XDRとは検知範囲を横断してつなぐ考え方
XDRは製品カテゴリーの名前として語られがちですが、その中身は「別々に見ていた情報をつなげて判断する」という設計の思想です。まずは何がどう拡張されたのか、そして個々のアラートを一件ずつ追う運用と比べて何が変わるのかを押さえておきましょう。
XDRの正式名称と拡張された検知範囲
XDRはExtended Detection and Responseの略で、日本語では「拡張された検出と対応」と訳されます。先頭のXはExtended（拡張）を表し、これまで端末に閉じていた検知と対応の範囲を、ネットワーク通信やメール、クラウドサービス、ID管理といった領域へ広げることを指します。
ただし、監視する対象を増やすこと自体が目的ではありません。端末で起きた不審な動きと、ほぼ同じ時刻に発生した外部への通信、その直前に届いていた不審なメールを一本の線につないで初めて、何が起点で何が起きたのかが見えてきます。対象を広げたうえで、集めた情報を結び付けて判断するところまでを含めてXDRと呼びます。
単発のアラートを攻撃の流れとして捉える
従来は、端末側の製品、メール側の製品、ネットワーク側の製品がそれぞれ別々に警告を出していました。担当者は画面を渡り歩きながら、どの警告とどの警告が同じ出来事なのかを頭のなかで組み立てる必要があり、経験の差がそのまま判断の差になっていたのです。
XDRは、この組み立てを仕組み側で行います。同じ端末、同じ利用者、同じ通信先といった手がかりで警告同士を結び付け、一連の攻撃として一件にまとめて提示します。結果として確認すべき件数が減り、侵入の入り口から広がった範囲までを時系列で追いやすくなります。
XDRが求められるようになった背景
背景にあるのは、守る場所が社内に収まらなくなったことです。テレワークや社外からの接続が一般的になり、業務データもクラウドサービス上へ移りました。社内と社外の境目で止める考え方だけでは、正規の認証情報を使って入り込む攻撃を防ぎきれません。
あわせて、侵入された後の説明責任も重くなっています。個人データの漏えいなどが起き、一定の要件に当てはまる場合には、個人情報保護委員会への報告と本人への通知が個人情報保護法で義務付けられています。どこから入られ、どの情報にどこまで触れられたのかを示せる記録が、実務上も必要とされているのです。
EDR・NDR・MDRとXDRはどこが違うのか
XDRを検討し始めると、EDRやNDR、MDRといった似た略語が次々と出てきます。これらは互いに置き換わるものではなく、見ている場所や提供のされ方が異なります。違いを整理しておくと、自社に足りていない部分が見えてきます。
EDRとの違いは守備範囲と相関の有無
EDRはEndpoint Detection and Responseの略で、パソコンやサーバーといった端末の中で起きた操作を記録し、不審な挙動を検知して隔離などの対応を行う仕組みです。端末の内部を細かく追える一方、その端末の外で何が起きていたかは見えません。
XDRは、このEDRが集める端末の記録を土台にしながら、ネットワークやメール、クラウドの記録を加えて突き合わせます。違いは守備範囲の広さと、複数の記録を結び付ける相関の有無にあります。XDRはEDRの機能を含む形で提供されることが多く、EDRを置き換えるものというより、その外側へ広げたものと捉えると分かりやすいでしょう。
NDRやメール対策が埋める端末以外の死角
NDRはNetwork Detection and Responseの略で、社内外をまたぐ通信の流れを観測し、見慣れない宛先への接続や不自然な量の送信といった兆候を捉えます。端末に監視用のソフトを入れられない機器や、持ち込み端末の動きを把握するうえで役立ちます。
メールやクラウドサービスの記録も同じ役割を担います。侵入の経路はさまざまで、警察庁の調査ではVPN機器やリモートデスクトップを悪用した侵入が大半を占める一方、メールの添付ファイルやリンクを起点とする攻撃も続いています。どこが入り口となり、どの端末で実行され、その後クラウド上で何が行われたのかがそろって初めて、被害の範囲を正確に見積もれます。
MDRは技術区分ではなく運用を任せる形態
MDRはManaged Detection and Responseの略で、検知と対応の運用を外部の専門事業者に任せるサービスの形態を指します。EDRやXDRが「何を使って検知するか」という技術の区分であるのに対し、MDRは「誰が監視し、誰が判断するか」という体制の区分です。
そのため、XDRとMDRは二者択一ではありません。XDRを導入したうえで、夜間や休日の監視と初動の判断をMDRに任せるという組み合わせも取られます。自社に常時監視できる人員がいるかどうかで、必要となる範囲が変わってきます。
複数レイヤーの情報を突き合わせる仕組み
XDRの中核は、形式のばらばらな記録を同じ土俵に乗せ、関連するものを結び付ける処理にあります。ここを理解しておくと、製品の説明を読んだときに、どこまでが自動で、どこからが人の判断なのかを見分けやすくなります。
各レイヤーのテレメトリを共通の形に整える
端末、ネットワーク、メール、クラウドから集まる記録は、テレメトリと呼ばれます。もとの形式は領域ごとにばらばらで、時刻の書き方も、利用者の表し方も異なります。そのままでは比べられないため、XDRはまず項目名や時刻、識別子の表記をそろえる正規化という処理を行います。
そのうえで、端末名や利用者のアカウント、通信先のアドレス、ファイルの特徴値といった共通の手がかりを軸に、記録同士をひも付けていきます。この下ごしらえの精度が、後段の分析の質をほぼ決めます。連携できる領域の数だけでなく、どの項目まで取り込めるかを確認しておきたいところです。
相関分析で一つのインシデントにまとめる
ひも付けが済んだ記録に対して、XDRは相関分析を行います。攻撃手法を体系化した知識ベースであるMITRE ATT&CKなどの観点も用いながら、単体では見過ごされる小さな動きの連なりを、一連の攻撃として一件にまとめて示します。
まとまった一件に対しては、端末の隔離や通信の遮断、アカウントの停止といった対応を、複数の領域にまたがって実行できます。どこまで自動で行い、どこから人が承認するのかは設定次第です。自動対応の範囲が広いほど封じ込めは速くなりますが、誤検知で業務を止める危険も増えるため、慎重に決めましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ネイティブXDRとオープンXDRの違い
XDRの実現方式は、大きく二つに分かれます。一社の製品群でそろえるネイティブXDRと、他社製品の情報も取り込むオープンXDRです。どちらが優れているというより、すでに何を使っているかで向き不向きが変わります。
単一ベンダーで固めるネイティブXDR
ネイティブXDRは、同じベンダーが提供する端末、ネットワーク、メール、クラウド向けの製品を組み合わせて実現する方式です。自社製品同士を前提に設計されているため、記録の形式がそろっており、連携の設定に手間がかかりにくいという特徴があります。パロアルトネットワークスのCortex XDRのように、ベンダー独自の製品名で提供されるものが代表例といえます。
一方で、既存の他社製品を入れ替える前提になりやすく、契約や運用の依存度も高まります。連携の深さと引き換えに、将来の選択肢が狭くなる点は意識しておきたいところです。
既存製品を活かすオープンXDR
オープンXDRは、すでに導入している他社の製品から記録を取り込み、分析と対応の部分を担う方式です。呼び方はベンダーごとに異なるため、名称ではなく取り込める範囲で見比べるのが確実です。これまでの投資を無駄にせず、足りない領域だけを足していけるため、製品が複数社に分かれている環境と相性がよいといえます。
ただし、連携できる製品の範囲はあらかじめ決まっています。検討の際は、自社で使っている製品が対応一覧に入っているか、取り込める項目はどこまでかを必ず確認してください。対応していない製品は個別の作り込みが必要となり、その分の工数と維持の負担が発生します。
EDRからXDRへ広げる前に整理すべき前提
XDRは、EDRの運用が成り立っていることを前提に力を発揮します。土台が整わないまま範囲だけを広げると、確認しきれないアラートが増えるだけという結果になりかねません。広げる判断の前に、次の点を確かめておきましょう。
EDRの運用が回っているかを先に確認する
まず見るべきは、いま出ている端末側のアラートを誰が見て、どのくらいの時間で判断できているかです。滞留している状態で対象領域を増やせば、件数は数倍に膨らみます。XDRは相関によって件数を絞り込みますが、絞り込んだ後の判断まで肩代わりするわけではありません。
あわせて、検知した後にどう動くかの手順が決まっているかも確認します。端末を隔離してよい条件、業務部門への連絡経路、復旧の判断者といった取り決めが曖昧なままでは、情報が増えても対応は速くなりません。運用の型を先に作ることが近道です。
費用とデータ保持期間を事前に見積もる
XDRの費用は、端末の台数に加えて、取り込む記録の量や保持する期間によって変わる場合があります。安価に見えても、保持期間が短ければ、数か月前に始まっていた侵入をさかのぼって調べられません。調査に必要な期間を業務側の要請から逆算し、見積もりの前提として明示しておきましょう。
ライセンスの数え方も製品ごとに異なります。領域ごとに別契約となる場合や、クラウド連携が上位のプランに限られる場合があります。必要な領域を洗い出したうえで、総額と更新時の条件まで含めて比較すると、導入後の想定外を防げます。
検知範囲の拡張を支えるEDR・XDR製品
端末の記録を起点に、複数の領域から集めた情報を突き合わせる相関分析や、検知後の監視運用まで担える製品を取り上げます。自社に常時監視の体制があるかどうかを基準に見比べてみてください。
ESET PROTECT MDR
- 業界最速のMDRレスポンス ※ESET社調べ
- エンドポイントのセキュリティ対策をひとまとめで任せられる
- 24×365でキヤノンMJグループが日本語対応！安心して任せられる
キヤノンマーケティングジャパン株式会社が提供する「ESET PROTECT MDR」は、EDRとXDRの機能に専門家による監視運用を組み合わせたマネージドサービスです。社内のパソコンやサーバーを24時間365日体制で監視し、不審な挙動を検知した際には専門のエンジニアが調査と封じ込めの対応にあたります。クラウド上の管理コンソールから端末の状態を一元的に確認でき、ランサムウェアやマルウェア、フィッシングへの対策も含まれます。問い合わせ対応は日本語で受けられるため、常時監視の人員を自社で抱えにくい場合の選択肢となります。
PSC EDRマネージドサービス
- EDRアラートを24時間365日体制で監視・分析
- アラート検知後、15分以内に一次報告を実施
- 運用状況を月次で可視化、セキュリティ改善を提案
株式会社ピーエスシーが提供する「PSC EDRマネージドサービス」は、EDRの監視と運用を代行するマネージドサービスです。24時間365日体制でセキュリティイベントを常時監視し、脅威を検知した場合は運用仕様にもとづいて15分以内に一次報告を行います。月次では攻撃の傾向をまとめたレポートと、セキュリティ改善に向けた提言を受け取れます。監視対象はパソコンに加えてスマートフォンにも対応し、Entry・Standard・Enterpriseの3段階のメニューが用意されています。検知後の判断を担う人員の確保が難しい場合に検討しやすい形態です。
CortexXDR （ＪＢサービス株式会社）
- MITRE ATT&CK評価で100%検出率。設定変更・遅延なし。
- AIと自動化でSOC効率化、アラート98%削減
- 統合型XDRエージェントでマルチクラウド組織を保護
SecureworksTaegisXDR （セキュアワークス株式会社）
- ATT&CK 98%以上カバーでリスク低減
- AI分析と脅威インテリジェンスで高度な脅威を検知。
- 米国・英国政府認定のインシデント対応プロバイダー
まとめ
XDRは、端末に閉じていた検知と対応を複数の領域へ広げ、集めた記録を突き合わせて攻撃の流れを一件として示す考え方です。EDRを置き換えるものではなく、その外側へ広げたものと捉えると位置づけが分かります。方式には一社でそろえるネイティブ型と既存製品を活かすオープン型があり、いま使っている製品と運用体制によって適した形が変わります。まずはEDRの運用状況と対応手順を整理し、必要な保持期間と費用の前提を固めたうえで比較検討を進めてください。
