今までの「エンドポイントセキュリティ」が不十分な理由と、「EDR」が必要な理由

サイバー攻撃はますます巧妙化しており、従来型エンドポイントセキュリティ製品での保護が難しくなりつつある。最新のエンドポイントセキュリティ製品はどのように進化しているのか。

公開 2019年08月16日 05時01分

著者

Brien Posey

[TechTarget]

印刷する

　企業は今日、ゼロデイ攻撃（パッチ提供前の脆弱性を突く攻撃）やAPT攻撃（持続的な標的型攻撃）などの脅威に悩まされている。攻撃者は脆弱（ぜいじゃく）性を悪用してシステム内に長期間潜伏し、特定の目的を達成する機会をうかがっている。従来型エンドポイントセキュリティ製品では、このような最新の脅威に対処しきれない可能性がある。セキュリティ担当者は、脅威の検出と対処のためのエンドポイントセキュリティ製品を採用し、エンドポイントの保護強化を検討する必要がある。

併せて読みたいお薦め記事

さまざまなエンドポイントセキュリティ対策

EDR製品について知る

従来型エンドポイントセキュリティ製品の欠点

　従来型エンドポイントセキュリティ製品には、3つの欠点がある。

1．ばらばらのセキュリティ対策

　1つ目の欠点は、セキュリティ対策をばらばらに実施する組織が少なくない点だ。組織では、マルウェア対策と侵入検知システム（IDS）それぞれに別のセキュリティ製品を使用する場合がある。このアプローチの問題点は、セキュリティ対策がサイロ化し、脅威がそのサイロの隙間に入り込む可能性があることだ。

2．エンドユーザーへの依存

　2つ目の欠点は、エンドユーザーに依存している点だ。例えばエンドポイントセキュリティ製品がマルウェアの侵入を検知した場合、エンドユーザーに対処を促すポップアップメッセージを表示したとする。このときエンドユーザーは、メッセージを無視したり間違った対処をしたりしてしまう可能性がある。

3．不正確さ

　3つ目の欠点は不正確さだ。初期のエンドポイントセキュリティ製品、特にマルウェア対策製品は、マルウェアのシグネチャに依存するものが主流だった。この方式の問題点は既知のシグネチャと一致するマルウェアしか検出できないことだ。シグネチャベースの検出では、製品が認識できないマルウェアに対しては全く効果がない。これに代わって、最新のマルウェア対策製品は、シグネチャによるパターンマッチングを用いない「ヒューリスティック」という検出方法を使用して、シグネチャベースの検出エンジンでは検出できないマルウェアも検出できるようになっている。ただしヒューリスティックベースの検出エンジンは、脅威ではないのに脅威だと認識して検出してしまう「過検知」と、脅威なのに検出できない「検知漏れ」を起こすこともある。

「EDR」製品の有用性

　「EDR」（Endpoint Detection and Response）製品は、エンドポイントを監視し、検出したイベントに対処する。EDR製品と他のエンドポイントセキュリティ製品の違いは、マルウェアなど特定の脅威だけでなく、さまざまなセキュリティの脅威を監視し、それを処理できるように設計されていることだ。ただし、全てのEDR製品が同じような仕組みを持つわけではなく、対象範囲と機能の点でそれぞれ大きく異なる。

　エンドポイントにエージェントをインストールすることで機能するのが、一般的なEDR製品の構成だ。エージェントは、エンドポイントの状態を継続的に監視し、セキュリティインシデントを検出し、サーバに送信する。そのため、組織はエンドポイントのエージェントを保護することに注力する必要がある。攻撃者がDoS（サービス妨害）攻撃によってエージェントの性能を低下させたり無力化したりする場合、事実上EDR製品による防御を回避できてしまう。

　組織がEDR製品を選定する際には、脅威を正確に検出するためにセキュリティ製品ベンダーが採用している方法を重視するとよい。新しいEDR製品の中には、過検知や検知漏れを大幅に減らすための手段として、機械学習をはじめとする人工知能（AI）技術を使用しているものがある。過検知や検知漏れはアラートの信頼性を下げる可能性があるだけでなく、脅威の見落しにつながる可能性もある。AI技術の利用による過検知／検知漏れ対策は特に重要だ。

印刷する