ITトレンドがおすすめする製品・サービス
- ■アラート対応の支援別
- アラートの優先順位付けを任せられるEDR：Sophos MDR
- 検知後の端末の隔離に対応したEDR：セキュアエンドポイントサービス（Va）、IIJセキュアエンドポイントサービス、KeepEye
- 24時間体制の監視や対応を任せられるEDR：Sophos MDR、PSC EDRマネージドサービス、Aurora Managed Endpoint Defense (AMED)、FUJITSUSecuritySolution次世代エンドポイント運用サービス、エンドポイントセキュリティ
- ■調査のしやすさ別
- 端末の挙動や攻撃の進行を可視化して調べられるEDR：IIJセキュアエンドポイントサービス、セキュアエンドポイントサービス（Va）、SophosInterceptXAdvancedwithEDR、OpenEDR
EDRの管理画面で最初に確認する項目
EDRの運用は、管理画面で現在の状態をつかむところから始まります。毎日見る項目を絞っておくと、異変に気づきやすくなります。
端末の接続状況とエージェントの状態
最初に、管理対象の端末が正しくつながっているかを確認します。エージェントが停止している端末や、長く通信していない端末は、守られていない状態になっているおそれがあります。
台帳の端末数と、管理画面に表示される端末数を照らし、入れ漏れや退役した端末の残りがないかも確かめましょう。入れ漏れがあれば、早めに対象の端末へ導入を進めます。
アラート一覧と重要度の見方
アラート一覧には、検知の内容、対象の端末、重要度、発生時刻が並びます。重要度は、製品が検知の確かさや影響の大きさをもとに付けた目安です。
重要度の基準は製品によって異なります。重要度が低いアラートでも、同じ端末で続けて出ている場合は、まとめて確認する必要があります。アラートの数が多い日は、重要度の高い順に見ていくと負担を抑えられます。
ダッシュボードで見る傾向
ダッシュボードでは、検知の件数の推移や、アラートが多い端末、よく検知される手口などを確認できます。日々のアラートを見るだけでは気づきにくい偏りが見つかる場合があります。
週や月の単位で傾向を見直すと、設定の改善点や、利用者への注意喚起の材料が得られます。画面の見方に慣れる意味でも、決まった曜日に見る習慣をつけると続けやすくなります。
アラートを受けてから封じ込めるまでの手順
アラートが出たときに迷わず動けるよう、判断の順序を決めておきます。この章では、確認から封じ込めまでの流れを順に示します。
アラートの真偽と優先順位の判断
最初に、アラートが本物の脅威か、業務で使う正規の操作を誤って拾ったものかを見極めます。対象の端末、実行されたファイル、操作した利用者を確認し、普段の業務と照らして判断します。
判断に迷う場合は、本人に操作の心当たりを確認するのも有効です。優先度の高いものから順に対応しましょう。判断の理由は、その場で簡単に記録しておくと後で振り返れます。
端末の隔離とネットワークからの切り離し
脅威の疑いが強い場合は、EDRの隔離機能で端末をネットワークから切り離し、被害の拡大を抑えます。隔離しても、管理画面とエージェントの通信は保たれる製品があり、遠隔での調査を続けられます。
隔離を解除する条件も、あらかじめ決めておく必要があります。調査が終わり、安全が確認できたあとに、元の状態へ戻します。
隔離は業務を止める操作です。実行できる担当者と、承認が必要な条件を決めておきましょう。端末の利用者が会議中や出張中の場合の連絡方法も、あらかじめ考えておきます。
利用者への連絡と記録の保全
隔離したら、端末の利用者に状況を伝え、電源を切らない、操作を続けないなどの指示を出します。調査に必要な記録が失われないようにするためです。
対応の経過は、時刻や判断の理由とあわせて記録しておきます。後で報告書を作るときや、同じ事例への対応を見直すときに役立ちます。記録は、関係者がいつでも見られる場所にまとめておきましょう。
EDRの調査機能で原因と影響範囲をたどる
端末を封じ込めたあとは、何が起きたかを調べます。EDRに記録された挙動のデータを使い、侵入の入口と、被害が及んだ範囲を確かめます。
プロセスの流れを追う
EDRには、どのプログラムがどのプログラムを起動したかを、順に追える画面を持つ製品があります。不審なファイルの実行元をさかのぼると、メールの添付ファイルや、Webからのダウンロードなど、入口の手がかりが得られます。
表示の形式は製品によって異なるため、導入前に画面の見やすさも確かめておきましょう。操作に慣れていない担当者でも追えるかが、運用では大切です。
ログ検索による他端末への広がりの確認
見つかった不審なファイルや通信先を手がかりに、ほかの端末で同じ動きがないかを検索します。同じ痕跡が複数の端末にあれば、被害が広がっている可能性があります。
検索できる期間は、保存されているログの期間に左右されます。調査に必要な期間を、導入時に確認しておきましょう。端末が手元にない場合でも、遠隔で調べられるかも確かめておくと安心です。
調査の結果の整理と報告
調査では、侵入の経路、実行された操作、影響を受けたデータや端末を整理します。わからなかった点も、そのまま記録に残しておきます。
個人情報の漏えいが疑われる場合などは、社内の規程にしたがい、法務や情報システム部門と連携して報告の要否を判断します。
社内の報告や、必要に応じた外部への連絡のために、時系列でまとめておくと説明しやすくなります。再発を防ぐための対策も、あわせて記録に加えます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
日々の運用で見直す設定とルール
EDRは、導入時の設定のままでは誤検知が増えたり、見逃しが出たりする場合があります。運用しながら、設定とルールを少しずつ整えていきます。
誤検知への対処と除外設定の管理
業務で使う正規のソフトが検知される場合は、内容を確認したうえで、許可や除外の設定を加えます。確認せずに除外を増やすと、本物の脅威も見逃すことがあります。
除外が必要かどうかは、検知された内容の確認結果によって変わります。EDRの提供元やベンダーに、除外の推奨設定を問い合わせる方法もあります。
除外の理由、範囲、設定した人を記録し、定期的に見直す決まりを設けましょう。見直しの時期を決めておくと、除外が放置されにくくなります。
エージェントとルールの更新管理
エージェントや検知ルールの更新は、新しい手口に対応するために欠かせません。自動更新の設定になっているか、更新に失敗した端末がないかを、管理画面で確かめます。
更新後に業務ソフトの動作が変わることもあるため、一部の端末で先に試す方法もあります。更新の予定は、利用者へ事前に知らせておきましょう。
定期レポートによる状況の共有
検知の件数、対応にかかった時間、隔離した端末の数などを、月ごとにまとめて関係者に共有します。経営層や情報システム部門が、状況を把握しやすくなります。
数字の変化の背景も添えると、設定や教育の改善につながります。報告の相手によって見たい数字が異なるため、資料の形も調整します。
EDRの運用を続けられる体制づくり
EDRは、アラートを見る人と対応を判断する人がいなければ機能しません。担当者が替わっても続けられる体制を、早めに整えます。
担当者と連絡体制の決め方
アラートを確認する担当、封じ込めを判断する責任者、利用者に連絡する窓口を決めます。夜間や休日の連絡先も、あらかじめ共有しておきます。
担当を1人に固定せず、複数人が同じ画面と手順を使えるようにしておくと、不在時にも対応が止まりません。連絡先の一覧は、定期的に更新しておきましょう。
手順書の作成と対応訓練
アラートの種類ごとに、確認する項目と判断の基準を手順書にまとめます。実際に動くかを確かめるため、模擬のアラートを使った訓練を、年に数回行う方法があります。
訓練で見つかった抜けや、わかりにくい点は、手順書に反映していきましょう。担当者が替わるときは、訓練に新しい担当者も加えると引き継ぎが進みます。
自社だけで難しい場合の外部サービス
専門の人材が足りない場合は、監視や初動の対応を外部のサービスに任せる方法があります。任せられる範囲が、監視だけか、調査や復旧の支援までかは、サービスによって異なります。
端末の台数が少ない組織でも、使える場合があります。自社の体制とあわせて、契約の内容を確認しましょう。費用は対応の範囲によって変わるため、見積もりの条件も比べておきます。
アラート対応を支えるEDR製品の一覧
検知後の初動や調査を助ける機能とサービスに着目し、選んだ製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Sophos MDR | 検知後の調査から封じ込め、排除まで24時間365日で対応 |
| PSC EDRマネージドサービス | 検知後15分以内に一次報告。月次レポートで対応履歴を確認 |
| Aurora Managed Endpoint Defense (AMED) | EPP・EDRと運用をセットで提供。調査から対処まで一括 |
| セキュアエンドポイントサービス（Va） | 重大なインシデント時にパソコンを自動隔離して通知 |
| IIJセキュアエンドポイントサービス | 管理画面から端末の隔離や疑わしいファイルの取得が可能 |
| KeepEye | AI検知と24時間365日の監視に加え、感染端末の隔離まで対応 |
| FUJITSUSecuritySolution次世代エンドポイント運用サービス | PCやサーバーのEPP・EDR運用を24時間365日で代行 |
| エンドポイントセキュリティ | 専門アナリストが24時間365日体制で監視・運用を提供 |
| SophosInterceptXAdvancedwithEDR | EDRで端末上の疑わしい挙動を可視化し、調査できる |
| OpenEDR | 攻撃の進行を可視化して阻止を支援するオープンソースのEDR |
検知後の対応と調査を助けるEDR製品
アラートを受けてから封じ込め、調査に進むまでの負担を減らせるかを基準に、自動対応や運用代行のある製品を選びました。
Sophos MDR
- AIが平均89秒で自動対応し、迅速に脅威を抑止
- 350超の外部セキュリティツールと連携可能
- 人間のアナリストが最終判断を担い説明責任を確保
三信電気株式会社が提供する「Sophos MDR」は、アラートが出たあとの調査から対応までを一連で進めるマネージドサービスです。ノイズの多いアラートから優先順位を付けて対応の遅れを抑える運用を支援し、根本原因の解析や専任のインシデント対応担当者の割り当ても含みます。夜間のアラートに備える手段としても検討できます。
PSC EDRマネージドサービス
- EDRアラートを24時間365日体制で監視・分析
- アラート検知後、15分以内に一次報告を実施
- 運用状況を月次で可視化、セキュリティ改善を提案
株式会社ピーエスシーが提供する「PSC EDRマネージドサービス」は、EDRの運用を24時間365日で請け負うサービスです。脅威の検知後は15分以内に一次報告があり、初動の判断に必要な情報が整理されて届きます。月次レポートで攻撃状況や対応履歴、チューニング結果を確認でき、設定やルールの見直しにも役立ちます。
Aurora Managed Endpoint Defense (AMED)
- 専門家が24時間365日体制で調査・分析から対処までを完結
- チューニングによりお客様環境に合わせて製品の防御性能を最大化
- 同一ベンダだからこそのワンストップモデルによる安心と低コスト
NTTセキュリティ・ジャパン株式会社が提供する「Aurora Managed Endpoint Defense (AMED)」は、EPPとEDRの製品に、調査・分析から対処までを担う専門家の運用を組み合わせたサービスです。無駄なエスカレーションを抑えて自社の対応負荷を減らすことを目指しており、製品のチューニングも含まれます。自社で判断する場面を絞りたい場合に向いています。
セキュアエンドポイントサービス（Va）
- 高い精度のスキャンにより、アプリの脆弱性把握や対処が可能
- オンプレやリモート環境など、パソコンの動作状況をすべて把握
- 重大なインシデント発生時は対象パソコンを自動で隔離し能動通知
株式会社 USEN ICT Solutionsが提供する「セキュアエンドポイントサービス（Va）」は、EPP、EDR、MSSを組み合わせた総合的なエンドポイントセキュリティサービスです。重大なインシデントが起きると対象のパソコンを自動で隔離して通知し、リスクレベルに応じたアラートもリアルタイムで届きます。専用の管理サーバーが不要な、エージェントインストール型です。
IIJセキュアエンドポイントサービス
- AIを駆使した「Aurora Protect」で、未知のマルウェアも検知
- 脅威の可視化から分析までをワンストップで実現
- ネットワーク全体で脅威を調査
株式会社インターネットイニシアティブが提供する「IIJセキュアエンドポイントサービス」は、クラウド型のエンドポイントセキュリティサービスです。疑わしいファイルの取得や、感染した端末のネットワークからの隔離を、AI検知エンジン「Aurora Protect」と同じ管理画面から実行できます。流行中のマルウェアが社内に潜んでいないかを、IoCをもとに調べる使い方もできます。
KeepEye （Ｓ＆Ｊ株式会社）
- AIによる高度な振る舞い検知と防御機能搭載
- アナリストが365日24時間監視運用
- 導入実績290社、65,000ライセンス以上
FUJITSUSecuritySolution次世代エンドポイント運用サービス （富士通株式会社）
- 24時間365日体制で常時監視・通報に対応。
- EPP/EDR製品の運用代行。専門知識不要。
- 一貫提供で運用負荷を大幅軽減
エンドポイントセキュリティ （NECフィールディング株式会社）
- 専門アナリストが24時間365日体制で監視・運用を提供。
- 振る舞い検知技術で未知のマルウェアにも迅速対応。
- 47都道府県の拠点で導入から運用までトータルサポート。
SophosInterceptXAdvancedwithEDR （ソフォス株式会社）
- 未知マルウェアの検知・ブロック機能を搭載
- 暗号化ファイルを元に戻すロールバック機能
- EDRにより端末上の疑わしい挙動を可視化・調査
OpenEDR （Xcitium Inc.）
- 導入・改変が自由なオープンソースEDR基盤を提供
- AIが脅威を自動検知・分析し、攻撃の進行を可視化して阻止する。
- 無料で主要機能が利用でき、幅広い環境の安全を強化する。
まとめ
EDRの使い方は、管理画面で状態を確認し、アラートの真偽を判断し、隔離と調査を経て復旧する流れが基本です。日々の運用では、誤検知の整理や更新の管理、担当体制の整備も欠かせません。EDRを選ぶ際は、画面の見やすさや対応の支援の範囲も比べたいところです。資料請求して、複数の製品で使い方の違いを確かめてみてください。
