EDRの機能でエラーが起こる場合の基本的な考え方
EDRの機能に関するエラーは、製品側の不具合だけに原因があるとは限りません。まず、エラーが起こる場合の基本的な考え方を整理します。
エラーが起こる仕組みと原因の複数性
EDRの各機能は、端末の挙動を継続的に監視し、あらかじめ設定された基準にもとづいて判定を行っています。判定基準と実際の利用環境が想定通りに一致しない場合、正常な動作でも不具合のように見える挙動が起こることがあります。原因は製品自体のプログラム上の不具合のほか、設定内容の不備、利用環境特有のソフトウェアとの組み合わせなど、複数の要因が考えられます。
そのため、エラーらしき挙動が発生した場合は、製品側だけに原因があると決めつけず、自社の設定内容や利用環境もあわせて確認することが望ましいでしょう。
エラー発生時に確認したい基本の対応
エラーが疑われる場合は、まず発生した状況を記録し、いつ・どの端末で・どのような操作の直後に起きたかを整理しておくと、原因の特定がしやすくなります。管理画面上に操作履歴やログが残る仕組みであれば、後から状況を振り返る際の手がかりになります。
また、同様の事象が他社でも報告されているかを確認するために、提供会社のサポート窓口や公開情報を確認することも有効です。問い合わせの際は、発生状況をできるだけ具体的に伝えることで、対応がスムーズに進みやすくなります。社内での一次対応の手順をあらかじめ整理しておくと、担当者が変わった場合にも同じ流れで対応しやすくなります。
振る舞い検知機能で起こりうるエラー
振る舞い検知は未知の脅威を検知するために有効な仕組みですが、判定の基準によっては正常な操作を誤って検知する場合があります。起こりうる事象と確認事項を整理します。
正常な業務プロセスを誤検知して止まるケース
振る舞い検知は、プロセスの動作パターンをもとに不審な挙動を判定します。業務で使用する特有のソフトウェアが、判定基準から見て不審な動作に近いパターンを示すと、正常な処理であっても検知され、処理が停止する場合があります。原因は判定基準の設定内容や、業務システム側の処理方式など複数の要因が関係することがあります。
このような事象が繰り返し起こる場合は、対象のプロセスを個別に確認し、除外設定を検討する方法があります。ただし、除外設定を広げすぎると監視の網が緩くなるおそれもあるため、必要最小限の範囲にとどめ、定期的に見直す運用が望ましいでしょう。
誤検知を抑えるための確認事項
誤検知を抑えるためには、導入前に自社の業務システムとあわせた動作検証ができるかを確認しておくことが有効です。検証は本番環境に影響しない範囲で実施できるか、ベンダーが許可する検証方法があるかをあわせて確認しておくとよいでしょう。
また、誤検知が発生した際に、判定の根拠となった情報を確認できる仕組みがあるかも比較材料になります。根拠を確認できないまま設定変更を繰り返すと、かえって精度が下がる場合があるため、確認手順を事前に整理しておくことが望ましいでしょう。除外設定を追加する際は変更理由を記録し、後から見直せるようにしておくと安心です。
自動隔離機能で起こりうるエラー
自動隔離は被害の拡大を抑える手段として有効な場合がありますが、誤作動によって正常な端末が隔離されるケースも報告されています。起こりうる事象と対応手順を整理します。
正常な端末まで隔離されてしまうケース
自動隔離機能は、不審な挙動を検知した端末を自動的にネットワークから切り離す仕組みです。判定基準が想定より広く設定されていたり、業務システムの正常な通信が不審な通信パターンに近かったりすると、正常な端末が誤って隔離される場合があります。原因は判定設定の範囲や、ネットワーク構成との組み合わせなど複数の要因が考えられます。
誤って隔離された場合、業務に支障が出る前に迅速に解除できるかどうかが重要です。隔離の条件を管理者が調整できるか、隔離後の解除作業に専門知識が必要かどうかを、導入前に確認しておくと安心です。営業時間外に隔離が発生した場合、解除までにどの程度の時間がかかるかも、業務への影響を見積もるうえで確認しておきたい項目です。
誤作動時の対応手順を整理する
誤作動が疑われる場合の対応手順を事前に整理しておくと、実際に発生した際の混乱を抑えやすくなります。誰が解除の判断を行うか、解除後にどのような確認を行うかを、あらかじめ社内のルールとして明文化しておくことが望ましいでしょう。
また、隔離が実行された際に管理者へ通知が届く仕組みがあるか、通知の手段が業務時間外にも機能するかもあわせて確認しておくと、対応の遅れを防ぎやすくなります。定期的に隔離の履歴を振り返り、判定基準の調整が必要かを確認する運用も有効です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
フォレンジック調査機能で起こりうるエラー
インシデント発生後の調査に活用するフォレンジック機能でも、ログの反映が遅れるといった事象が起こる場合があります。原因と確認事項を整理します。
ログの反映が遅れるケース
フォレンジック調査機能は、端末の操作履歴や通信記録を収集し、管理画面上に反映する仕組みを持っています。端末数が多い環境や、ネットワークの通信状況によっては、ログの反映にある程度の時間がかかる場合があります。原因は端末側の処理負荷やネットワーク環境、管理サーバー側の処理状況など複数の要因が関係することがあります。
調査を急ぐ場面でログの反映が遅れると、状況の把握に時間がかかるおそれがあります。反映までの目安時間を事前に確認しておくとともに、緊急時に優先的にログを取得する方法があるかも確認しておくと安心です。複数の端末で同時に調査が必要になった場合、反映速度がどの程度変化するかもあわせて確認しておくとよいでしょう。
調査への影響を抑える確認事項
調査への影響を抑えるためには、ログの保存期間や反映の頻度が自社の想定する調査範囲に対応しているかを確認しておくことが有効です。反映が遅れた場合に、その旨が管理画面上で分かるようになっているかも確認事項になります。
また、調査が複雑な事案では、自社の担当者だけで対応が難しい場合もあります。外部の調査支援を受けられるプランがあるか、緊急時にどの程度の時間で支援を受けられるかも、あわせて確認しておくとよいでしょう。調査支援の費用体系が従量制か定額制かによっても運用コストが変わるため、契約内容を事前に確認しておくと安心です。
ダッシュボード表示に関わるエラー
全社の状況を確認するダッシュボードでも、表示にバグが起きる場合があります。起こりうる事象と対応方法を整理します。
表示にバグが起きるケース
ダッシュボードは、検知状況やアラート件数を集計して表示する画面です。データ量が多い場合や、ブラウザの種類・バージョンによっては、表示が崩れる、数値が正しく反映されないといった事象が起こる場合があります。原因はシステム側の処理の問題だけでなく、利用者側のブラウザ環境や通信状況が関係することもあります。
表示に違和感がある場合は、まずブラウザの再読み込みや別のブラウザでの表示を試し、事象が特定の環境に限定されるかを確認すると、原因の切り分けがしやすくなります。
表示エラー発生時の対応
表示エラーが解消しない場合は、発生した状況をスクリーンショットとあわせて記録し、提供会社のサポート窓口へ問い合わせることが有効です。表示上の不具合であっても、実際の検知や隔離の動作に影響していないかをあわせて確認しておくと安心です。
また、表示エラーが繰り返し発生する場合は、利用しているブラウザや端末の推奨環境を提供会社に確認し、自社の利用環境が対応範囲に含まれているかを確認しておくとよいでしょう。定期的なブラウザの更新も、表示関連の不具合を抑える一助になります。社内で複数人が同じダッシュボードを利用する場合は、他の担当者でも同じ事象が起きているかを確認すると、原因の切り分けがしやすくなります。
サポート体制や設定調整のしやすさで比較したいEDR製品
誤検知や隔離の誤作動が起きた際に、原因の切り分けや設定の見直しをどこまで支援してもらえるかは、製品選びの重要な確認事項です。ここでは、サポート体制の観点で比較検討の参考になる製品を紹介します。
PSC EDRマネージドサービス
- EDRアラートを24時間365日体制で監視・分析
- アラート検知後、15分以内に一次報告を実施
- 運用状況を月次で可視化、セキュリティ改善を提案
株式会社ピーエスシーが提供する「PSC EDRマネージドサービス」は、EDRの運用監視から問い合わせ対応までを専門スタッフが支援するマネージドサービスです。誤検知や隔離の誤作動が疑われる事象が発生した際に、状況を確認しながら原因の切り分けや設定調整を相談できるため、社内だけで対応しきれない場合の助けになります。
FortiEDR
- 脅威の検出・無効化から修復までの対応をリアルタイムで自動化
- サポートが終了したレガシーOSにも対応可能
- 過剰なアラートを抑制し、セキュリティオペレーションを最適化
フォーティネットジャパン合同会社が提供する「FortiEDR」は、隔離の条件を管理者が調整できるエンドポイントセキュリティ製品です。正常な端末が誤って隔離された場合にも、条件の見直しや解除を管理画面上で行える設計になっており、誤作動が起きた際の対応スピードを重視したい企業の選択肢になります。
セキュアエンドポイントサービス（Va）
- 高い精度のスキャンにより、アプリの脆弱性把握や対処が可能
- オンプレやリモート環境など、パソコンの動作状況をすべて把握
- 重大なインシデント発生時は対象パソコンを自動で隔離し能動通知
株式会社 USEN ICT Solutionsが提供する「セキュアエンドポイントサービス（Va）」は、エンドポイントの監視・運用を支援するマネージド型のセキュリティサービスです。表示や動作に違和感がある場合の問い合わせ対応や、設定内容の確認を相談できる窓口が用意されており、専任の情報システム担当者がいない企業でも運用を続けやすくなっています。
VMwareCarbonBlackCloud （ヴイエムウェア株式会社）
- NGAVとEDRを統合、単一エージェントとコンソールで提供
- AIで未知の脅威を検知・防御
- クラウドに長期間ログ保存し、過去のインシデントを詳細調査
SophosInterceptXAdvancedwithEDR （ソフォス株式会社）
- 未知マルウェアの検知・ブロック機能を搭載
- 暗号化ファイルを元に戻すロールバック機能
- EDRにより端末上の疑わしい挙動を可視化・調査
まとめ
EDRの機能に関するエラーは、振る舞い検知の誤検知、自動隔離の誤作動、フォレンジック調査のログ遅延、ダッシュボードの表示不具合など、複数の要因によって起こる場合があります。発生時の記録と原因の切り分けを行いながら、提供会社のサポート体制もあわせて確認しておくことが大切です。資料請求を活用し、サポート内容を比較してみてください。
