EDRソリューションにおいて重要な要素の評価

簡単な沿革

「 2015」を振り返ってみると、セキュリティ業界がのエンドポイント検出・対応（EDR）製品で溢れかえっていることは、否定しがたい事実です。どのようなカンファレンスでもスポンサーブースを回ってみたり、ベンダーのウェブサイトに掲載されているホワイトペーパーやマーケティング資料をざっと目を通してみたりすれば、「エンタープライズ規模」で「リアルタイム」に「予防、検知、対応」を行うという、同じ主張が延々と繰り返されていることに気づくでしょう。ついでに、「異常検知」、「脅威インテリジェンス」、「APT」といった定番の用語も、念のため盛り込んでおきましょう。

これほど多くの組織が、ベンダーの絞り込みや評価に苦労しているのも無理はありません。提案依頼書に対しては、曖昧な回答や誇張された回答が寄せられることがあります。段階的な侵入シナリオを盛り込んだデモや小規模な概念実証実験では、どのような製品でも効果的に見えるように仕立てることができます。他のエンタープライズ向けソリューションと同様、EDRツールも時間の経過とともに、また、現実の複雑で混沌としたネットワーク環境に完全に導入されて初めて、その真の強みと弱みが明らかになります。

Taniumでの私の役割上、真にベンダー中立的な立場を主張することは難しいかもしれませんが、コンサルタントとして10年以上にわたり、セキュリティ評価、インシデント対応の調査、および是正措置に携わってきた経験から、実務者として最も重要だと感じた基準を常に念頭に置くよう心がけています。

ここでは、あらゆるEDRソリューションの有効性に影響を与える3つの基本的な要素、すなわち、提供するデータの範囲、パフォーマンスとスケーラビリティ、そして柔軟性について焦点を当てたいと思います。

このソリューションでは、どのような範囲のデータが提供されますか？

エンドポイント製品が検索、分析、または収集できるデータの範囲と適時性は、その機能の絶対的な中核をなしています。現在では、ほぼすべてのEDR製品が「全社規模の検索」機能を提供していると謳っていますが、肝心な疑問は、「どのような情報を検索するのか」ということです。多くのソリューションでは、スケーラビリティやパフォーマンスを向上させるために、利用可能なデータの範囲において大きなトレードオフが生じています。もしGoogleが、過去 30 日間にインデックスに登録されたサイトのコンテンツのみを検索できるようにしていたとしたら、あるいは逆に、検索期間に制限を設けず、人気のあるウェブページのタイトルタグのみを対象としていたとしたら、どうでしょうか？

エンドポイントデータは、大まかに「履歴」と「現状」の2つの領域に分類できます。なぜ、その両方が重要なのでしょうか？ファイルのI/O、ネットワーク接続、プロセスの実行、ログオンイベント、レジストリの変更など、エンドポイントのテレメトリ情報を継続的に記録する製品は、インシデントの検出および対応において、ますます普及が進んでいます。以前、Tanium Traceのリリース時にブログでもご紹介しましたが、この機能により、リードの優先順位付け、アラートの生成、あるいはシステムの調査に必要な作業を迅速化し、簡素化することができます。これにより、法医学的証拠の不備によって失われてしまう可能性のある証拠を保存・充実させるとともに、短期間しか存続しない事象を特定・保持するために必要なデータ取得の頻度を低減します。

しかし、過去のデータのスライディングウィンドウのみに依存することには、特に大規模な探索を行う場合、大きな制限が生じます。このような解決策では、データの保持期間と、アラートや分析に利用できるデータの範囲の両方が制限されてしまいます。記録されていなければ、見つけることはできません。

この限定的な情報の範囲を補完するため、効果的なインシデントの検知と対応には、すべてのシステムからの最新状態のデータへのオンデマンドでのアクセスも必要となります。つまり、現在発生している不安定なアーティファクトを検索したり収集したりする能力を持つということです。調査の過程で私が遭遇した例は数え切れないほどありますが、侵害されたローカル管理者アカウントは現在、どこにログインしているのでしょうか？現在、どのシステムに悪意のあるDLLがメモリに読み込まれていますか？

現状データには、最近変更されていない、あるいは歴史的保存の対象外であったものの、インシデントの範囲を特定する上で極めて重要となる可能性のある潜在的なアーティファクトも含まれます。環境全体を横断して、名前やハッシュ値に基づいて「保存状態」にあるあらゆる種類のファイルを検索する必要性、1年間変更されていないレジストリ値、あるいはWMIリポジトリ内のデータのような、より特殊なフォレンジック証拠を検索する必要性を考えてみてください。システムがすでに侵害されてしまった後に、このソリューションを導入する必要がある場合はどうすればよいでしょうか？限られた範囲のデータだけで作業を行うと、必然的に見落としや調査の行き詰まりが生じます。

このソリューションのパフォーマンスとスケーラビリティはどのようになっていますか？

ほぼすべてのEDRベンダーが、「数万」のエンドポイントに対応する「リアルタイム」処理能力を、何らかの形で謳っています。実際には、特に評価プロセスが小規模なテストラボに限定されている場合、巧妙なごまかしによって製品の真の性能やスケーラビリティの限界が隠されてしまいがちです。組織は、EDR製品が自社のユースケースを満たすのに十分な性能を発揮できることを、どのように確認すればよいでしょうか？重要なのは、スピードと規模を評価する際に、より包括的なアプローチをとることです。

まず、このソリューションが提供するインタラクションの形態について検討しましょう。パッシブなワークフローには、アドホックな検索（「このハッシュはどこにあるか？」）、検知とアラート（「IOCがヒットしたか、ルールがトリガーされたか？」）、および異常分析のためのデータ収集（「すべての自動実行項目を取得し、発生頻度順に並べ替える」）などが含まれます。アクティブなワークフローには、隔離措置の実施、プロセスの強制終了、マルウェアの除去、あるいは設定上の脆弱性の修正など、システムへの変更が伴います。

次に、これらの各インタラクションモードで利用可能なデータの範囲を重ね合わせてみてください。過去の取引履歴は含まれていますか？現在の活動状況は？保存中の潜在的なファイルやその他の痕跡は存在しますか？最後に、これらの各評価基準に基づいて、ソリューションのパフォーマンスとスケーラビリティを評価してください。一部のソリューションでは、一連の履歴データへの全社的なアクセスを提供しているものの、現在または潜在的なデータを大規模に容易に処理することができない場合があります（その逆も同様です）。クエリや処理によっては、あるタスクでは数秒で完了するのに、別のタスクでは数時間かかることはありますか？

また、組織は、望ましいパフォーマンスレベルと規模でソリューションを運用するために必要なインフラストラクチャの占有面積とコストについても評価する必要があります。水平方向に拡張するオンプレミス型ソリューションの場合、時間の経過とともに保守コストが増加し、効率性が低下します。サーバーが増えれば、障害発生の要因も増えることになります。また、環境の拡大に伴い、アーキテクチャの見直しやリソース利用のバランス調整が必要となります。

対照的に、クラウドベースのソリューションでは、インターネットを介して送信されるデータ量を適切に管理する必要があります。その結果、クライアント側のフィルタリングやトリガー機構に依存することになり、オンデマンドまたは事後的に利用可能なエンドポイントデータの範囲が制限される可能性があります。組織の具体的な利用状況によっては、そうした譲歩は受け入れがたいものとなる可能性があります。

このプラットフォームの柔軟性はどの程度ですか？

IRには、幅広いエンドポイントデータへの高速かつスケーラブルなアクセスが必要であることは、すでに強調してまいりました。どのEDRツールも、「中核となる」フォレンジック証拠、すなわちプロセスの活動、ファイルシステムのメタデータ、ネットワーク接続、アカウントの活動、WindowsレジストリなどのOS固有のアーティファクトなどを扱うことができます。しかし、攻撃者の手口が急速に進化しているのと同様に、新しいオペレーティングシステムのアップデートやアプリケーション、あるいは研究者による発見によって提示される証拠の源もまた、同様に進化しています。 EDRソリューションの柔軟性は、こうした新たな知見をどの程度迅速に取り入れられるかに直接影響します。

製品を比較する際、多くの組織は単に機能や性能の一覧を求めるだけです。さらに一歩踏み込んで、この製品がこれまでどのようにアップデートされてきたのか、そして今後どのように成熟していく見込みなのかを理解することをお勧めします。これには、以下の事項の評価が含まれる場合があります：

過去1年間の製品の変更履歴を確認させていただき、開発の進捗状況を把握させてください。どのような新機能が追加されたのでしょうか――また、そのスピードはどの程度だったのでしょうか？
ソフトウェアがどのように設計されているか、またその設計が、新しいデータソースを容易に統合したり、エンドポイントと新たな方法で連携したりするのに適しているかどうかを検討してください。顧客にはどの程度の決定権があるのでしょうか？ベンダーが提供するエージェントの更新が必要な場合はどのような場合でしょうか？
ユーザーコミュニティの状況はどうなっていますか？他の顧客の方々は、「標準機能」の範囲を超えるような機能を活用されているのでしょうか？

最後に、その製品が「EDR」の「対応（Response）」という部分をどの程度徹底してカバーしているかを検討してください。プロセスの強制終了やネットワーク上のマシンの隔離といった戦術的な是正機能は、この分野のほとんどのツールに共通して備わっています（ただし、その規模や、こうしたアクションを連携して実行する能力には違いがある場合があります）。しかし、それと同じくらい重要でありながら、しばしば見過ごされがちなのは、そのソリューションが実際にシステムを保護し、他の予防的対策と相乗効果を発揮し、エンドポイントの攻撃対象領域を縮小できるかどうかという点です。この分野における主な機能としては、ネットワーク上で実行や通信が許可される対象の管理、セキュリティ設定の評価と強化、およびOSやサードパーティ製アプリケーションのパッチレベルの維持などが挙げられます。端的に言えば、EDRソリューションが単に攻撃の迅速な検知と対応能力を高めるだけのものであれば、それは実際には組織の回復力を高めているとは言えません――再侵害の悪循環から抜け出す助けにはならないのです。

エンタープライズ向けソフトウェアのテスト、購入、および導入は、決して簡単な作業ではありません。また、期待に沿わなかった製品について「リプレイス」を繰り返すたびに、多大な業務上のリスクと費用が生じます。 EDRソリューションの導入をご検討の際は、このブログ記事でご紹介したポイントのいくつかが、貴社にとって最適な製品を見極めるための適切な評価基準を策定する一助となれば幸いです。

ライアン・カザンシヤン、チーフ・セキュリティ・アーキテクト

Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。「」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。