サイバーセキュリティ上のリスクをすべてひとまとめにして、それらを無力化するための「魔法のブラックボックス」を設計できたら、素晴らしいと思いませんか。 そうすれば、生活がずっと楽になるでしょう。
多くの組織にとって、エンドポイント検出・対応（EDR）プラットフォームは、まさにその役割を果たしているように見えます。 従業員のデバイスやその他のエンドポイントからデータを収集・保存・分析し、デジタル侵害の兆候を検知することで、手軽な第一線の防御手段を提供します。 しかし、それらが必ずしもネットワークのセキュリティを向上させるわけではありません。
ギリシャのピレウス大学の研究者たちは最近、 、このことを証明しました。。 実験では、政府機関や民間企業で日常的に導入されている 11 種類の人気EDR製品に対し、模擬攻撃を仕掛けました。
研究者たちは、スピアフィッシングの手法 やマルウェア配布ツール、さらには組織のネットワーク内を横方向に移動 するためのツール を活用し、次の4つの重要な疑問に答えようとしたのです。EDRはこの攻撃を検知できるのでしょうか？ その弱点は何でしょうか？ アラートを生成するために、どのような種類のデータが使用されていますか？ また、テレメトリやデータ収集における全体的なノイズを低減し、脅威をより効果的に見極めることは可能でしょうか？
その結果、あらゆる面で失敗に終わることがあまりにも多かったのです。 チームが仕掛けた 20 件の攻撃のうち、半数は成功し、アラートは発生しませんでした。
「どのEDRも、すべての攻撃を検知できなかったというのは、かなり憂慮すべき事態です」と、この研究は結論づけています。 「より正確には、 10 件の攻撃が完全に成功しましたが……アラートは発令されませんでした。3件の攻撃は成功したものの、重要度の低いアラートが発令されました。1件の攻撃は失敗しましたが、アラートは発令されませんでした。また、6件の攻撃はEDRによって検知され、正しく報告されました。」
ITセキュリティ運用チームの間では、EDR製品が人気を集めています。その理由は、使いやすさに加え、 エンドポイント が、侵入の可能性がある者に関する最も豊富なデータを提供できると考えられているためです。 しかし、セキュリティ上の脅威が進化するにつれて、攻撃対象領域も同様に変化してきました。 攻撃を受けているのは、ノートパソコンや携帯電話だけではありません。 オンプレミスサーバー、 クラウド アプリケーション、およびレガシープラットフォームです。 さらに事態を複雑にしているのは、EDRではネットワーク上の特定の種類の不審な動作、つまり「既知の」悪意のある活動しか検出できないという点です。
そのため、政府機関やあらゆる規模の企業は、こうした脅威から身を守るために、もはやEDRのみに頼ることはできなくなりました。 彼らには、もっと必要なのです。
EDRだけでは不十分な場合
重要なのは、必要に応じて新しいツールを取り入れ、新しい考え方を身につけることです。
「EDRは、棚から取り出して差し込むだけの箱のようなものではありません」と、Taniumの公共部門担当テクニカルアカウントマネジメント担当副社長であるマット・マースデン氏は述べています。 「EDRとは、ツール、チーム、そしてプロセスが融合したものです。 「それは微妙なバランスが求められます。脅威インテリジェンスを理解し、悪意のある攻撃者よりも迅速に行動することです。」
「」これは、単なるエンドポイント保護にとどまらない話です。 これは、外れ値や異常値、そして標準からの逸脱を認識することに関するものです。”Tanium社の公共部門担当テクニカルアカウントマネジメント担当副社長、マット・マースデン氏
ESGのシニアサイバーセキュリティアナリストであるデイブ・グルーバー氏は、組織が、より広範囲にわたるITネットワークやデバイスを視野に入れたITセキュリティ戦略を策定するよう、ますます強いプレッシャーに直面していると述べています。 「予防策だけでは、すべてを防ぐことはできません」と彼は言います。
「拡張型検知・対応（XDR）」と呼ばれるアプローチが、こうした課題の一部を解消すると期待されています。 XDRは、ハイブリッドITアーキテクチャを網羅する統合ツールキットであり、組織が制御ポイント、セキュリティテレメトリデータ、および運用分析を単一のシステムに統合することを可能にします。
製品だけでなく、プロセスについても考えてください
XDRアプローチを採用することは正しい方向への一歩ではありますが、それを固定的な製品としてではなく、随時更新可能な柔軟な戦略やプロセスとして捉えることが極めて重要です。 また、セキュリティ侵害を監視するだけでなく、ネットワークを積極的に調査して侵入者がどこに潜んでいるかを突き止めるようなツールも活用すべきです。
「これは単なるエンドポイント保護以上の問題なのです」とマースデン氏は述べています。 「また、能動的あるいは先を見越した問題の特定、不整合の洗い出し、そして拡張性のある是正措置も行っています。」 「これは、外れ値や異常値、そして標準からの逸脱を認識することに関するものです。」
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
脅威ハンティングは、サイバーセキュリティにおける重要な手段の一つです。 これにより、IT運用チームは、事後対応的な被害対策から、先手を打った被害防止へと対応姿勢を転換することができます。 これには創造性と独創性が求められます。それらがなければ、ネットワークに対するリスクを常に容易に把握できるとは限りません。 サードパーティ製のEDRがデータ侵害を警告したり、 ランサムウェアの による身代金要求を受け取ったりする頃には、システムへの被害はすでに発生しており、復旧にかかるコストも甚大になっている可能性があります。
サイバー侵入の防止のみを目指す考え方から、ネットワークの侵害の検知や攻撃の影響の軽減も含む考え方へと移行する組織が増える中、適応性があり、潜在的な脅威を洗い出し、是正措置を講じ、侵害の有無を監視できる戦略を策定することが極めて重要です。
ギリシャの研究者たちは、その報告書の締めくくりに、賢明な助言を添えました。 サイバー攻撃を防ぐためには、組織は「包括的な視点」を持ち、多岐にわたるセキュリティツールを導入し、「単一のソリューションだけに依存しない」ことが重要だと彼らは述べています。
