いまさら聞けない、「EDR」と従来のマルウェア対策製品の違いとは？

IT部門は、セキュリティツールの選択を絶えず見直す必要がある。エンドポイントセキュリティを向上させる優れた選択肢になり得る「EDR」ツールについて紹介しよう。

公開 2019年04月12日 05時05分

著者

Kevin Beaver

[TechTarget]

印刷する

　ユーザーがデスクトップPCやノートPC、モバイルデバイスにマルウェアをダウンロードすると、攻撃者がそのデバイスを踏み台にして、企業のLANに侵入する恐れがある。「EDR」（Endpoint Detection and Response）製品は、こうしたマルウェア感染時の被害拡大の防止に役立つ。EDRは比較的新しい製品分野であり、その理解はそれほど進んでいない。

　EDR製品は、エンドポイントにおける脅威を検知し、インシデントに対処するためのセキュリティ製品として進化してきた。EDR製品を使うことで、IT担当者は能動的かつ迅速にエンドポイントセキュリティのインシデントに対処できるようになる。

併せて読みたいお薦め記事

エンドポイントセキュリティ強化が必要な理由

マルウェアの最新事情

EDRと他のセキュリティ製品との違い

　EDR製品には、

行動分析
マルウェア攻撃による被害拡大の阻止
アプリケーション制御
アプリケーションのホワイトリスト作成
ネットワーク監視
インシデントレスポンス

といった機能が含まれている。こうした機能を備えたセキュリティ製品は他にもあるが、EDR製品には独自の有用性がある。

　EDR製品はエンドポイントの弱点を補強できる他、迅速なインシデントへの対処に役立つ詳細なフォレンジック調査も可能にする。他のセキュリティツールと連携し、以下を実現することもできる。

エンドポイント行動およびプロセスの可視性を改善
物理資産と情報資産を管理
レスポンスと修正の強化
デバイスを分析するためのデータ収集の支援

　一部のEDR製品は、他のエンドポイントセキュリティ製品とAPI（アプリケーションプログラミングインタフェース）を介して簡単に連携できる。EDRベンダーはこうしたAPIを公開し、自社のEDR製品をデータ可視化やインシデントレポート作成などの他製品と連携可能にしている。

EDR製品が適するケース

　企業はオンプレミスのEDR製品と、ローカルのストレージやメモリのリソースに影響を与えないクラウドベースのEDRサービスから選択できる。

　Carbon BlackやCrowdStrikeなど、一部のEDRベンダーはクラウド中心のサービスに注力し、オンプレミスで実行する機能の縮小を図っている。SymantecやFireEyeのように、強力なオンプレミスEDR製品を提供しているベンダーもある。

　オンプレミスかクラウドかを問わず、IT担当者はEDR製品を選択する前に、以下の質問を自問するとよい。

エンドポイントの現在のリスクレベルを十分に理解しているか。脆弱（ぜいじゃく）性テストやペネトレーション（侵入）テスト、IT統制監査などを実施して、必要な情報を入手しているか。
セキュリティの不備に適切に対処するための基準を持っているか。セキュリティポリシーはどのように定められているか。
セキュリティの不備を解消し、リスクを最小化するために、どのような合理的な手順を踏めるか。ユーザー、エンドポイントセキュリティに関連する技術、ワークフローなどに関して、改善すべき点はあるか。

　IT担当者は、不備を解消する計画を立てた上で、施策を講じなければならない。その他のセキュリティ分野と同様に、エンドポイントの脅威を抑止する上で、IT担当者にできることはたくさんある。

印刷する