これからの対策は侵害を前提にすること侵害後の対応を迅速化する「EDR」とは？

サイバー攻撃の被害は年々増え続け、その攻撃手法も高度化し続けています。日々膨大な数のマルウェアの亜種が誕生し、パッチが提供されていない脆弱性を狙うゼロデイ攻撃も、もはや珍しいものではなくなりました。セキュリティアプライアンス等によって、攻撃をネットワーク境界で防ぐことも困難になっています。最近ではSSLによる暗号化通信が一般化しており、これを悪用することでセキュリティアプライアンスをすり抜ける攻撃も増えているからです。

サイバー攻撃を完全に防ぐことは、もはや困難な時代になっているといえるでしょう。これからのセキュリティ対策は、侵害されることを前提に確立していく必要があります。ここで重要なのが、侵害されてから対処に至るまでの時間の短縮です。たとえマルウェアが感染したとしても、感染した端末をいち早く識別してネットワークから遮断し、他の端末への感染拡大を防ぐことができれば、被害を最小化できるからです。

セキュリティ侵害の発生から検知までに要した日数は3〜6ヶ月！？

しかし現在でも多くの組織が、このようなセキュリティ対策を実現できていません。

2016年のセキュリティ脅威を分析した「Mandiant M-Trends 2017」によれば、調査対象の組織がセキュリティ侵害を検知するまでの時間の中央値は99日となっており、アジア太平洋地域に限定した場合には172日だったといいます※1。つまり平均的な企業は、侵害を受けてから3〜6か月もの間、侵害を受けていることに気が付かないのです。これだけの期間セキュリティ侵害を放置しておけば、侵害された端末もかなりの数に上る可能性があります。当然ながらそれを調べ上げるにも時間がかかり、抜本的な対応と復旧までにはさらなる時間がかかります。これだけの猶予期間が与えられれば、攻撃者は機密情報取得等の目的を、悠々と果たしてしまうでしょう。

このような問題を解決するための対策として、近年注目を集まるようになったのが「EDR（Endpoint Detection and Response）」です。ガートナーは2017年6月に「2017年のセキュリティのトップ・テクノロジー」を発表していますが、EDRはその1つに挙げられています※2。その中でガートナーは、2020年までには大企業の80％、中堅企業の25％、中小企業の10％が、EDRに投資すると予測しています。

従来型エンドポイントセキュリティとの違いとEDRが実装すべき3種類の機能

ではEDRは、従来から存在するエンドポイントセキュリティと、どこが違うのでしょうか。

従来のアンチウイルス等のエンドポイントセキュリティは、攻撃からの防御に重点を置いています。シグネチャーやふるまい検知によってウイルスやマルウェアの特徴を照合し、それを検出・駆除することで防御を行っているのです。これに対してEDRが重視しているのは、攻撃を受けた後の検知・調査・原因分析です。セキュリティ侵害をいち早く検知・可視化することで、侵害後の対応を迅速化し、被害を最小化するのがその狙いです。