です。

• 他の EDR ソリューションと比較して EDR では、OPEX をどのように抑えることができますか？

  既存のベストオブブリード（最適な組み合わせ）のツールやソリューションは、そのコストと複雑さからエンタープライズ向けのものであり、運用には大規模なセキュリティチームが必要とされます。また、セキュリティアナリストは、数百行におよぶログのスキャンや長時間の不審なアクティビティ調査による脅威検出を手動で実行する必要があります。さらに、ビジネス継続性を確保する、NIST における保護でさえも追加のソリューションやソフトウェアエージェントが必要なため、より複雑になり、ソリューションのばらつきも広がります。
  
  EDR は、他の EDR ツールと同様に、セキュリティ関連イベントに基づいて継続的なデータ相関を実行しますが、潜在的なインシデントのアラートを発動し、MITRE ATT&CK® にマッピングされたガイド型攻撃解釈においてデータを集約することにより、組織の分析能力を効率化します。これにより、セキュリティアナリストは複数のクライアントにおいて不審なアクティビティを迅速に調査することができ、調査時間を数時間から数分に短縮させながら、優れた拡張性を実現できます。
  
  さらに、EDR は、Acronis Cyber Protect Cloudの統合エンドポイントセキュリティソリューションとして、復元など、NIST における簡単なクリック操作の対応といった、管理者に独自のメリットを提供します。これにより、ソリューションのばらつきは解消され、単一のアクロニス エージェントとコンソールから包括的なエンドポイント保護を提供することができます。

• EDR が保護する脅威の種類にはどのようなものがありますか？

  既存のウイルス対策など、他のエンドポイント保護レイヤーを回避できる、高度なサイバー脅威にはいくつかの種類があります。そのうち最も一般的なものをいくつかご紹介します。

  • ゼロデイマルウェアとランサムウェア – ゼロデイ脆弱性（悪用できる脆弱性で、ソフトウェアベンダーがパッチをリリースしていない既知または未知の脆弱性）によりシステムに侵入するマルウェア/ランサムウェア。一部の振る舞いベースの検出を回避可能。
  • 持続的標的型攻撃（APT） - システムに対する不正アクセスを行い、長期にわたって検出されないようするために継続的、巧妙、高度に回避的なハッキング技法を使用する攻撃で、潜在的に破壊的な結果をもたらす攻撃。一般的に攻撃は数段階で構成されており、システム侵入、システム内のエスカレーションとラテラルムーブメント、機密データの抜き出しなどがあります。持続的標的型攻撃は一般的に、「Living Off The Land」と呼ばれる手法を用います。この手法では、攻撃者が標的環境にすでに存在するツールを使用するため、検出が困難で、実行にかかるコストもあまり大きくありません。
  • ファイルレス攻撃 - ファイルレスマルウェアは、正規のプログラムを使用してコンピューターを感染させる悪意のあるソフトウェアの種類です。ファイルを使用せず、フットプリントも残さないため、攻撃を検出し、修復するのは困難です。
  • ハッキング - ハッキングは、コンピューターシステムまたはネットワークの脆弱性を特定し、悪用する行為で、一般的に個人または組織のデータへの許可されていないアクセスを達成するために用いられます。使用される手法によっては、ハッキングは検出が困難になる場合があります。盗んだ資格情報または、完全に通常のプロセスのように見える手法を使用している場合があり、侵入が発生してからでは、対応が遅すぎるためです。

  
  こうした攻撃やその他の高度な脅威の検出と対応には、EDR のような高度なセキュリティコントロールが必要です。