エンドポイント検知・対応（EDR）とは何ですか？

エンドポイント検出・対応（EDR）とは、エンドポイントデバイスを継続的に監視し、不審な活動を検知するとともに、セキュリティチームが脅威をリアルタイムで調査・対応するためのツールを提供するセキュリティ技術です。 組織でmacOS、Windows、Linux、あるいはそれらの組み合わせを運用している場合、EDRは、境界防御が突破された後に、それらのマシン上で実際に何が起きているかを把握するための層となります。

EDRの仕組み：中核となるアーキテクチャ

EDRは、管理対象の各エンドポイントにインストールされた軽量なエージェントを通じて動作します。このエージェントは、以下の3つの処理を同時に実行します。

1.テレメトリデータの収集。エージェントは、プロセスの実行、ファイルシステムの変更、ネットワーク接続、レジストリの変更、およびユーザのアクティビティを記録します。このデータは、クラウドホスト型またはオンプレミス型の中央分析プラットフォームへ継続的にストリーミングされます。

2.動作を分析します。プラットフォームは、テレメトリストリームに対して、行動検知ルール、機械学習モデル、および脅威インテリジェンスフィードを適用します。EDRは、既知のマルウェアシグネチャのみに依存するのではなく、パターンを探します。例えば、予期しない子プロセスを生成するプロセス、エンドポイント間のラテラルムーブメント、認証情報のダンプ活動などです。

3.対応を可能にする。脅威が検出されると、プラットフォームは完全なコンテキストを含むアラートを表示します。セキュリティアナリストは、デバイスに物理的に触れることなく、影響を受けたエンドポイントをネットワークから隔離したり、悪意のあるプロセスを強制終了したり、ファイルの変更をロールバックしたり、フォレンジックスナップショットを取得したりすることができます。

この「収集、分析、対応」という継続的なループこそが、特定の時点での既知の悪性シグネチャのスキャンにとどまる従来のアンチウイルスと、EDRを区別する点です。

EDR 対 アンチウイルス：その違いがチームに与える実際の影響

従来のアンチウイルス（AV）は、ファイルを既知の悪意あるシグネチャのデータベースと照合することで機能します。一般的なマルウェアにはある程度効果がありますが、実行後の状況については可視性がなく、新型の脅威、既存リソースを悪用する攻撃（LOLT攻撃）、およびファイルレスマルウェアには完全に見逃してしまいます。

EDRはこれらのギャップを埋めます：

• アンチウイルスはファイルレベルで既知の脅威をブロックしますが、頻繁なシグネチャの更新が必要であり、フォレンジックデータはほとんど生成されません。
• EDRは動作を継続的に監視し、未知の脅威やゼロデイ脅威を検出し、調査のための詳細なテレメトリデータを生成します。

現在、多くのEDRプラットフォームでは、従来のアンチウイルス機能と行動検知機能が組み合わされており、両者は互いに排他的ではありません。しかし、セキュリティスタックが依然としてスタンドアロンのアンチウイルスにエンドポイント制御の主軸を置いている場合、重大な死角が存在することになります。

EDRソリューションで評価すべき主要機能

すべてのEDRツールが同等というわけではありません。プラットフォームを評価する際、ITおよびセキュリティチームは以下の具体的な機能を検証する必要があります：

検出精度：ツールはどれほどの誤検知を発生させるか？ 無害な管理者アクティビティに対してアラートを発するプラットフォームは、無視されるか、さらに悪い場合にはアラートが遮断されてしまう。アナリストが検出の背景にある戦術や手法を理解できるよう、各アラートに対してMITRE ATT&CKフレームワークとのマッピングを提供するツールを探すべきである。

対応の自動化：プラットフォームは、信頼度の高い脅威を検出した際、アナリストがボタンをクリックするのを待たずに、侵害されたエンドポイントを自動的に隔離できますか？自動化された封じ込めにより、潜伏時間が短縮され、被害を直接的に抑制できます。

フォレンジック分析の深度：インシデント発生後、何が起こったのかを正確に再構築する必要があります。EDRは、すべてのアラートについて、プロセスツリー、タイムラインビュー、親子関係、およびネットワーク接続履歴を提供すべきです。

データ保持期間：EDRの有用性は、その履歴データによって決まります。テレメトリデータの保持期間は通常、60～90日が最低限の基準とされていますが、PCI DSSやHIPAAなどのコンプライアンスフレームワークでは、より長い保持期間が求められる場合があります。

プラットフォームの対応範囲：Windowsを徹底的にカバーしているものの、macOSを二の次として扱っているツールは、混合環境やApple製品を主体とする環境を運用する組織にとって問題となります。

セキュリティスタックとの統合：EDRデータは、SIEMやSOARプラットフォームに連携されるべきです。ツールが孤立していると、検知範囲に隙間が生じます。

多層防御モデルにおけるEDRの位置づけ

EDRは、多層防御アーキテクチャにおいて特定の層を占めています。EDRは、境界制御（ファイアウォール、メールゲートウェイ、ネットワークIDS）が時折機能不全に陥ることを前提としており、すでにエンドポイントに到達してしまった脅威の検知と封じ込めに重点を置いています。

NISTサイバーセキュリティフレームワーク（NIST CSF）は、セキュリティ機能を「識別（Identify）」「保護（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」に分類しています。EDRは「検知」と「対応」に最も直接的に対応しており、NIST CSFへの準拠を目指すあらゆる組織にとって不可欠な要素となります。

CISコントロールが適用される組織において、CISコントロール13（ネットワーク監視および防御）とCISコントロール10（マルウェア防御）は、いずれも実装グループ2以上における実装要件として、EDRクラスの機能を指し示しています。

EDRは、デバイス管理レイヤーの代わりとなるものではなく、それと並行して機能します。モバイルデバイス管理（MDM）は、デバイスの設定を制御し、セキュリティポリシーを適用し、ソフトウェアを管理します。一方、EDRは実行時の動作を監視し、アクティブな脅威を検出します。両者は異なる目的を果たしますが、連携させることでより効果的に機能します。デバイス管理とセキュリティがどのように関連しているかについて基礎知識を身につけたい場合は、EDRを評価する前に、その背景情報を一読する価値があります。

ITチームにおけるEDRの実用事例

実際のデバイス群を管理するITチームやセキュリティチームにおいて、EDRは次のように機能します：

ランサムウェアの封じ込め：従業員がMacBookで悪意のあるメールの添付ファイルを開きました。EDRエージェントが急速なファイル暗号化活動を検知し、数秒以内にエンドポイントをネットワークから自動的に隔離するとともに、完全なプロセスチェーンを含むアラートを表示します。これにより、インシデントはファイル共有全体に広がるのではなく、1台のマシンに封じ込められます。

内部脅威の調査：IT管理者がSIEMで異常なデータ流出を検知しました。EDRプラットフォームに切り替えて、過去48時間分の当該エンドポイントのプロセスタイムラインを取得し、どのアプリケーションがどの外部IPアドレスにファイルをアップロードしたかを、タイムスタンプ付きで正確に特定しました。

ゼロデイマルウェアの検出：既存のシグネチャが存在しない新規のマルウェアサンプルが、Windowsエンドポイント上で実行されます。従来のアンチウイルス（AV）はこれを検知できませんでしたが、EDRプラットフォームは、そのプロセス挙動がMITRE ATT&CKマトリックスで既知の横方向移動手法、具体的にはT1021（リモートサービス）と一致するため、これを検知します。

コンプライアンス監査のサポート：PCI監査人が、エンドポイント監視対策の証拠を要求しました。セキュリティチームは、EDRプラットフォームからカードホルダーデータ環境に関する過去90日分のプロセス実行ログおよびネットワーク接続ログをエクスポートしました。

拡張型検出・対応（XDR）の台頭

ほとんどのベンダーとの会話では、EDRと並んでXDR（拡張検出・対応）という用語を耳にするでしょう。XDRはEDRの概念をエンドポイントの枠を超えて拡張し、メールセキュリティ、ネットワークセンサー、クラウドワークロード、IDプロバイダーからのテレメトリを相関分析して、統一された検出プラットフォームに統合します。

XDRはEDRの代替ではありません。これは、ソースを横断した相関分析を追加することで、EDRデータの有用性を高めるアーキテクチャの進化形です。XDRプラットフォームは、IDプロバイダーからの不審なログインを、エンドポイント上のプロセスの異常やファイアウォールのアラートと関連付け、個別に検討した場合には無関係に見えるシグナルを結びつけることができます。

小規模なセキュリティチームにとって、XDRはさまざまなソースからの検知情報を統合することで、アラート疲労を軽減できます。大規模なチームにとっては、複数の制御プレーンにまたがる多段階攻撃を検知するために必要な相関分析レイヤーを提供します。

Iruのエンドポイント検出・対応（EDR）へのアプローチ

Iruは「Appleファースト」のプラットフォームとして構築されています。つまり、macOSエンドポイントセキュリティは、Windows中心の製品に後付けされた機能ではなく、中核となる機能です。Apple製デバイスを運用する組織にとって、この違いは重要です。macOSには独自のプロセスモデル、セキュリティフレームワーク（Endpoint Securityフレームワーク、システム拡張機能）、そして脅威の状況があります。 汎用的なEDRツールは、その検知ロジックがWindows環境向けに作成されているため、macOS特有の脅見を頻繁に見逃したり、過剰なノイズを生成したりすることがよくあります。

Iruのアプローチは、MDMによって強制されるデバイスの状態管理とエンドポイントセキュリティ機能を、単一のエージェントおよび管理プレーンに統合したものです。つまり、Appleデバイスの管理設定とエンドポイントの脅威検出が、別々のコンソールやデータモデルを持つ2つの独立したツールになることはありません。 Iruが管理対象のエンドポイント上で脅威を検出した際、プラットフォームはすでにデバイスの設定、インストール済みのプロファイル、コンプライアンス状態に関する完全なコンテキストを把握しているため、調査時間を大幅に短縮できます。

現在、MDMを通じてデバイスの登録や設定を管理しているものの、実行時の脅威可視性に欠けているITチームにとって、Iruは、別途エージェントを展開したり、別のベンダーを導入したりすることなく、EDRクラスの検知機能を追加する道筋を提供します。

自社のデバイス環境に適したEDRプラットフォームの選定

EDR市場は成熟していますが、自社の環境に適さないプラットフォームを選択することは、現実的なリスクとなります。Windowsのエンタープライズ環境向けに構築されたツールでは、macOSが主流の環境では十分な機能を発揮できません。また、検知能力は高いものの、対応の自動化機能を備えていないツールでは、インシデント発生時に小規模なセキュリティチームがボトルネックに陥ってしまいます。

ベンダーを評価する前に、要件を明確にしましょう：

• 環境ではどのオペレーティングシステムが稼働していますか？macOSの割合はどのくらいですか？
• 専任のセキュリティアナリストがいますか、それともIT部門がインシデント対応を担当していますか？
• 組織にはどのようなコンプライアンスフレームワークが適用されますか？
• EDRは、既存のSIEM、チケット管理、またはSOARツールとどのように連携する必要がありますか？
• アナリスト1人あたりの1日あたりの許容アラート数はどれくらいですか？

デバイス環境がApple中心であり、MDM層とデータモデルを共有するEDRをお探しの場合は、Iruはまさにそのような環境向けに設計されています。Iruのエンドポイントセキュリティ機能をぜひご検討いただき、単一のプラットフォーム上で検知機能とデバイス管理がどのように連携するかをご確認ください。