PR

EDRを入れたのに、なぜ止まらないのか

暗号化される前に止める　ランサムウェア復旧を「約1日」に変える運用設計

マネージドEDRを導入していても端末の「外」で進む攻撃は止められない。SIEMを自社で持たずに24時間の検知と原因究明を手に入れ、ランサムウェア被害時の復旧を「約1日」で可能にする運用設計の核心に迫る。

　金曜日の深夜、セキュリティ担当者はスマートフォンのアラート通知でたたき起こされた。画面に表示されているのは、EDRからの「不審な挙動」の知らせだ。PCを立ち上げてログを確認するが、本物の攻撃なのか、誤検知なのか、判別がつかない――。

　こうした孤独な戦いを強いられているセキュリティ担当者は少なくない。多くの企業で、情報システム部門は2～3名の兼務体制だ。日常のヘルプデスク対応やITインフラの保守に追われ、セキュリティだけに時間を割くことは難しい。

　「マネージドEDRを導入したから、当社は大丈夫」と考えるのは危険だ。ランサムウェアをはじめとした攻撃は活発で、攻撃者によるAIの悪用によって手口は巧妙化し、スピードも上がっている。システムの暗号化や情報の流出によって、ビジネスが深刻な危機に直面する恐れがある。

　しかし、絶望する必要はない。少人数体制であっても、高額なSIEM製品を自社で購入することなく、暗号化に至る前に止めることで、復旧を「約3～4週間」の再構築ではなく「約1日」の確認作業で終わらせられる選択肢がある。具体的にはどのようなものなのか。