ITトレンドがおすすめする製品・サービス
- ■サーバー環境別
- Linuxの攻撃検知に対応したEDR：InterceptXAdvancedforServerwithXDR
- 仮想マシンのバックアップや、クラウド上のワークロードの検出に対応した製品：使えるデータプロテクト、InterceptXAdvancedforServerwithXDR
- サーバーを保護対象にできる製品やエディションがあるEDR：InterceptXAdvancedforServerwithXDR、Elements Endpoint Protection、Trend Micro Apex One
- ■検知後の対応別
- 営業時間外の攻撃を自動でブロックできるEDR：Elements Endpoint Protection
- 調査から対処までを専門家に任せられるEDR：Aurora Managed Endpoint Defense (AMED)、Sophos MDR、FUJITSUSecuritySolution次世代エンドポイント運用サービス
サーバーと端末でのEDRの違い
サーバーは多くの利用者が同時に使い、止まると業務全体に影響します。そのため、EDRを入れる目的や、守るべき対象の考え方が、パソコンとは少し異なります。
サーバーを狙う攻撃の特徴
サーバーには、顧客情報や業務データがまとまって置かれていることがあります。攻撃者が端末から侵入したあと、サーバーへ横展開して情報を持ち出したり、暗号化したりする例が知られています。
端末で止められなかった侵入を、サーバー側で早く見つけるために、EDRが使われます。サーバーは常に動いているため、侵入に気づくのが遅れると、被害が広がるおそれがあります。
サーバーにEDRを入れる目的の整理
サーバーでEDRに期待するのは、不審なプロセスの実行や、管理者権限の不自然な利用、大量のファイル変更などを記録し、後から追えるようにすることです。
ウイルス対策ソフトだけでは把握しにくい侵入後の動きを、記録から調べられます。ただし、記録を見て判断する運用がなければ、効果は限られます。アラートを誰が見るかも、導入前に決めておきましょう。
サーバー用の製品とライセンスの確認
EDR製品には、端末向けとサーバー向けでライセンスが分かれているものがあります。端末向けのライセンスでサーバーに入れられるかは、製品によって異なります。
サーバーの台数や、仮想マシンの数え方も、見積もりに影響します。購入前に、数え方の条件をベンダーに確認しておきましょう。サーバーの入れ替えや増設の際に、ライセンスを移せるかも見ておくと安心です。
EDRを入れるサーバーのOSと環境の確認
サーバーには、複数のOSや古いバージョンが混在していることがあります。対応外のOSがあると守れない範囲が残るため、導入前に棚卸しをしておきます。
Windows ServerとLinuxの対応範囲
サーバーEDRの対応OSは、Windows ServerのバージョンやLinuxのディストリビューション、カーネルの版数まで、製品ごとに決まっています。
対応表を見るときは、OSの名前だけでなく、サポートが終了した古いバージョンを含むかも確認します。対応外のサーバーには、ネットワーク側で監視するなど別の手段が必要です。守れていないサーバーの一覧を作り、期限を決めて入れ替えを進めましょう。
仮想環境とクラウド上のサーバーの扱い
仮想マシンやクラウド上のサーバーでは、台数が増減しやすく、エージェントの入れ漏れが起こりがちです。構築時にEDRを自動で入れる仕組みがあると、管理の漏れを減らせます。
コンテナなど、サーバーとは違う形で動く環境に対応するかは、製品によって差があります。自社の構成をベンダーに伝え、対応範囲を確かめましょう。入れ漏れがないかを、管理画面に出る台数と、実際に稼働しているサーバー数を照らして確認します。
業務ソフトやデータベースとの相性
データベースや業務ソフトが動くサーバーでは、EDRの監視が処理の遅れにつながる場合があります。導入前に、使っているソフトとの動作確認の実績があるかを問い合わせます。
ソフトの提供元が、セキュリティソフトの利用条件を公開していることもあります。あわせて確認しておくと安心です。動作確認の結果は、後の問い合わせに備えて記録しておきます。
サーバーの性能への影響を抑える
EDRは常に動作を記録するため、サーバーのCPUやメモリ、ディスクを使います。負荷が大きいと、業務の応答が遅れる原因の一つになるため、事前の検証が欠かせません。
導入前の負荷検証の進め方
本番と同じ構成の検証用サーバーに、EDRを入れて負荷を測ります。ピーク時の処理量が多い時間帯の応答時間やCPUの使用率を記録し、変化を確かめる流れです。EDRを止めた状態との差も見ておけば、影響の大きさがつかめます。
検証環境がない場合は、影響の小さいサーバーから順に入れて、様子を見ながら広げていきます。
除外設定の考え方と注意点
負荷や誤検知を避けるため、特定のフォルダやプロセスを監視の対象から外す除外設定ができる製品があります。データベースのファイルなど、書き込みが多い場所が候補です。
ただし、除外した場所は検知も記録もされにくくなります。除外の理由と範囲を記録し、定期的に見直すことが大切です。除外が増えすぎないよう、追加するときは複数人で確認する決まりを設けるのも一案です。
エージェントの更新時期の調整
エージェントの更新や再起動が必要な場合は、サーバーを止めてよい時間にあわせて行います。自動更新の設定は、業務時間に更新が走らないよう時間帯を指定できるかを確認します。
更新の不具合で動作が不安定になった場合に、前の版へ戻せる手順があるかも確かめておきましょう。更新の通知を受け取る担当者も決めておくと、見落としを防げます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
サーバーで脅威を検知したときの対応
端末ならネットワークから切り離せばよい場面でも、サーバーでは業務への影響を考えて判断する必要があります。平時のうちに、対応の手順を決めておきます。
サーバーを隔離する判断の基準
サーバーを隔離すると、そのサーバーを使う業務が止まります。侵害の疑いの強さと、止めた場合の影響の大きさを比べて、誰がどの条件で決めるかを事前に定めておきます。
判断を急ぐ場面で迷わないよう、連絡先と承認の流れを一枚にまとめておくと役立ちます。訓練を年に一度行い、手順が実際に動くかを確かめる方法もあります。
業務を止めない段階的な封じ込め
隔離には、サーバーを完全に切り離す方法のほか、特定の通信だけを遮断する方法や、疑わしいプロセスだけを止める方法があります。どの操作ができるかは製品によって異なります。
業務への影響が小さい操作から試せるかを、選定時に確認しておきましょう。止めてよい時間帯や、利用者への連絡方法も決めておきます。
検知した後の調査と復旧
隔離のあとは、EDRの記録から侵入の経路と影響範囲を調べます。サーバーの場合は、どのデータにアクセスされたかを確かめ、必要に応じてバックアップから戻します。
調査や復旧を自社だけで進めるのが難しい場合は、ベンダーや専門事業者への相談も選択肢です。契約前に、相談できる範囲を確認しておきましょう。
サーバーのEDRの導入を段階的に進める
サーバーへのEDRの導入は、一斉に行わず、影響を見ながら段階的に進めます。進め方と、導入後の運用で気をつける点を示します。
重要度に応じた導入の順番
最初に、外部から接続できるサーバーや、重要な情報を持つサーバーから入れる方法があります。一方で、止められない基幹のサーバーは、検証を十分に行ってから入れるのが安全です。
サーバーの重要度と、攻撃を受けるリスクの両方から、順番を決めましょう。
導入後の動作確認とアラートの調整
導入後しばらくは、業務ソフトの動作や、誤検知のアラートの量を確かめます。誤検知が続く場合は、正規の処理を許可する設定を加えて調整します。
調整のたびに、変更の内容と理由を記録しておくと、担当者が替わっても引き継げます。調整の結果は、定期的に関係者で共有しましょう。見直しの時期をあらかじめ決めておくと、設定が放置されにくくなります。
中小規模の環境で優先する点
サーバーが数台の環境では、専任の担当者を置けないことが多くあります。アラートの確認や対応を外部のサービスに任せられるか、確認しておくと運用の負担が軽くなります。
サーバーの設定変更や更新の予定は、社内の関係部署にも共有しておくと、障害時の切り分けが進めやすくなります。
台数が少ない場合でも、保守の時間を決めておけば、業務への影響を抑えながら運用できます。外部のサービスを使う場合は、連絡の窓口と対応の範囲もあわせて確認しておきましょう。
サーバー保護で比較したいEDR製品一覧
サーバーへの導入を想定し、Linuxや仮想環境への対応、運用の任せ方がわかる製品を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| 使えるデータプロテクト | サーバーや仮想マシンのバックアップに対応。XDRを搭載 |
| Aurora Managed Endpoint Defense (AMED) | EPP・EDRと運用を一体提供。調査から対処まで任せられる |
| Sophos MDR | AIと専門アナリストで24時間365日監視・対応 |
| InterceptXAdvancedforServerwithXDR | Linux攻撃を振る舞い検知とランタイム検知で特定 |
| Elements Endpoint Protection | サーバーズエディションで営業時間外の攻撃を自動ブロック |
| FUJITSUSecuritySolution次世代エンドポイント運用サービス | PCやサーバーのウイルス対策・EDRの運用を24時間365日代行 |
| Trend Micro Apex One | PC・サーバー・モバイルなどの端末を包括的に保護 |
サーバー環境を守るEDRと運用サービス
業務を止めにくいサーバーで比較したい観点として、対応環境と、検知後の運用を任せられるかどうかを軸に製品を選びました。
使えるデータプロテクト
- 複雑なツールは不要 エンドポイントセキュリティをシンプルに
- イメージバックアップで迅速・効率的なバックアップ＆復元が可能
- 包括的なサイバープロテクションで、あらゆる機能を集中管理
使えるねっと株式会社が提供する「使えるデータプロテクト」は、完全クラウド型のデータ保護サービスです。PCからサーバーまでのバックアップに対応し、WindowsやLinuxのサーバー、仮想マシンもバックアップの対象にできます。AIを使ったランサムウェア対策とXDRを搭載しており、止めたくないサーバーのデータを守る場面で検討できます。
Aurora Managed Endpoint Defense (AMED)
- 専門家が24時間365日体制で調査・分析から対処までを完結
- チューニングによりお客様環境に合わせて製品の防御性能を最大化
- 同一ベンダだからこそのワンストップモデルによる安心と低コスト
NTTセキュリティ・ジャパン株式会社が提供する「Aurora Managed Endpoint Defense (AMED)」は、EPPとEDRの製品と専門家による運用を、ひとつにまとめたサービスです。検知後の調査から対処までを外部に任せたい場合の選択肢です。対応するサーバーOSや構成は、資料で確認してください。
Sophos MDR
- AIが平均89秒で自動対応し、迅速に脅威を抑止
- 350超の外部セキュリティツールと連携可能
- 人間のアナリストが最終判断を担い説明責任を確保
三信電気株式会社が提供する「Sophos MDR」は、AIと専門のアナリストを組み合わせ、24時間365日で監視・調査・対応を行うマネージドサービスです。対象はエンドポイントのほか、アイデンティティ、メール、ネットワーク、クラウドまで広がります。サーバーを含む環境が対象になるかは、資料で確認しましょう。
InterceptXAdvancedforServerwithXDR （ソフォス株式会社）
- Linux攻撃を振る舞い・ランタイム検知で特定。
- XDR機能で多様なデータを活用し統合的なセキュリティを実現。
- CSPMでAWS、Azure、GCPのワークロードを検出
Elements Endpoint Protection （ウィズセキュア株式会社）
- マルウェア対策と最新パッチ適用で企業のBCP対策を実現！
- リアルタイムに最新の脅威を特定しゼロデイ攻撃を防止！
- 4種のソリューションを単一または組み合わせて使用可能！
FUJITSUSecuritySolution次世代エンドポイント運用サービス （富士通株式会社）
- 24時間365日体制で常時監視・通報に対応。
- EPP/EDR製品の運用代行。専門知識不要。
- 一貫提供で運用負荷を大幅軽減
Trend Micro Apex One （トレンドマイクロ株式会社）
- トレンドマイクロ社の高度な技術による圧倒的な脅威検出力！
- クラウド型採用で企業内のデバイス・アプリを柔軟に保護可能！
- あらゆるデバイス・アプリ・ファイル形式に総合的に対応！
まとめ
サーバーのEDRは、対応OSの確認、性能への影響の検証、除外設定の管理、業務を止めない隔離の判断が、端末とは異なる重要なポイントです。段階的に導入し、調整の記録を残すと、運用を続けやすくなります。EDRのサーバーへの導入を検討する際は、自社のサーバー環境を整理したうえで、資料請求して複数の製品を比べてみてください。
