米国政府の緩いサイバーセキュリティ対策を引き締めることを目的とした指針の発表が、相次いでいます。 今月、バイデン政権は、すべての連邦機関に対し、 に記載されている、ハッカーが政府のコンピュータネットワークに侵入し、損害を与えるために悪用できる約 300件の サイバー脆弱性を修正するよう指示しました。
しかし、セキュリティ専門家の間で懸念を引き起こしたのは、それ以前の指示でした。 8年10月、米国行政管理予算局（OMB）は各機関に対し、いくつかの重要な提案を3か月以内に導入するよう通達しました。 その中には、エンドポイント検出・対応（EDR）ツールを各機関のネットワークに組み込むための措置を講じることが挙げられます。
しかし、これらのツールは最近、 によって精査の対象となっています。 それは、公共部門と民間部門の多くの組織が、それらに過度に依存しており、その限界に気づいていないからです。 マネージドサービスプロバイダーであるNuspireの最高セキュリティ責任者（CSO）、J.R. カニンガム氏は、EDR製品を誤って導入したり、その適用範囲を実際よりも広範囲だと誤解したりした場合、その影響はサイバー攻撃と同様に、ネットワーク運用にとって壊滅的なものになりかねないと警告しています。
カニンガム氏は、EDR製品の導入を試みたある病院の事例をよく挙げています。
「彼らは可能な限り最高レベルの保護を求めた結果、ネットワーク全体を台無しにしてしまったのです」と彼は言います。 「攻撃と同じくらい可用性に悪影響を及ぼしかねない設定項目をいじっているのです。」
実際、研究者たちは最近、EDRの有効性について深刻な疑問を投げかけています。 ギリシャのピレウス大学で実施された の調査（ ）では、政府機関や民間企業で日常的に導入されている11 種類の人気EDR製品を対象に、模擬ハッキングテストが行われました。 『 2021年7月』誌に研究成果を発表した研究者らによると、シミュレーションによるサイバー攻撃の 50％がEDRの検知をすり抜け、アラートが発生しなかったことが判明しました。
こうした懸念があるにもかかわらず、バイデン政権は、民間企業の間で広く普及しているEDRの活用を公共部門にも拡大し、政府機関がサイバー防衛の強化において着実な進展を遂げていることを示そうとしています。 EDRアプローチのみを採用することが、なぜ危険になり得るのか、その理由をご説明します。
なぜEDRなのでしょうか？
開発者たちは、ノートパソコンやPCなどのエンドポイント上で発生する不審な活動を検知し、対応するためのEDRツールを設計しました。 しかし、こうした自動化ツールは、多くの場合、既知の攻撃タイプのみを検知することに限定されています。 各組織は、脅威の検知や企業ネットワーク全体を先制的に監視する機能など、より幅広いサービスが得られるという期待を込めて、これらの製品を導入しています。
「彼らは可能な限り最高レベルの保護を求めた結果、ネットワーク全体を台無しにしてしまいました。」J.R. カニンガム、Nuspire社 最高戦略責任者（CSO）
EDR製品の機能や有効性を評価するのは難しい場合があります。 それは、EDRの機能には解釈の余地があるからです。 製品によって、その効果や用途はしばしば異なります。 ベンダーに、自社のEDRがどのようなものであるべきかという定義を尋ねると、多くの場合、自社の製品が市場全体を代表するものであるかのように説明してくるものです。 アドバイザリー企業やコンサルタントは、製品の機能に対して独自の用語やフィルターを適用し、その分析結果を事実であるかのように提示することで、事態をさらに複雑にしています。
クラウドベンダー兼コンサルティング会社であるInvoltaのセキュリティ担当ディレクター、マット・ブラウン氏は、企業はしばしばEDRを導入していると主張しますが、実際には、ネットワークトラフィック内のマルウェアなどのパターンを識別するシグネチャベースのセキュリティプロトコルを運用しているに過ぎないと述べています。 「 20 年前なら、それでよかったのです」と彼は言います。 「それは、今の時代の人々が求めているものではありません。」
今日のサプライチェーン攻撃、 ランサムウェア、および高度なフィッシング攻撃に対処するためには、組織には、多方面からサイバー犯罪と戦い、潜在的な脅威を先手を打って検知できる最新のセキュリティツールが必要です。 専門家によると、基本的なEDR製品ではそのような機能は提供されていないとのことです。
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
4A Security & ComplianceのCEOであるベン・グッドマン氏は、EDRの機能やメリットについて、「誇張された部分がかなりある」と述べています。 これに対抗するため、「 」と呼ばれる新しいアプローチである拡張型検出・対応（XDR）が、EDR製品に残された隙間を埋める可能性を秘めています。 しかし、それによってサイバーセキュリティ対策も複雑化してしまいます。 その結果、多くの企業は製品の管理方法に悩まされており、製品にうんざりし始めています。 「結局、アラートをオフにしてしまうのです」とブラウン氏は述べ、「それでは本来の目的が果たせなくなってしまいます」と付け加えました。
EDRはツールではなく、プロセスです
多くの専門家は、EDRはパッケージ化された製品としてではなく、柔軟なプロセスとして導入されるべきだと述べています。 組織はまず、EDR製品の弱点を考慮しなければなりません。 多くの場合、これらはエンドポイント上で特定の種類のアクティビティのみを検知するように設計されています。 つまり、攻撃者が潜むことができるネットワーク上の死角が存在するのです。 また、EDR製品では、帯域幅やストレージの使用量を抑えるため、記録するアクティビティを制限することがよくあります。
「あるクライアントがいますが、彼はこれまで何度も危機をかわしてきたので、私は彼を『マトリックス』のネオと呼ぶようになりました。」4A Security & Compliance 最高経営責任者（CEO）、ベン・グッドマン氏
一方、EDR（ ）によるの処理は、単なる製品そのものよりも、組織のセキュリティ維持にはるかに効果的です。 では、 のエンドポイントを監視し、ネットワーク全体を巡回して不審な活動を検知します。 組織は、これらのプロセスを導入することで、これまで特定されていなかった脅威を特定することができます。 また、対策策――繰り返しになりますが、製品ではなく――は、企業のネットワークに合わせて調整することが可能です。 これにより、セキュリティチームは、複数のシステム上で同時に、不正なプロセスを強制終了したり、レジストリキーを削除したり、サービスをアンインストールしたりすることができます。
EDRプロセスでは、EDRツールや従来のウイルス対策ソフトウェアよりもはるかに多くの脅威を検出することができます。 「行動パターンを分析しているのです」とグッドマン氏は述べています。 「しかし、本当に価値があるのは、その対応の部分です。」 「ネットワークからシステムを切り離すことができます」と彼は述べ、その速度は手動では到底及ばないものだと付け加えています。
[関連記事：連邦政府機関がTaniumを活用し、CISAの新たなパッチ適用規則に対応する方法]
国家主体の攻撃やランサムウェアによる被害は限定的であるだけでなく、組織はシステム全体を停止させてから一つずつ復旧させる必要がなく、その結果、組織の業務が数日間も中断されるような事態を避けることができます。 「私には、『マトリックス』（ ）のネオ（Neo）と呼ぶようになったクライアントが一人います。 というのも、彼は これほど多くの銃弾をかわしてきたからです。」とグッドマン氏は述べています。 「 の在宅勤務 といった一連の動きにより、EDRプロセスの重要性がさらに高まりました。」
EDRの実践
EDRプロセスを効果的に機能させるためには、熟練したセキュリティ専門家によって設計される必要があります。 これには、すべての脆弱性を防御できるアーキテクチャ が含まれるべきです。 こうした機能は、通常、EDR製品では提供されていません。
また、EDRプロセスは、一度有効にしておけば後は放っておけるようなプラットフォームではありません。 また、EDRは、他のセキュリティソフトウェアから切り離して運用される、組織のサイバー防御の柱となるべきではありません。 EDRのプロセスは、むしろ、適切な サイバー衛生管理 、資産インベントリ 管理、ネットワーク設定、および パッチ 管理といった戦略によって支えられるべきです。 EDRは、一度設定すれば後は放っておけるようなツールではありません。
[関連記事：元国防長官――「我々は自分たち自身が最大の敵だ」]
「EDR技術は、EDRという全体像の一部に過ぎません」と、25年にわたりセキュリティ分野の先駆者として活躍し、現在はプロフェッショナルサービス企業ZenacitiのCEOを務めるアンドルー・プラト氏は述べています。 「EDRプログラムを購入されるのは、素晴らしいことです。 しかし、EDRの運用体制が整っていなければ、購入しても意味がありません。」
AT&Tの元最高情報セキュリティ責任者であり、アナリスト企業TAG CyberのCEOであるエド・アモロソ氏は、EDRの処理には、脅威検知機能を維持するために定期的な更新が必要であると述べています。
EDRについては、同氏は次のように付け加えています。「エンドポイント を管理する必要があるという考え方 は、依然として変わらないのです。」
