ITトレンドがおすすめする製品・サービス
- ■提供形態・利用環境別
- オンプレミスでの提供形態がある製品：ApexOneEndpointSensor、Trend Micro Apex One、EndpointSecurityEnterprise、WithSecure Elements Endpoint Protection、HarmonyEndpoint、Wazuh
- オフライン環境でパターンファイルを更新できる製品：TXOne Stellar
- ■運用の分担別
- 監視や分析を外部に任せられる運用：Sophos MDR、PSC EDRマネージドサービス、Aurora Managed Endpoint Defense (AMED)
EDRをオンプレミスで運用する仕組み
オンプレミス型EDRは、端末に入れる小さなソフトと、データを集めて分析する管理サーバーで成り立ちます。この章では、データの流れとクラウド型との違いを説明します。
管理サーバーと端末エージェントの役割
EDRのエージェントは、端末で動くプロセスやファイルの変更、ネットワーク接続などの記録を集め、管理サーバーに送ります。管理サーバーは、集めた記録を照合して不審な動きを見つけ、管理者に知らせる役割を持ちます。
オンプレミス型では、この管理サーバーと保管用のデータベースを、自社のサーバー室やデータセンターに置きます。
クラウド型との違いは設置場所とデータの扱い
最大の違いは、分析基盤とログの置き場所です。クラウド型は提供会社の基盤にデータが集まり、オンプレミス型は自社の環境にデータが残ります。
社内規程や取引先との契約でデータの社外保管が制限されている場合は、オンプレミス型が有力な選択肢です。ただし、製品によってはオンプレミス構成に対応していないものもあるため、事前の確認が必要です。
オンプレミス型が検討されやすい組織
製造業の設計部門や、行政、金融など、扱う情報の持ち出しに厳しい制約がある組織で検討されるケースがあります。インターネットに接続しない閉域網の端末を守りたい場合も、検討の対象に入ります。
一方で、専任の運用担当者を置けない場合は、基盤の維持が負担になることもあります。自社の体制とあわせて判断しましょう。
オンプレミスで運用する際の負担の見方
データを手元に置ける反面、基盤の維持にかかる手間と費用は自社で負担します。導入前に、どこまでが自社の作業になるかを洗い出しておくと、見積もりを比べやすくなります。
サーバー機器と基盤の保守
管理サーバーの機器、OS、データベースの保守は、基本的に自社で対応する必要がありますが、外部事業者への委託も可能です。OSの更新プログラムの適用や、機器の老朽化への備えについても、運用計画に含めておきましょう。
管理サーバーが止まると、新しい検知や調査が行えなくなる場合があります。冗長化の有無や、停止時の復旧手順も確認しておきましょう。
ログの保管容量と保存期間
EDRは端末の挙動を細かく記録するため、台数が増えるほどデータ量も増えます。必要な保管容量は、端末台数や記録の粒度、保存期間によって変わります。
ログの容量が足りなくなると、古い記録から消える設定や、新しい記録を受け付けなくなる動作をする製品もあります。容量の不足を知らせる通知があるかも確認が必要です。
調査では過去のログをさかのぼるため、保存期間が短すぎると原因を追えないことがあります。社内規程や監査の要件をもとに、保存期間を決めましょう。
バックアップと復旧の備え
管理サーバーのデータが失われると、過去の検知履歴や設定も失われます。定期的なバックアップと、別の機器に復元できる手順を用意しておくと、障害時の影響を抑えられます。
バックアップの対象に設定情報や証明書が含まれるかは、製品によって異なります。復元の試験を一度行い、手順が実際に動くかを確かめておきましょう。
閉域網や社外端末でのEDRの扱い
オンプレミス型が選ばれる環境には、インターネットから切り離したネットワークや、社外で使う端末が混在していることがあります。環境ごとの注意点をまとめます。
閉域網での脅威情報とプログラムの更新
インターネットに接続しない環境では、検知に使う情報やエージェントの更新を、自社で取り込む必要があります。更新が止まると、新しい手口への検知が追いつかない場合があります。
持ち込む媒体からマルウェアが入り込まないよう、媒体の検査や、専用端末の利用も決めておく必要があります。
更新ファイルを持ち込む手順と、持ち込む際の確認方法を決めておきましょう。対応方法は製品ごとに異なるため、ベンダーに問い合わせて確認します。
テレワーク端末と社内サーバーの接続
社外で使う端末は、社内の管理サーバーと通信できないと、状態の把握や遠隔の隔離ができません。VPN（暗号化した通信回線）経由で接続する方法や、外部に公開した中継サーバーを設ける方法があります。
どの方法でも、公開する経路が新たな攻撃対象にならないよう、設定と監視を見直す必要があります。
端末の台数増加を見すえた拡張性
拠点の追加や端末の入れ替えで、管理対象は増えていきます。1台の管理サーバーで管理できる端末数には、製品ごとに目安があります。
管理サーバーの性能が足りなくなると、画面の表示や検索が遅くなる場合があります。推奨される構成と、台数が増えたときの追加の方法を、ベンダーに確認しておきましょう。
将来の台数を見積もり、サーバーを増設する方法や、拠点ごとに管理サーバーを分ける構成が取れるかを確認しておくと、後からの作り直しを避けられます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
EDRの運用体制をどこまで自社で持つか
EDRは導入して終わりではなく、検知したアラートを見て判断し、対応する運用が欠かせません。オンプレミス型では基盤の運用も加わるため、体制の設計が重要です。
アラートの確認と初動対応の担当
EDRは疑わしい動きを検知すると、管理者にアラートを出します。夜間や休日にアラートが出た場合に誰が見るか、端末をネットワークから切り離す判断を誰が行うかを、事前に決めておきます。
アラートの中には、業務で使う正規のソフトの動きを誤って拾ったものも含まれます。確認の手順を決めておくと、対応の判断がぶれにくくなります。
担当を1人に固定すると、不在時に対応が止まります。複数人で状況を共有できる体制にしましょう。
外部の監視サービスを組み合わせる考え方
自社に専門人材が少ない場合は、監視や分析を外部に任せるサービスを組み合わせる方法があります。オンプレミス型でも、外部の担当者が自社の管理画面やログを見られるかは、製品とサービスの内容によって異なります。
外部に任せる場合も、自社の端末や業務の事情を知っているのは自社の担当者です。連絡の窓口と、判断を渡す範囲を決めておきましょう。
依頼できる範囲が、監視だけか、調査や復旧の支援までかを、契約前に確認しましょう。
基盤の障害時を含む運用手順の整備
管理サーバーの障害やログ容量の不足は、運用の中で起こり得る事態です。障害の通知方法、復旧の手順、ログが欠けた期間の扱いを、手順書にまとめておきます。
手順書は担当者の異動や退職で失われないよう、共有の場所に保管し、定期的に見直します。
EDRのオンプレミス構成の費用と導入手順
オンプレミス型の費用は、ソフトの利用料だけでなく、機器や保守の費用も含めて考える必要があります。費用の内訳と、導入を進める順序を示します。
ライセンス費用と基盤費用の内訳
費用は、端末ごとのライセンス費用、管理サーバーなどの機器費用、OSやデータベースの費用、保守や運用の人件費に分かれます。提供形態によって、買い切りや年間契約など課金の方法も異なります。
金額は製品や台数、構成で大きく変わるため、複数社から同じ条件で見積もりを取って比べましょう。
検証環境での試用から本番展開までの流れ
導入は、まず一部の端末とサーバーで試し、業務ソフトとの相性や動作の負荷を確かめるところから始めます。問題がなければ、部署や拠点ごとに範囲を広げていきます。
本番の端末へ一斉に入れると、不具合が起きたときの影響が大きくなります。段階的に進め、各段階で動作を記録しておきましょう。
中小規模の組織が見積もりで確認する点
端末が数百台以下の組織でも、管理サーバーの機器と運用の手間は必要です。台数が少ない場合は、基盤の費用が1台あたりの負担を押し上げることがあります。
クラウド管理型とあわせて見積もりを取り、データを置く場所の制約と費用の両方を比べると、判断しやすくなります。
オンプレミス対応のEDR製品の特徴一覧
提供形態にオンプレミスを含む製品と、監視や分析を外部に任せられるサービスを、特徴とあわせて一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Sophos MDR | 24時間365日の監視から対応までを代行するサービス |
| PSC EDRマネージドサービス | 24時間365日の監視と月次レポートを提供。500名以上向け |
| Aurora Managed Endpoint Defense (AMED) | 製品と専門家による運用を一体で提供。導入支援も含む |
| ApexOneEndpointSensor | 端末の挙動ログを集めて調査と監視を支援。オンプレミスに対応 |
| Trend Micro Apex One | 基本はクラウド型で、希望に応じてオンプレミス型も選べる |
| EndpointSecurityEnterprise | クラウド管理コンソールで脅威を可視化。オンプレミスにも対応 |
| WithSecure Elements Endpoint Protection | クラウド管理コンソールで導入と監視を一元化。オンプレミスにも対応 |
| HarmonyEndpoint | EPP・EDR・XDRを単一エージェントで提供。オンプレミスに対応 |
| Wazuh | XDRとSIEMを統合したオープンソース。オンプレミスに対応 |
| TXOne Stellar | サポート終了後のOSを保護でき、オフラインでの更新に対応 |
オンプレミス構成を検討するEDR製品
自社内に基盤を置く運用を考える際の候補として、オンプレミスに対応した製品と、運用の負担を補えるマネージド型のサービスを選びました。
Sophos MDR
- AIが平均89秒で自動対応し、迅速に脅威を抑止
- 350超の外部セキュリティツールと連携可能
- 人間のアナリストが最終判断を担い説明責任を確保
三信電気株式会社が提供する「Sophos MDR」は、24時間365日体制で脅威の監視から調査、対応までを担うマネージド型のサービスです。AIが調査を進め、専門のアナリストが判断を担う体制で、封じ込めから排除までの対応を支援します。社内で監視や分析の担当者を確保しにくい場合に、運用の一部を任せる選択肢です。
PSC EDRマネージドサービス
- EDRアラートを24時間365日体制で監視・分析
- アラート検知後、15分以内に一次報告を実施
- 運用状況を月次で可視化、セキュリティ改善を提案
株式会社ピーエスシーが提供する「PSC EDRマネージドサービス」は、EDRのアラートを24時間365日体制で監視・分析する運用サービスです。脅威を検知すると運用仕様にもとづいて15分以内に一次報告を行い、月次レポートで攻撃状況や対応履歴、改善策を示します。運用範囲に応じて3つのプランがあり、対象は従業員500名以上の企業です。
Aurora Managed Endpoint Defense (AMED)
- 専門家が24時間365日体制で調査・分析から対処までを完結
- チューニングによりお客様環境に合わせて製品の防御性能を最大化
- 同一ベンダだからこそのワンストップモデルによる安心と低コスト
NTTセキュリティ・ジャパン株式会社が提供する「Aurora Managed Endpoint Defense (AMED)」は、製品と運用を同じ提供元からまとめて受けられるワンストップのサービスです。EPPとEDRの導入支援から、監視、調査・分析、対処までを専門家に任せられ、環境にあわせたチューニングも含まれます。自社で監視体制を持ちにくい場合の選択肢です。
ApexOneEndpointSensor （トレンドマイクロ株式会社）
- ファイル実行やレジストリ変更などの挙動を記録
- Webコンソールで端末調査とエージェント管理を一元化。
- Deep Discovery Analyzer連携で脅威情報を活用。
Trend Micro Apex One （トレンドマイクロ株式会社）
- トレンドマイクロ社の高度な技術による圧倒的な脅威検出力！
- クラウド型採用で企業内のデバイス・アプリを柔軟に保護可能！
- あらゆるデバイス・アプリ・ファイル形式に総合的に対応！
EndpointSecurityEnterprise （Broadcom Inc.）
- クラウド管理でWindows/Macを一元保護。
- マルウェア対策と侵入防止の多層防御機能を搭載。
- EDRやアプリ制御と連携し、脅威の検知と対応を支援。
WithSecure Elements Endpoint Protection （ウィズセキュア株式会社）
- クラウド管理で導入・管理・監視を一元化し、運用コストを削減。
- マルウェア保護、自動パッチ、2,500超のアプリに対応。
- 複数OS対応、未知の脅威やゼロデイ攻撃も検知・阻止。
HarmonyEndpoint （チェックポイント・ソフトウェア・テクノロジーズ株式会社）
- 1C/1CでEPP/EDR/XDRを統合。
- ThreatCloudのAIでゼロデイ対策を実現。
- ランサムウェア対策、DLP、ポスチャー管理を搭載。
Wazuh （Wazuh, Inc.）
- XDRとSIEMを統合したセキュリティプラットフォーム
- リアルタイムの脅威検知と迅速な対応
- 拡張性と柔軟性に優れたOSS基盤
TXOne Stellar （トレンドマイクロ株式会社）
- OSサポート終了後もパッチ不要で保護
- オフライン環境でのパターンファイル更新が可能
- OT環境に最適化、軽量運用
まとめ
オンプレミス型のEDRは、データを自社内に置けることが強みですが、サーバーの保守、ログ容量、更新の取り込み、運用体制の整備について、対応方法を決める必要があります。閉域網や社外端末があるかどうかでも、必要な構成は変わります。EDRの導入を検討する際は、自社で担う範囲と外部委託する範囲を整理したうえで、資料請求で複数の製品を比べてみてください。
