「エンドポイントセキュリティ」再浮上のなぜ【第1回】

「エンドポイントセキュリティ」は標的型攻撃とインシデントレスポンスが変える（1/2 ページ）

ネットワークセキュリティベンダーや新勢力のベンダーが、相次いでエンドポイントセキュリティ市場に参入している。なぜ今、エンドポイントセキュリティを取り巻く動きが活発化しているのか。

　サーバやクライアント端末といった社内デバイスの末端を保護する「エンドポイントセキュリティ」。最近、その動きが活発化している。

　エンドポイントセキュリティ自体は目新しいものでない。インターネット黎明（れいめい）期から、マルウェア対策ソフトウェアをはじめ、エージェントをクライアントやサーバ端末に導入するタイプのセキュリティ製品が存在した。主なベンダーは、老舗ベンダーの米Symantec、トレンドマイクロ、ロシアKaspersky Lab、米Intelのセキュリティ事業部門Intel Security（McAfee）などそうそうたる顔ぶれだ。実際、IT製品分野ごとのベンダーの位置付けを分類した米調査会社Gartner「マジック・クアドラント」の各分野でリーダーポジションに君臨するベンダーも少なくない。

　つい最近まで飽和状態だといわれていたエンドポイントセキュリティ市場。だが近年、ネットワークセキュリティの大手ベンダーが次々とこの市場に参入し始めた。一例を挙げると、米Palo Alto Networks、米Cisco Systems、米Fortinet、イスラエルCheck Point Technologies、米FireEyeなど、こちらもキープレイヤーばかり。さらに、FFRIや米Tanium、米Confer Technologies、米CrowdStrikeなど、この分野のノウハウを持ったエキスパートが集う新勢力の立ち上がりも好調である。

　再び活気づくエンドポイントセキュリティ。その理由は、近年需要が高まりつつある2つのニーズによるところが大きい。1つ目は、標的型攻撃に代表される高度なサイバー攻撃への対処。2つ目は、インシデントレスポンスへの活用だ。

ニーズ1：高度なサイバー攻撃への対策

　高度なサイバー攻撃への対処のニーズが、なぜエンドポイントセキュリティの注目度向上につながるのか。その理由を説明する前に、まずは過去のセキュリティ要件から現在に至るまでの流れを振り返ってみよう。

標的型攻撃の登場で「ゲートウェイセキュリティ」に脚光

　企業のセキュリティを担保するための投資は最近まで、主にインターネットとLANの境界を守る「ゲートウェイセキュリティ」に向けられてきた。国内で標的型攻撃が猛威を振るい始めた2011年ごろに盛んに言われていた「入口対策」「出口対策」は、まさにこのゲートウェイセキュリティを指すことがほとんどだった。

　2011年に情報処理推進機構（IPA）が刊行した「『新しいタイプの攻撃』の対策に向けた設計・運用ガイド」では、ネットワーク型マルウェア対策、侵入防御システム（IPS）、ファイアウォールでの入口対策に加え、プロキシサーバとファイアウォールを駆使した出口対策という組み合わせを推奨していた。当時はこのガイドの内容を受けて、複数の異なるセキュリティ機能を1つのハードウェアに収めた「統合脅威管理」（UTM）、UTMの性能を改良して新たにアプリケーションの可視化と制御を可能にした「次世代ファイアウォール」の導入が、セキュリティ対策の主流となった。

　一方、当時のエンドポイントセキュリティについては、ノートPCやUSBメモリ紛失による情報漏えいに加え、従業員のセキュリティモラルに起因する事件・事故を受けた対策が急務とされていた。ただし具体的な対策については、ネットワーク型マルウェア対策やIPSなどと同じく、シグネチャのパターンマッチング（シグネチャマッチング）による検知を中心とした、従来通りのエンドポイント型マルウェア対策が主流だった。

「ゼロデイ」「暗号化通信」でゲートウェイ／シグネチャベース対策が限界に

　ゲートウェイセキュリティとシグネチャマッチングによるこうした対策は、「ゼロデイ攻撃」をはじめとする未知の攻撃の普及とともに不十分だと言われ始めた。ゼロデイ攻撃とは、OSやWebブラウザ、ソフトウェアなどに含まれる脆弱（ぜいじゃく）性を悪用し、セキュリティパッチが提供される前にデバイスをマルウェア感染させる手法である。国内でも2013年前後、急激に被害件数が増加。ジャストシステムのワープロソフト「一太郎」の脆弱性を狙ったゼロデイ攻撃など、明確に国内企業をターゲットとした攻撃も増えてきた。

　ゼロデイ攻撃が厄介なのは、シグネチャマッチングによる検出が困難なことだ。これは従来のIPSやネットワーク型／エンドポイント型マルウェア対策などの検査をすり抜けてしまうことを意味する。実際、ここ数年は攻撃の6割以上が、シグネチャマッチングをすり抜ける未知の攻撃であるといわれている。主要なマルウェア対策ベンダーであるMcAfeeやSymantecでさえも、シグネチャマッチングに基づく検査には限界があると認めている。

　こうしたゼロデイ攻撃に対して、有効な対策だと考えられたのが「サンドボックス」だった。サンドボックスは、エンドユーザーが自分のクライアントPCでファイルを起動する前に、クラウドまたはセキュリティ装置の仮想環境でファイルを実行し、その振る舞いを確認することで、悪質なプログラムか否かを検知できるようにする仕組みである。

　サンドボックス専用製品でセキュリティ市場に名乗りを上げたFireEyeを筆頭に、多くのセキュリティベンダーがこぞって自社製品にサンドボックス機能を取り入れた。だが、これにも抜け道があることが知られてきた。マルウェアがサンドボックスの中で起動したことを検知すると悪意のある行動を抑制するといった「サンドボックス回避テクニック」が、攻撃者の間で知られてきたのである。

「エンドポイントセキュリティ」再浮上のなぜ

エンドポイントセキュリティを取り巻く動きが活発化している。その理由とは何か。ベンダーはどう動き、どのような製品／技術を世に出し始めているのか。徹底解説する。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「アンチウイルスが死んだ」今、職場のネットワークをどう守るべきか？

• 

  「セキュリティ予算の7割がウイルス対策とファイアウォール」は時代遅れなのか？

• 

  “3大セキュリティベンダー”はもはや「リーダー」ではない――Gartnerが辛口評価

• 

  スマートフォンやクラウドの普及がエンドポイントセキュリティを変える

• 

  レピュテーションに仮想化対応――マルウェア検出技術の今を知る

新着ホワイトペーパー PR

• 製品資料
  “攻撃者優位”なサイバーセキュリティ、全ての「穴」をふさぐ方法とは？
• 製品資料
  実際に悪用される脆弱性は4％前後　優先的に対処すべき脆弱性を把握するには？
• 製品資料
  HubSpotの機能を拡張する法人データ活用法
• 製品資料
  面倒で非生産的な「名寄せ」作業　高精度＆高効率に実施するには？
• 製品資料
  名刺管理には「その先」がある　成果のでない営業活動から脱却する秘訣