EDRの機能を確認する際の基本的な視点
EDRは検知して終わりではなく、対応から調査までを一連の流れとして支援する製品です。まず、機能を比較する前に押さえておきたい基本の考え方を整理します。
EDRが担う検知から対応までの流れ
EDRは端末の挙動を継続的に記録し、不審な動きを検知した際にアラートを出す仕組みを持っています。検知後は、端末の隔離や調査、復旧といった一連の対応を支援する機能が用意されている製品が多く、どの段階までを自社で行い、どこから外部の支援を受けるかを整理しておくと、必要な機能が見えやすくなります。
例えば、検知と通知のみを行う運用と、隔離や初期対応まで自動化する運用では、必要な人員体制が異なります。自社の情報システム部門の体制にあわせて、どこまでの機能を活用するかを検討するとよいでしょう。運用の途中で体制が変わる場合もあるため、機能の利用範囲を後から見直せるかどうかもあわせて確認しておくと安心です。
機能比較で押さえておきたいポイント
EDRの機能を比較する際、検知率やAIの正解率といった数値は各社が独自の条件で算出しており、横並びで比較できる指標ではありません。そのため、利用しているエンジンの種類やスキャン対象の範囲、検知時の処理内容、ログの保持期間、通知方法といった確認可能な項目で比較する方法が有効です。
また、誤って正常な操作を検知した場合に、履歴を確認しながら除外設定を追加できるかどうかも比較材料になります。運用を開始したあとに調整できる余地があるかを事前に確認しておくと、導入後の負担を抑えやすくなります。
未知の脅威を検知する仕組みに関わる機能
既知のウイルスパターンに一致しない未知の脅威に対応する仕組みとして、振る舞い検知や脅威インテリジェンスとの連携があります。それぞれの機能で確認したい視点を整理します。
振る舞い検知機能のポイント
振る舞い検知は、ファイルの特徴だけでなくプロセスの動作パターンを見て不審な挙動を検知する仕組みです。未知の脅威を検知しやすくなる場合がある一方で、正常な業務プロセスを不審な動作と誤って検知するケースも起こり得ます。どのような基準で挙動を判定しているか、判定結果を確認・調整できるかを確認しておくとよいでしょう。
また、振る舞い検知の精度は利用環境によっても変わるため、導入前に自社の業務システムと組み合わせた検証ができるかを確認しておくと、想定外の誤検知を防ぎやすくなります。検証は本番環境に影響しない形で実施できるか、ベンダーが許可する検証方法があるかも、あわせて情報システム部門に確認しておくとよいでしょう。
脅威インテリジェンス連携で押さえたい点
脅威インテリジェンスとは、既知の攻撃手法や不審な通信先といった情報をまとめたデータベースのことです。EDRがこの情報と連携して検知精度を補強する仕組みを持つ製品もあります。情報がどの程度の頻度で更新されるか、更新のタイミングを確認できるかが比較のポイントになります。
ただし、脅威インテリジェンスと連携していれば、あらゆる攻撃を検知できるとは限りません。情報の更新頻度や対象範囲は製品によって異なるため、公式情報で確認できる範囲を把握したうえで、他の対策とあわせて検討することが望ましいでしょう。連携先の情報源が国内外どちらの動向を中心に扱っているかによっても、検知の傾向が変わる場合があります。
感染端末への対応に関わる機能
不審な挙動を検知した後、端末をどう扱うかもEDRの重要な機能です。自動隔離やロールバックといった対応機能について確認したい視点を整理します。
自動隔離・封じ込め機能のチェックポイント
自動隔離は、不審な挙動を検知した端末をネットワークから切り離す機能です。被害の拡大を抑える手段として有効な場合がありますが、誤検知によって正常な端末まで隔離されると業務に支障が出るおそれがあります。隔離の条件を管理者が設定・調整できるか、隔離後に手動で解除できるかを確認しておくと安心です。
また、隔離が実行された際に管理者へ通知が届く仕組みがあるか、隔離の履歴を後から確認できるかも運用上の確認事項です。通知の方法はメールや管理画面上の表示など製品によって異なるため、自社の運用フローにあう方法を確認しておきましょう。夜間や休日に隔離が発生した場合の通知手段が用意されているかも、対応の遅れを防ぐうえで確認しておきたい項目です。
ロールバック機能で押さえておきたい点
ロールバック機能は、攻撃を受ける前の状態にファイルや設定を戻すことを支援する機能です。すべての被害を元に戻せるわけではなく、対応できる範囲は製品や被害の内容によって異なります。どのような変更に対応できるか、復旧にかかる時間の目安を確認しておくとよいでしょう。
あわせて、ロールバックを実行した後に、対応が正しく完了したかを確認する手段があるかも確認事項です。復旧後の状態を確認できないと、被害が残っていないかの判断が難しくなるため、確認方法もあわせて相談しておくと安心です。業務システムと連携している端末では、復旧作業がシステム全体に影響しないか、事前にベンダーへ確認しておくとより安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
インシデント調査に関わる機能
インシデントが発生した後は、原因や影響範囲を調査する必要があります。調査を支援する機能について確認したい視点を整理します。
フォレンジック調査機能のポイント
フォレンジック調査機能は、端末の操作履歴や通信記録をさかのぼって確認し、攻撃の侵入経路や影響範囲を調べる際に活用します。どの範囲までの履歴が、どれくらいの期間保存されるかは製品によって異なるため、自社が想定する調査に必要な保存期間を確認しておくことが大切です。
また、ログの反映にはある程度の時間がかかる場合があります。反映のタイミングによって調査結果が変わることもあるため、リアルタイムに近い状態で確認できるか、反映までの目安時間を確認しておくと、調査の進め方を計画しやすくなります。
調査結果を報告へ活用する際の確認事項
調査結果は、社内の経営層や取引先への報告に使われる場合があります。調査結果をレポート形式で出力できるか、時系列でわかりやすく整理されているかを確認しておくと、報告業務の負担を抑えやすくなります。
なお、調査や報告の作業をすべて自動化できるわけではありません。複雑な事案では専門知識を持つ担当者やベンダーの支援が必要になる場合もあるため、外部の調査支援を受けられるプランがあるかもあわせて確認しておくとよいでしょう。社内に調査経験のある担当者がいない場合は、初動対応から相談できる窓口があるかも導入前の比較材料になります。
全社の状況を可視化する機能
端末数が多い企業では、状況を一つの画面でまとめて把握できるかどうかが運用の負荷に影響します。可視化に関わる機能を確認します。
ダッシュボード機能のチェックポイント
ダッシュボードは、検知状況やアラート件数、対応状況などを一覧で確認できる画面です。表示項目を自社の運用にあわせてカスタマイズできるか、重要度に応じた絞り込みができるかを確認しておくと、日々の運用がしやすくなります。
ダッシュボードの表示内容は製品によって差があり、初期設定のままでは自社に必要な情報が見づらい場合もあります。導入前にデモ画面を確認し、自社が重視する項目が把握しやすいかを確かめておくとよいでしょう。表示速度についても、端末数が増えた際に画面の読み込みが遅くならないかを事前に確認しておくと安心です。
拠点・部署別の状況把握で押さえたい点
複数の拠点や部署がある企業では、全体の状況だけでなく拠点別・部署別に絞り込んで確認できる機能も重要です。管理者ごとに閲覧できる範囲を制限できるか、部署をまたいだ比較表示ができるかを確認しておくと、責任範囲にあわせた運用がしやすくなります。
また、拠点ごとの担当者が現場で確認する際の操作性も考慮したい点です。管理者向けの詳細画面とは別に、現場担当者向けの簡易画面が用意されているかも、運用のしやすさを左右する確認事項になります。拠点数が多い企業では、権限設定の変更履歴が残る仕組みかどうかも確認しておくと、後から責任範囲を整理しやすくなります。
検知・隔離・可視化の機能で比較したいEDR製品
検知後の自動隔離や調査のしやすさ、全社状況の可視化など、確認しておきたい機能の範囲は製品によって異なります。ここでは、機能面での比較検討の参考になる製品を紹介します。
FortiEDR
- 脅威の検出・無効化から修復までの対応をリアルタイムで自動化
- サポートが終了したレガシーOSにも対応可能
- 過剰なアラートを抑制し、セキュリティオペレーションを最適化
フォーティネットジャパン合同会社が提供する「FortiEDR」は、端末の不審な挙動を検知した際に自動でネットワークから隔離する機能を備えたエンドポイントセキュリティ製品です。攻撃を受ける前の状態にファイルを戻す機能も搭載しており、検知から対応までの一連の流れを一つの製品で完結させたい場合に選択肢になります。管理画面では検知内容や対応履歴を一覧で確認できます。
Aurora Managed Endpoint Defense (AMED)
- 専門家が24時間365日体制で調査・分析から対処までを完結
- チューニングによりお客様環境に合わせて製品の防御性能を最大化
- 同一ベンダだからこそのワンストップモデルによる安心と低コスト
NTTセキュリティ・ジャパン株式会社が提供する「マネージドセキュリティサービス エンドポイントセキュリティ」は、検知後の調査や対応履歴の整理までを専門チームが支援するマネージド型のサービスです。インシデント発生時の調査結果をレポートとして受け取れるため、社内に調査経験のある担当者がいない企業でも、原因や影響範囲の把握を進めやすくなります。
SophosInterceptXAdvancedwithEDR （ソフォス株式会社）
- 未知マルウェアの検知・ブロック機能を搭載
- 暗号化ファイルを元に戻すロールバック機能
- EDRにより端末上の疑わしい挙動を可視化・調査
VMwareCarbonBlackCloud （ヴイエムウェア株式会社）
- NGAVとEDRを統合、単一エージェントとコンソールで提供
- AIで未知の脅威を検知・防御
- クラウドに長期間ログ保存し、過去のインシデントを詳細調査
CortexXDR （ＪＢサービス株式会社）
- MITRE ATT&CK評価で100%検出率。設定変更・遅延なし。
- AIと自動化でSOC効率化、アラート98%削減
- 統合型XDRエージェントでマルチクラウド組織を保護
まとめ
EDRの機能は、検知の仕組みだけでなく、隔離や調査、可視化まで幅広い範囲にわたります。非公開の指標で比較するのではなく、確認可能な項目をもとに、自社の運用体制にあう機能を持つ製品を見極めることが大切です。資料請求を活用し、各機能の詳細を比較検討してみてください。
