次世代エンドポイントセキュリティの大本命？　CSIRTを救う「EDR」とは何か（1/3 ページ）

インシデントレスポンスの重要性が高まるのに呼応し、エンドポイントセキュリティも進化を続ける。その具体像として充実し始めた「EDR」製品とはどのような製品なのか。

公開 2016年09月09日 09時02分

更新 2018年07月20日 18時10分

著者

阿部淳平

尾山和宏

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

　連載第2回「『次世代エンドポイントセキュリティ』は今までのウイルス対策と何が違うのか」では、エンドポイントセキュリティのニーズが高まっている理由として「高度なサイバー攻撃への対処」に注目。サイバー攻撃の進化やそれに対抗する技術について紹介した。今回はもう1つの理由である「インシデントレスポンスへの活用」に焦点を当てる。

　前回の記事でも述べた通り、攻撃を100％防ぐセキュリティ対策は存在しない。そのため企業には侵入されることを前提とした体制作り、つまりセキュリティインシデントに対処するインシデントレスポンスのための体制作りが求められる。

　インシデントレスポンスを担う組織を一般に「CSIRT」（Computer Security Incident Response Team）という。このCSIRTの業務をエンドポイント側でサポートするセキュリティ製品を、最近「EDR」（Endpoint Detection and Response）と呼ぶようになった。このEDR製品こそが、まさに「インシデントレスポンスへの活用」を想定した次世代エンドポイントセキュリティの具体像なのだ。

併せて読みたいお勧め記事

「エンドポイントセキュリティ」再浮上のなぜ

2020年のエンドポイントセキュリティとは

そもそも「インシデント」とは何か

　EDR製品について詳細に述べる前に、標的型攻撃の事例を通じてインシデントについて考えてみよう。

　標的型攻撃で典型的なのが、クライアントPCがメールに添付された不正プログラム（マルウェア）に感染して、乗っ取られてしまう例だ。まず脆弱（ぜいじゃく）なPCが被害を受け、最終的に重要な情報が盗み取られることになる。

初期感染

　攻撃者はまず、セキュリティリテラシーの低いエンドユーザーを狙って標的型攻撃メールを送信する。その際にアイコンを「Microsoft Office」ファイルやPDFファイルといったドキュメントファイルに偽装したり、メールタイトルや本文を取引先企業を装った内容にしたりと、添付ファイルの実行を促すように細工を施す。ターゲットとなったエンドユーザーは添付ファイルを実行してしまい、その結果、攻撃者にPCを乗っ取られてしまう。