サイバーセキュリティの世界には、頭字語が溢れています。プロトコルや標準、ツールやテクノロジーなど、市場は数え切れないほどの頭字語で溢れています。近年、テクノロジーと脅威アクターの進化に伴い、「検知と対応」を表す「D」と「R」を冠したソリューションが増えています。
この適応は、絶えず変化する脅威環境によって推進されてきました。多くの組織にとって、サイバーセキュリティ侵害はもはや「起こるか起こらないか」ではなく「いつ起こるか」の問題となっています。こうしたインシデントが完全な侵害に発展する前に検知し、迅速に対応できれば、コストのかかるダウンタイム、データの流出、評判の失墜などを防ぐことができます。
機械学習（ML）や人工知能（AI）を活用した様々な手法を用いて、幅広い脅威の検知と対応に重点を置いたソリューションは数多く存在します。しかし、それぞれの検知と対応ソリューションの適用範囲は異なる場合があります。これらの検知と対応ソリューションの違いを理解することで、組織はセキュリティとビジネス目標に適切な投資を行い、進化する脅威環境において環境のセキュリティを強化することができます。
EDR とは?
エンドポイント検出・対応（EDR）は、組織の広範なIT環境全体にわたるエンドポイントを監視し、内部または外部のソースからの異常なアクティビティや潜在的なエンドポイント脅威を特定し、修復します。デスクトップやノートパソコン、サーバー、モバイルデバイスなど、さまざまな種類のホストに常駐するEDRは、既知の悪意のあるイベントや異常なイベントを識別し、自動またはガイド付きの調査や修復手順などの後続アクションを促進することで、エンドポイントを積極的に防御するように設計されています。
EDRソリューションは、統合監視テクノロジーを活用し、脅威の検出に加え、エンドポイントの動作を可視化することもできます。EDRは、組織内のエンドポイントに導入されたエージェントソフトウェアを通じて動作し、そのシステム上で発生するアクティビティを記録します。
EDRの利点
エンドポイントはあらゆる IT 環境の基盤となるコンポーネントであるため、EDR は、アタックサーフェスを強化し、潜在的な脅威をより迅速かつ早期に検出したいと考えているセキュリティ チームにさまざまなメリットをもたらします。
EDR の利点は次のとおりです。
- 動的検知（振る舞い検知）: 既知の脅威のみを監視するツールとは異なり、EDR は動作検出エンジンを通じて、組織が未知の脅威の種類を示唆する可能性のある疑わしいアクティビティを検出するのに役立ちます。
- ラテラルムーブメント／脅威エスカレーションの防止： EDRは、セキュリティチームが脅威を早期に検知するのに役立ちます。多くの場合、脅威アクターがエンドポイントから環境内の他の部分に移動する前に検知できます。自動化されたアクションやセキュリティチームの支援により、エンドポイントの脅威は迅速に隔離され、ラテラルムーブメントをさらに防止できます。
- コンテキスト化: EDR は脅威やインシデントの背後にある詳細なコンテキストを提供できるため、セキュリティ チームは対応を調整し、インシデント発生後にプロアクティブなセキュリティ対策を適用できます。
- 修復速度: EDR は、アラートと自動修復を通じて、侵害の調査を迅速化し、潜在的なインシデントによる損害を制限するのに役立ちます。
EDRの課題
脅威アクターは、攻撃を開始・実行する手段を数多く持っていますが、その多くはエンドポイントへの直接的な侵入を伴いません。そのため、脅威検出をEDRのみ、あるいは主にEDRに頼ると、組織の防御に隙間が生じる可能性があります。
EDR の課題は次のとおりです。
- 監視能力の限界：エンドポイントは組織環境の重要な一部ですが、特に攻撃の初期段階では、脅威アクターの唯一の標的ではありません。実際、2024年にArctic Wolf® Incident Responseが調査したランサムウェア攻撃の主な根本原因は、セキュリティ保護されていないリモートデスクトッププロトコル（RDP）と侵害されたVPN認証情報でした。これらの根本原因はどちらもエンドポイントベースではなくアプリケーションベースであり、脅威アクターがEDR検出を回避して初期アクセスを獲得する方法を浮き彫りにしています。
- 限定的な可視性： EDRはセキュリティチームにエンドポイントの可視性のみを提供し、脅威検知のために独自のテレメトリを優先することがよくあります。エンドポイントの可視性が重要でないと言っているわけではありませんが、セキュリティチーム（またはセキュリティソリューション）が監視する多くの情報源の一つとして捉えるべきです。複数のテレメトリ情報源を相関させて広範な可視性を確保することで、アラートのノイズを削減し、より早期かつ正確な検知が可能になります。
- EDRはツール：他のセキュリティツールと同様に、EDRは、人員不足、専門知識不足、ツールの微調整不足、24時間365日体制での脅威対応能力の欠如など、セキュリティチームが抱える一般的な課題を解決するものではありません。EDRソリューションのセットアップ、構成、そして継続的な調整には、時間と予算がかかり、組織が容易に利用できる知識がない場合もあります。
NDRとは?
ネットワーク検知・対応（NDR）は、組織内を流れるネットワークトラフィックから観測されたデータに検知機能を集中させます。NDRベンダーは、このトラフィックを観測・分析する方法に複数のアプローチを採用している場合もありますが、一般的にNDRソリューションはネットワークセンサーをベースとしています。これは通常、物理ネットワークデバイス、仮想アプライアンス、またはその両方の組み合わせで、ネットワークと「インライン」に配置され、基本的には宛先に向かうネットワークトラフィックフローをリアルタイムで観測します。また、ミラーリング構成では、トラフィックがコピーされ、分析のためにセンサーに転送されます。
NDRは、EDRのように異常なエンドポイントプロセスや詳細なイベントに基づいて脅威を検出するのではなく、ネットワークフロー内の異常（不正または異常なプロトコル、ポート使用率、不正なパケット、異常なタイミングや転送サイズなど）に基づいて潜在的な脅威を探します。NDRの自動アクションには、アラートのトリガー、パケットのドロップ、デバイスの隔離、フォレンジック証拠の生成などが含まれることがよくあります。
NDRの利点
組織のネットワークは複雑な場合が多いため、ネットワーク内の異常な動作を検出する機能があれば、脅威への対応において大きな違いを生む可能性があります。
NDR の利点は次のとおりです。
- NDR では、すべてのエンドポイントにエンドポイント エージェントを展開または接続する必要がない：そのため、NDR は、脅威がエンドポイントの外部から発生する可能性が高い複雑な環境や、モノのインターネット (IoT) や運用技術 (OT) デバイスなど、EDR をインストールできない大量のエンドポイントを組織が運用している場合に最適なソリューションです。
- NDR は不正なデバイスに対応可能：同様に、攻撃者が不正なデバイスを組織のネットワークに接続した場合、NDR ソリューションは新しいトラフィック フローに基づいてこれを検出し、アラートをトリガーして自動応答を行うこともできます。
- ネットワークの広範な可視性：EDR はエンドポイントに限定されますが、NDR はネットワーク全体をカバーし、より高度な攻撃の前兆となる可能性のある偵察や検出活動など、インシデント発生時に攻撃者がネットワーク上で実行する可能性のあるアクションに対するより広範な可視性を獲得します。
- より早期の脅威対応：侵入はネットワーク内のどこかで発生する検出活動から始まる場合があります。NDRソリューションはこれを検出しますが、EDRは検出しません。企業ネットワーク全体の活動の広がりに基づいて傾向を分析するこの機能により、EDRでは検出できない不正行為を早期に特定する機会が得られます。
NDRの課題
EDR と同様に、NDR は組織のネットワークの範囲内でのみ動作するため、いくつかの課題が生じます。
NDR の課題は次のとおりです。
- ネットワーク境界は流動的になりがち：ハイブリッドなワークモデルでは、従来のネットワーク境界の境界が曖昧になり、明確に定義されたネットワークの外側でトラフィックが発生する場合があります。これにより、NDRの可視性と有効性が制限されます。
- NDRはエンドポイントを監視できない：攻撃の中にはエンドポイントから始まるものもありますが、NDRの可視性はネットワークに限定されているため、エンドポイントで発生するアクティビティはソリューションの監視範囲外となります。これは、アイデンティティやクラウドテレメトリでも同様です。この監視範囲の限定により、重要な攻撃の前兆が見逃される可能性があります。
- 運用の複雑さと誤検知の可能性：事業拡大に伴い、組織のネットワークの規模と複雑さが増大した場合、NDRソリューションもそれに合わせて対応する必要があります。これは、少なくともセンサーの追加に加え、通常はソフトウェアライセンスのアップグレードも伴います。結果として、ネットワークの適応に合わせてツールを維持することは困難でコストがかかる可能性があります。また、ネットワークの拡大は、誤検知やトラフィックノイズの増加、あるいはネットワークの拡張を適切に管理しないとカバレッジギャップにつながる可能性があります。
XDR とは?
拡張検出および対応 (XDR) は、脅威の検出と対応のための単一の統合プラットフォームを提供し、データとツールの統合、相関関係の特定、およびコンテキスト化を実現する、成長を続けるハイブリッド テクノロジーです。
XDRは、多くの場合EDRツールと連携して、IT資産全体のさまざまなテレメトリソースからの信号を相関させ、統合的かつ協調的な脅威検出、調査、対応を提供するツールです。XDRは、多くのサイバー攻撃がクラウドやアイデンティティソースなど、組織環境内の他の場所から発生するという課題を解決します。エンドポイントへの共通基盤であるXDRは、単一のソースを超えた検知やサイロ化された検知・対応ツールの限界を超えることが可能ですが、その主な焦点はEDRやEPPとの統合に置かれることが多いです。
オープン XDR とネイティブ XDR
XDRプラットフォームの導入と維持のメリットと課題を検討する前に、XDRプラットフォームには大きく分けてオープンXDRとネイティブXDRの2種類があることを念頭に置くことが重要です。どちらも組織の技術スタックと環境全体にわたる複数のテレメトリソースを取り込みますが、注意点があります。ツールがオープンXDRの場合、サードパーティ製ツールからのテレメトリの取り込みが可能です。ツールがネイティブ（クローズドXDRとも呼ばれます）の場合、統合とその後のテレメトリの取り込みは、XDRツールと同じベンダーの他のツールのみに制限されます。ネイティブXDRプロバイダーによっては、サードパーティ製ツールとの統合を許可している場合もありますが、その場合は追加料金がかかります。
XDRの利点
XDR は、テレメトリを統合し、より広範な可視性を提供し、誤検知を削減して、組織の脅威検出および分析機能を簡素化および高速化するように特別に設計されています。
XDR の利点は次のとおりです。
- 合理化され統合された可視性: XDR は複数のテレメトリ ソースを利用するだけでなく、データを取り込んで単一のペインで表示するため、セキュリティ チームは環境と検出を総合的に把握できます。
- 相関テレメトリ:エンドポイントを超えて範囲を拡張することで、XDR は複数のソースからのデータを相関させ、組織のネットワーク内で何が（多くの場合同時に）起こっているかをより明確に把握できる、より正確で実用的なアラートを生成します。
- 誤検知の削減:合理化された可視性と相関テレメトリという上記の 2 つの利点により、検出の信頼度が向上し、誤検知が削減されます。その結果、アラート疲労が軽減され、セキュリティ チームは環境をより深く理解し、より効率的に作業できるようになります。
- アラート対応の迅速化: 誤検知が少なくなり、調査と修復アクションを単一のインターフェースから実行できるため、XDR を利用するセキュリティ チームはアラートに迅速かつ徹底的に対応できることが多く、インシデントが本格的な侵害に拡大するのを防ぐことができます。
MDR とは?
MDRは、人的労力と専門知識を統合プラットフォームに統合した検知・対応ソリューションです。セキュリティ情報・イベント管理（SIEM）ツールと同様の詳細な検知相関分析とコンテキスト化機能を提供しながら、継続的な監視、経験豊富な脅威調査、そして堅牢なマネージドサービスアプローチによる迅速な対応を強化することを目指しています。
MDRソリューションは、最大24時間365日体制のアナリストによる監視を提供することで、組織が営業時間外でも脅威をより効果的に監視、検知、対応できるよう支援します。社内にセキュリティ担当者や専門知識を持つ人材を増員する必要もありません。この差別化要因により、MDRは検知と対応におけるマネージドサービス型のアプローチとなりますが、MDRソリューションの中には、ツールに加えてマネージドサービスも提供される、製品重視のソリューションもあります。また、導入済みのセキュリティ製品群の検知と監視を提供するサービス重視のソリューションもあります。しかし、あらゆるMDRソリューションの最大の特長は、あくまでも「人的要素」です。
MDRの利点
追加の専門知識を手元に持つことは、特に社内ですべてのセキュリティ ニーズに対応するための予算やスタッフが不足している組織にとって、さまざまなメリットをもたらします。
MDR の利点は次のとおりです。
- 幅広い可視性: MDR ソリューションは多くの場合、組織の既存のテクノロジー スタックと連携して、資産を検出してプロファイルを作成するほか、複数のテレメトリ ソースからデータやセキュリティ イベントの観察情報を収集します。
- 継続的な監視と対応: MDR ソリューションは、営業時間外や週末など社内のセキュリティ チームの人員が不足していたり対応できない場合でも、潜在的な脅威が発生したときに対応できる人的チームによる 24 時間 365 日の監視を提供します。
- ガイド付き修復: MDR 担当者は組織のセキュリティ チームと連携して迅速な脅威の調査と修復を行い、対応プロセスのスピード、専門知識、効率性を高めます。
- テクノロジーのより有効な活用:専門家チームを組み込むことで、社内のセキュリティ チームが検出および対応ツールを構成および保守する必要がなくなるだけでなく、MDR チームがそのテクノロジーを最適化して、全体的なセキュリティ体制を強化できるようになります。
MDRの課題
サイバーセキュリティの世界では、人的要素は諸刃の剣となり得ます。そのため、組織のセキュリティ対策を第三者に委託することは、メリットと同時に課題も生み出します。
MDR の課題は次のとおりです。
- カバレッジとスコープの制限： MDRを販売するベンダーは、名ばかりのサービス提供をしている可能性があります。しかし、カバレッジとスコープを実際に提供するとなると、ネットワークの特定の側面が除外されたり、優先順位が下げられたりする場合もあります。さらに、ソリューションが組織の既存の技術スタックの一部と統合できない場合があり、より広範なカバレッジを実現するために「総入れ替え」が必要となることもあります。
- 対応能力の差異：組織は、MDRプロバイダーが検知した脅威にどのように対応し、どのような対応策を講じることができるかを精査する必要があります。これはプロバイダーによって異なる場合があり、セキュリティ対策の成果に影響を与える可能性があります。例えば、どのようなアクションが自動化または事前承認されているか、また「アラート」とは具体的に何を意味するか（特に通常の業務時間外の場合）などが挙げられます。
- 人的要素が提供する専門知識との乖離： MDRは人的要素による管理を提供しますが、その範囲はベンダーによって異なります。自社の環境に精通したセキュリティ専門家はいますか？彼らとどのようにコミュニケーションを取りますか？管理の全体的な範囲はどの程度ですか？これらの質問への回答はベンダーや契約によって異なる場合があり、MDRソリューションを導入する前に検討する必要があります。
Arctic Wolf Aurora Endpoint SecurityとMDR
すべての組織にはサイバーセキュリティの脅威検知・対応ソリューションが必要ですが、すべての組織に最適なソリューションは存在しません。セキュリティ成熟度、セキュリティ目標、ビジネスニーズ、予算など、さまざまな要因に応じて最適なソリューションを選択する必要があります。
Arctic Wolfは、Arctic Wolf® Managed Detection and ResponseとAurora™ Endpoint Securityを含む、包括的なセキュリティ運用ソリューションスイートを提供しています。組織がセキュリティ対策のどの段階にあっても、Arctic Wolfは、業界をリードする専門知識と専用テクノロジーを提供することで、差し迫った脅威への対応だけでなく、セキュリティ体制を継続的に改善できるよう支援します。
Arctic Wolf Security Operationsが、組織のセキュリティ体制を強化しながら脅威を阻止する方法を詳しくご紹介します。MDRソリューションをご検討中ですか？このソリューションをより深く理解するために、当社のバイヤーズガイドをご覧ください。
