EDR製品の選び方

　前回「次世代エンドポイントセキュリティの大本命？　CSIRTを救う『EDR』とは何か」で述べた通り、EDR製品はインシデントレスポンスで求められる「検知」「調査」「対処」の各フェーズで有益な機能を提供する。選定に当たっては、それら各フェーズにおける機能を中心に評価することになる。

検知

　EDR製品における検知は、マルウェア感染したエンドポイントの検知を意味する。検知に利用する脅威情報データベースであるセキュリティインテリジェンスは、EDRベンダー自体が持っている場合と、他のベンダーから取り込む場合とがある。

　取り込み可能なセキュリティインテリジェンスは、EDR製品によって異なる。セキュリティインテリジェンスの取り込み手段は、セキュリティ侵害の痕跡情報である「IOC」（Indicator of Compromise）の主要フォーマット（OpenIOCやSTIXなど）によるもの、マルウェア検査サービス「VirusTotal」が出力するファイルのハッシュ値によるものなどさまざまだからだ。

　現在はセキュリティベンダーを中心に、自社が保有するセキュリティインテリジェンスを公開する動きがある。だがEDRベンダーの場合、自社製品で扱うセキュリティインテリジェンスを開示していない場合が多く、セキュリティインテリジェンスの質や量のよしあしを判断するのは難しい。少なくとも、ベンダーが「脅威だ」と判断する根拠をある程度開示していれば、特に検知後の調査フェーズで役立つ。

調査

　EDR製品の中で、最も機能的な差が生じやすい部分が調査だ。より詳しくいえば、どのような情報をどの程度得ているかに差がある。例えばプロセス情報1つを取っても、そのプロセスのハッシュ値を取得できるだけなのか、そのプロセスの親プロセス（生成元プロセス）が何かを含めて特定できるのか、そのプロセスがハンドルしているファイルまで特定できるのかなどは、EDR製品によって異なる。

　特定のエンドポイント1台のみを詳しく調査したいのか、あるいは全エンドポイントを幅広く調査したいのかによっても選び方は変わってくる。特定の1台のみを調査する場合は、エンドポイントに対してのインタラクティブな操作が求められる。これはいわゆるリモートログインによる端末情報の収集のことで、端末の状況を正確かつ素早く把握するのに役立つ。一方で全エンドポイントの調査においては、網羅的な調査の実現が求められることになる。

　調査できる情報量が多いだけで「優れたEDR製品だ」といえるかというと、必ずしもそうではない。だが少なくとも、どこまでの情報を知りたいのかをイメージしておかないと、「取得できると考えていたはずの情報が取得できなかった」ということになりかねないので、注意が必要だ。

対処

　大抵のEDR製品は、特定プロセスの停止やエンドポイントの隔離といった対処に役立つ機能を有する。ただしレジストリの値を感染前の状態に戻したり、マルウェアのファイルを削除したりする機能を標準で用意しているかどうかは、EDR製品によって異なる。マルウェアファイルのハッシュ値やIPアドレス情報をブラックリスト化する機能、パッチを適用する機能の有無も同様だ。運用時にどのような対処をするかイメージした上で、EDR製品がどこまで満たすかを確認しておくことが重要になる。

　EDR製品は脅威の検知や調査、対処の各フェーズに応じた機能を提供する。もちろん一連の機能を全て提供している製品が存在すればよいが、各製品によって得意不得意があるのが現実だ。まずは、どのフェーズの強化に力点を置くかを明確にした上で、製品検討に入るのがよいだろう。

　以上見てきたように、次世代エンドポイントセキュリティと一口に言っても、実現したいことが何かによって選定すべき製品が異なる。各製品で望むことが実際に実現できるかどうか、イメージしている運用との間にギャップはないかどうかを事前に評価することが、次世代エンドポイントセキュリティ製品選びに失敗しないために重要となる。

　一般的な次世代エンドポイントセキュリティ製品はソフトウェアとして提供されており、ハードウェアベースのセキュリティ製品と比べて導入は容易だ。試験導入してみて自社に合わなければ選び直すことで、失敗のリスクを低減することもできる。エージェントの一括導入を効率化するにはソフトウェア配布の仕組みが役立つので、必要に応じて導入を検討したい。