EDRとは何ですか？

エンドポイント検出・対応（EDR）とは、ノートパソコン、スマートフォン、サーバー、IoTデバイスなどのエンドポイントデバイスを継続的に監視して侵害の兆候を検知し、そのテレメトリデータを関連付けてアラートに変換し、脅威が拡散する前にセキュリティチームが調査・封じ込めを行うためのツールを提供する、サイバーセキュリティソフトウェアの一種です。

主なポイント

• EDRはエンドポイントを継続的に監視し、不審な動作をリアルタイムで検知します。
• テレメトリデータを集約することで、チームが脅威を迅速に調査し、封じ込めることができるようにします。
• 主要なベンダーには、CrowdStrike、Microsoft Defender、SentinelOneなどが挙げられます。
• Versa EDRリスクスコアを、ポリシー策定のための統合エンティティリスクプロファイルに取り込みます。
• リスクの高いエンドポイントは、隔離、ブロック、または詳細な検査のために転送することができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ EDR およびVersa · よくある質問

EDRはなぜ重要なのでしょうか？

ファイアウォールやアンチウイルスなどの境界防御は、ネットワークの境界で既知の脅威を阻止しますが、フィッシングや認証情報の盗用、ゼロデイ攻撃などを通じてこれらを突破した攻撃者は、内部から監視する仕組みがない限り、エンドポイントに到達すると自由に活動してしまいます。EDRはこのギャップを埋めます。EDRはデバイス上でプロセスの動作、ファイルの変更、ネットワーク接続を監視し、シグネチャベースのアラートを一切トリガーしないような攻撃手法も検知します。

その重要性は、対応時間に表れています。エンドポイントレベルの可視性がなければ、異常なデータ移動や横方向のトラフィックに誰かが気付くまで、侵害が数日あるいは数週間も放置されてしまう可能性があります。EDRは、エンドポイントのテレメトリデータを相関分析して単一のリスク状況として可視化し、アナリストが即座に対応できるよう（デバイスの隔離、プロセスの強制終了、変更のロールバックなど）のツールを提供することで、その対応までの時間を短縮します。 セキュリティをクラウドに移行している組織にとって、EDRデータは他のシステムがアクションを起こすための入力情報ともなり、エンドポイントの状態をデバイス内にサイロ化させるのではなく、ネットワークやアクセスポリシーにまで拡張します。

EDRとは何ですか？

EDRプラットフォームは、保護対象の各エンドポイント上で軽量なエージェントを実行し、プロセスの動作、ファイルシステムの変更、レジストリの編集、ネットワーク接続を記録した上で、そのテレメトリデータをクラウドまたはオンプレミスの分析エンジンにストリーミングします。このエンジンは、ストリーミングされたデータに対して行動分析と脅威インテリジェンスを適用し、異常を検知してフラグを立て、そのエンドポイントにリスクスコアまたは脅威スコアを割り当てます。

EDRが悪意のある活動を検知すると、単にアラートを発するだけでなく、即座に対応します。設定に応じて、悪意のあるプロセスを自動的に強制終了したり、ファイルを隔離したり、エンドポイントをネットワークから切り離したり、攻撃者が行った変更を元に戻したりすることが可能です。また、アナリストはエンドポイントのイベント履歴を検索できるため、インシデント対応が「当て推量」から「タイムライン」に基づくものへと変わります。つまり、何が実行されたか、何に影響を与えたか、そして次にどこへアクセスしようとしたかが明確になります。

EDRの種類

EDRには、いくつかの異なる導入モデルがあります。スタンドアロン型EDRは、検出と対応のみに特化した独自のエージェントとして動作し、通常は別のウイルス対策製品の上に重ねて導入されます。EPPスイート内のEDRは、検出と対応機能を、ウイルス対策、デバイス制御、アプリケーションの許可リスト管理も扱うより広範なエンドポイント保護プラットフォームに統合したもので、これは現在、企業においてより一般的な導入形態となっています。マネージド・ディテクション・アンド・レスポンス（MDR）は、監視とトリアージをサードパーティのセキュリティ運用チームに委託するもので、そのチームがEDRのテレメトリを監視し、顧客に代わって対応を行います。エクステンデッド・ディテクション・アンド・レスポンス（XDR）は、エンドポイントを単独で扱うのではなく、エンドポイントデータをネットワーク、クラウド、およびアイデンティティのテレメトリと相関させ、単一の検出エンジンに統合することで、監視の範囲をさらに広げます。

EDR &Versa

Versa EDRに取って代わるものではなく、EDRを活用するものです。「エンドポイント検出および対応（EDR）の設定」を通じて、ConcertoはCrowdStrike、Microsoft Defender、SentinelOneと直接連携し、各ベンダーのAPIを構成可能な間隔でポーリングして、エンドポイントのリスクデータを取得します。

そのEDR信号は「統合エンティティ・リスク・プロファイル」に取り込まれ、そこで管理者が、脆弱性管理や行動分析の入力データと併せて重み付けを行い、エンドポイントごとに「信頼できる」から「高リスク」までの範囲で1つの総合リスクスコアを算出します。Versa Advanced Security Cloudがこのスコアを算出し、SASE ゲートウェイに配信します。

その後、セキュリティおよびアクセスポリシーがこのスコアに直接反映されます。「統合リスクスコアの設定」で説明されているように、高リスクまたは不審なスコアが判定された場合、デバイスのSASE ゲートウェイへの接続を拒否したり、IPSスキャンやDLPなどの追加検査をトリガーしたり、RDPやSSHといったWeb以外のプライベートアプリケーションへのアクセスを拒否したりすることが可能です。これにより、エンドポイントの状態は、EDRコンソールに孤立して表示されるアラートではなく、リアルタイムのネットワークポリシーとして機能するようになります。

よくある質問

EDRとアンチウイルスソフトの違いは何ですか？

従来のアンチウイルスソフトは、ファイルを既知のマルウェアのシグネチャと照合し、認識したものをブロックします。一方、EDRはエンドポイントの動作を継続的に監視し、シグネチャに一致しない「リビング・オフ・ザ・ランド（LoL）攻撃」などの手法を検知するとともに、検知後にアナリストが調査や対応を行うためのツールを提供します。

EDRとXDRの違いは何ですか？

EDRは、エンドポイントからのテレメトリのみを分析します。一方、XDR（Extended Detection and Response）は、そのエンドポイントデータをネットワーク、クラウド、およびアイデンティティのテレメトリと関連付け、単一の検出エンジンに統合することで、EDRが持つデバイスレベルの詳細な分析能力と引き換えに、環境全体にわたる可視性を実現します。

Versa は、どのEDRベンダーと連携していますか？

Versa Concertoは、CrowdStrike、Microsoft Defender、SentinelOneと連携しています。各ベンダーのリスクデータや総合スコアに重み付けを行い、Versa の統合エンティティ・リスク・プロファイルに反映させ、アクセス制御やインターネット保護ポリシーの策定に活用することができます。

Versa において、EDRの統合にはどのようなライセンスが必要ですか？

EDRとの統合を含むリスクスコアリングを利用するには、「Versa Secure Private and Internet Access (VSPIA)」または「Versa Secure Access Fabric (VSAF) Professional」ライセンスが必要です。また、CrowdStrikeやMicrosoft Defenderなど、接続する各EDRベンダーごとに、個別のライセンスとアカウントも別途用意する必要があります。

EDRデータは、単にアラートを発するだけでなく、ネットワークへのアクセスを遮断することもできるのでしょうか？

はい。Versaの実装では、エンドポイントのEDRに基づくリスクスコアを、セキュアなクライアントベースのアクセス制御ルールやインターネット保護ルールの照合条件として使用でき、スコアが設定された閾値を超えた場合に、ネットワークへのアクセスを自動的に拒否または制限することができます。

EDRに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

EDRについてお読みになっているなら、次にこれらもぜひチェックしてみてください。