次世代エンドポイントセキュリティの大本命？　CSIRTを救う「EDR」とは何か（3/3 ページ）

公開 2016年09月09日 09時02分

更新 2018年07月20日 18時10分

著者

阿部淳平

尾山和宏

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

対処フェーズ

　インシデントレスポンスにおける「対処」は、インシデントの拡大を抑えて侵害前の状態に戻すまでの一連の作業を指す。従来の対処としては、侵害端末をネットワークから切り離し、OSをクリーンインストールして終わるケースがほとんどだった。だが、これだけでは原因の追究が不十分な上に、PDCA（計画、実行、検証、改善）の観点からも好ましくない。

　仮にEDR製品を導入すれば、対処においてもこれまでとは違ったアプローチを取ることができる。具体的には、EDR製品は対処フェーズにおいて「端末の隔離」と「修復」の機能を提供する。

端末の隔離

　EDR製品は端末を隔離する際、管理対象の各端末について管理サーバからのアクセスだけを許可し、それ以外の通信を制限する（図3）。これにより侵害端末の揮発性情報（電源を切ると消失してしまう情報）を保持し、簡易的なデジタルフォレンジック（デジタルデータの保全、調査、分析）を可能にする。このような丁寧な端末調査の実施に役立つ。

図3　EDR製品の有無による端末隔離時の管理可能性の違い

修復

　インシデントレスポンスの最後の仕事として、元の状態、つまり侵害前の状態に戻す作業がある。ただし修復の操作は、レジストリ値の変更や既存プログラムの修正を伴う場合があるので注意が必要だ。場合によってはクリーンインストールをするか、バックアップデータがあれば、そのデータを用いて侵害前の状態にリストアするのがよい場合もある。

　以上、ここまでEDR製品の機能について掘り下げて解説した。実は現時点では、純粋にEDR機能のみを持つ製品はそれほど多くない。言い換えると、現状のEDR製品は既存のセキュリティ製品にプラスアルファの機能を加えるものが多い。

　例えばDigital Guardianの同名製品のように、DLP（Data Loss Prevention）製品としても使用可能なEDR製品もあれば、Cisco AMPのようにアンチマルウェアの機能を有している製品、Taniumのように資産管理や脆弱性管理用の機能を持ち合わせている製品もある。

　次回の記事では、このような数あるEDR製品をどのような基準で選んでいくべきか、またEDR製品導入に当たって考慮しておくべき点について説明する。