エンドポイント対策で注目されるEDRとは何か？EPPとの違いとは？

EDR（Endpoint Detection and Response）とは、PC、サーバー、スマートフォン、タブレットなどのネットワークに接続されているエンドポイントの操作や動作の監視を行い、サイバー攻撃を受けたことを発見し次第対処するソフトウェアの総称です。

エンドポイントがサイバー攻撃を受けることを前提に、マルウェアの検知や除去などの初動対処をスムーズに行い、被害を最小限に抑えることを目的としています。またサイバー攻撃の原因の調査および、その後のセキュリティ対策の改善にも役立ちます。

EDRにはさまざまな製品が存在し、製品によって機能は大きく異なりますが、たとえば下記のような機能を持つものがあります。

EDR製品の主な機能

1. ネットワーク全体の各エンドポイントをリアルタイムに監視する
2. エンドポイントのログデータを解析し、サイバー攻撃の兆候を検知する
3. どのエンドポイントで感染が起きたか、他のエンドポイントに感染していないかなど感染や被害の状況を特定する
4. すべてのエンドポイントの状態を分かりやすくモニターに可視化する
5. 監視を行うPCやスマートフォンへの負荷を最小限に抑える

EDRでは、エンドポイントを常に監視するための専用のソフトウェアである「エージェントソフトウェア」を導入します。エージェントソフトウェアはエンドポイントの使用状況や通信内容などといったログを常時収集します。

収集されたログはサーバーへ送られ、データとしての蓄積はもちろん、不審な挙動や攻撃を受けていないか分析を行います。ここで不審な挙動や攻撃が発見された場合は、すぐに管理者に通知される仕組みです。

通知がきた場合は、さらにログを精査し原因や影響範囲を確認し、適切な対処を行います。EDRには、ログを蓄積する機能や、分析結果を通知する機能、不審な挙動や攻撃に対して適切な対応ができる機能が備わっているのが基本です。

EDRと似た言葉で「EPP」があります。EPP（Endpoint Protection Platform）は、エンドポイント保護プラットフォームとも呼ばれます。

エンドポイントにマルウェアなどが感染しないよう保護することを目的としたセキュリティ対策ツールの総称です。

そこで、振る舞い検知や機械学習などにより、その弱点をカバーできるNGAV（Next Generation Anti Virus）と呼ばれるセキュリティ対策ツールも生まれています。

従来のアンチウイルスソフトでは発見が難しいゼロデイ攻撃を検知し、動作のブロック等を行います。マルウェア以外にも、正規のアプリケーションを悪用するような攻撃を防御することも期待されています。

新型コロナウイルス感染症の拡大防止対策や、働き方改革によりテレワークの導入が普及しています。出社とテレワークを組み合わせたハイブリッド出社を導入する企業も増えていて、働く場所がオフィスだけではなくなってきました。

しかし、オフィスの外で仕事をするということは、社外のネットワークを使わなければなりません。テレワークで利用する端末に脅威への対策をしていないと、ネットワークを経由した脅威の侵入の可能性があります。EDRはテレワーク端末に対応している製品もあります。

新しい働き方が普及しはじめたことで、EDRによるさらなるセキュリティ対策が必要でしょう。

EDR製品はさまざまなものがあり、各製品それぞれ備えられている機能が異なります。EDRを運用していく上で、求められる機能が備えられていない場合もあるでしょう。ここでは、EDR製品を選ぶ際のポイントをご紹介します。

1. 検知能力の確認

   • マルウェアやランサムウェアなど攻撃の脅威は日々高度化していることが考えられます。そのため、最新の脅威を検知できるかどうか、事前にチェックしておきましょう。中には、AIや機械学習などが搭載されたEDR製品もあります。

2. 分析の精度を確認

   • EDRは、エンドポイントで得たログをサーバー上で分析を行います。攻撃を検知するには分析はとても重要な部分です。そのため、高い精度・リアルタイムで分析できるかどうかも選ぶ際に確認しましょう

3. 調査機能が十分に備わっているか

   • エンドポイント上に脅威が見つかった場合、すぐに調査・対応しなければなりません。EDRには、感染経路や原因、影響範囲の調査を自動化できる機能が備わっている製品もあります。調査機能が十分に備わっているかどうかチェックしましょう。

4. システム環境を確認する

   • EDRの製品によって、対応しているサーバーやOSなどが異なります。そのため、対応しているシステム環境を必ず確認しましょう。

   • また、ログ収集や分析には負荷がかかります。既存のICT環境に影響が出る可能性もあるため、過度な負担がかからないかどうか、事前にチェックしておきましょう。

5. 管理サーバーの確認

   • ログを監視するために管理サーバーを用意しなければなりません。サーバーは、自社にEDR用のサーバーを置くタイプと、クラウドタイプがあります。

   • クラウドは導入費用や運用の負担が軽減する場合もあるため、費用を抑えたい場合や負担をできるだけ少なくしたい場合におすすめです。ログを社内で管理したいという場合は、自社サーバーを選ぶと良いでしょう。

6. 他のセキュリティ対策とも組み合わせる

   • EDRのメリットを最大限に活かすには、他のセキュリティ対策と組み合わせて利用することが必要です。EDR単体だけではなく、アンチウイルスなど、他のセキュリティ対策と一緒に利用しましょう。

   • ただ、他の製品と相性が悪くパフォーマンスが下がってしまう場合もあります。同じ会社が提供している製品を選ぶことをおすすめします。EPPとEDRがセットになった製品を利用するのも良いでしょう。

今回は、エンドポイントセキュリティの1つ「EDR」についてご紹介しました。

サイバー攻撃を未然に防ぐEPPだけでは、エンドポイントセキュリティは十分とは言えません。

サイバー攻撃への対処が遅れれば、大規模な情報漏えいや企業Webサイトの稼働停止などに発展する可能性は高まることなどから、未知のマルウェアに感染してしまった際に、素早く検知し対処するEDRに注目が集まっています。

EDRには単体の製品のほか、EPPとEDRを組み合わせたエンドポイント対策パッケージもあります。企業・組織の実情に沿った、適切なサービスを選定しましょう。