期待すべき（または回避すべき）機能

　BDSを採用する際は、最も危険な脅威を検出し、侵害された箇所をより早く特定し、攻撃をより正確に分析するものを選択すべきだと、アールム氏は提唱する。ベンダーが提供している資料と、候補として選んだ製品の試験運用の結果を基に、自組織に最適なBDSシステムを選択することが望ましい。侵害の誤検出率の少ない製品を探そう。情報セキュリティシステムはさまざまな通知を多数送信するものなので、通知の処理は製品（の設計）で苦心するポイントだ。それぞれの通知にノイズを付加することで誤検出率を抑えるよう工夫している。望ましいのは、エンドポイントの社内ネットワークへの再接続などに対応する、包括的なシステムだ。エンドポイントは、一般住宅の家庭内ネットワークや無線LANのホットスポットに接続している間にマルウェアに感染することがあるからだ。

　理想的なBDSシステムとは、（処理中の）データやトラフィックの量が最大限に達した場合でもリアルタイムの分析結果を提供するものだ。データやトラフィックの発生元はユーザー、ネットワーク、エンドポイント、アプリケーションなどだが、発生元の種類は限定されるべきではない。アウトオブバンド管理機能（注1）が備えられていると、ネットワーク内に潜伏している脅威を特定する確率が高くなる。インバンドのシステムではファイアウォールのように、ネットワークに入ってくる時点のデータを検査するからだ。アウトオブバンド管理機能を搭載したシステムを選択するのが望ましい。

注1：アウトオブバンド管理（Out-of-band Management）とはリモート管理機能の一種。コンピュータの電源が入っていなかったり、OSが起動していなかったりなど、通常の経路による応答がない場合でもIT管理者がコンピュータの管理コントローラーに接続できるようにする仕組み。

　BDSには、攻撃者が悪意のあるシステムに組み込んでいるAIの裏をかくような機能を備えていなければならない。高度なマルウェアは、BDSに検出されにくくするための巧妙な手段を講じている。そうした回避策は、例えば次のような挙動を取るように設計されている。サンドボックスや分析環境を認識した場合は休眠状態となり、サンドボックスにとどまっている間はその状態を維持する。または、サンドボックスを抜け出す、といったことだ。

　有能なBDSベンダーは、脅威に仕込まれる新手のBDS回避策に関する情報を持ち、製品を定期的に更新している。そうしてBDSの動作に関する情報や、進化を続ける新種のマルウェアを検出する手段を追加する。脅威を検出する技法の進化を継続的に追っているベンダーを探そう。脅威の分析機能を持つサンドボックスを配備するだけでは十分とは言えない。

　さらに、検出した脅威について、ユーザー自身が徹底した多面的な処理を実行できるような製品を選択しなければならない。ネットワーク侵害への対策や復旧策の選択肢が複数あり、その選択肢が自動または手動で実行できるBDSを探そう。対策や復旧策の選択肢の例としては、次のような手順がある。侵害されたコンピュータやネットワークセグメントを隔離し、その部分と関連するネットワーク接続を切断、残りのネットワーク領域に対してスキャンと分析を実行し、同様の違反の痕跡を全て特定する、といったものだ。

　BDSは、他のセキュリティツールとの統合や相互運用が容易に実行できるものでなければならない。オープンAPIは、その統合を実現するためのアプローチの1つだ。

　一方で、階層化アプローチを採用しているシステムでは、エンドポイントでの検出および対応（EDR： Endpoint detection and response）ツールもますます不可欠になっている。ただしその場合、複数のBDSを導入するかどうかを検討することになるだろう。EDRツールを選択する際は、エンドポイントとなるデバイスでソフトウェアエージェントを使用する製品を選択するのが望ましい。分析用のログファイルを取得するだけの製品よりは堅牢（けんろう）だからだ。

　「スマートEDR製品は、デバイス上で発生するあらゆる変化を監視し、分析のためにその情報を報告するものだ」とアールム氏は説明する。ソフトウェアエージェントの中には、

• ITシステムのセキュリティ機能の判断によって悪意のあるシステム変更を取り消す
• 悪意のあるプロセスを強制終了する

など、（人間が介入することなく）侵害への対策が実行できる製品もある。しかし大半の侵害検出システムでは、通知への対応を決めるのは、人の目が頼りだ。可能であれば、その両方のオプションを用意しているシステムを選択しよう。そうすれば、検出処理の一部を自動化し、それ以外のものには手動で対応する、という対策も取れる。

　攻撃や感染の全貌を解明するのではなく、特定の種類の脅威だけを検出するような違反検出システムは避けた方がいい。システムは、一般的なマルウェア、ランサムウェア攻撃、ゼロデイ攻撃だけでなく、標的型のフィッシング攻撃も検出する必要がある。「今から4～5年後、購買担当者は『自社に欲しい脅威検出システムは何種類あるのか』と考えるようになる」とアールム氏は問いかける。

結論

　主なリスクに関する分析結果と、BDSを事業継続計画（BCP）や災害復旧（DR）計画に組み込むにはどうすべきかを理解した上で、BDSを特定、検討、選択するための戦略を立てよう。ベンダーに直接問い合わせをしよう。担当者と対面して相談することが望ましい。BDSに関して、プロバイダーやシステムの候補を幾つかに絞り込み、より詳細な調査を実施しよう。試験運用を入念に実施し、評価の対象とするシステムを決定しよう。6カ月間の試験運用の結果、最終的に不適格としたシステムが存在する場合は、製品オプションを見直し、選定プロセスに戻すかどうかをあらためて検討しよう。