EDRツールは、その前身であるフォレンジック分析製品と同様に、EPPでは対応しきれない多くのユースケースに対応しています。 しかし、 の有効なエンドポイントセキュリティ戦略 には、スタンドアロンのEDRおよびEPPが組み込まれており、あらゆる企業環境で頻発する多種多様なインシデントに対応することが可能です。
（画像：Macedo Media／Pixabay）
今日のエンドポイントセキュリティ市場には、エンドポイント検出・対応（EDR）機能を一部備えたエンドポイント保護プラットフォーム（EPP）ソリューションや、 EDRソリューション 、さらにはEPP機能を一部備えた「レガシー」なアンチウイルスソリューションなどがひしめき合い、既存の地位を維持しつつ、新たな競合他社に遅れを取らないよう競い合っています。 によると、70％の組織がサイバーセキュリティへの支出を増やす計画であるとのことです。 （新しいタブで開きます）。エンドポイントセキュリティが重点分野となっている一方で、新たに公表される攻撃が後を絶たず、さらにベンダーからの大胆かつ積極的な約束も相まって、不確実性や不満が生じています。 こうした要因は、大衆からの初期の関心を集めるために、設計や機能面で誤ったトレードオフを行っていると言える多くのセキュリティ製品を生み出すきっかけにもなっています。
エンドポイントセキュリティの簡素化、そして多くのツールに見られるアーキテクチャ上の制約への対応を求める動きが、フォレンジック・テレメトリへの過度な依存を招いてしまいました。 この分野のほぼすべての製品（Tanium Threat Responseを含みます）は、クライアント側の「ブラックボックス」を提供しており、プロセス実行、ネットワーク接続、ファイル操作など、OSレベルのイベントを継続的に記録・保存します。 この形式のデータは、攻撃の事後調査だけでなく、望ましくない活動の検知や遮断においても、極めて貴重なものとなります。
しかし、エンドポイントには他にも無数のアーティファクトが含まれており、これらはこうしたテレメトリの対象外ではありますが、多くの一般的な検知・対応手法において依然として極めて重要な役割を果たしています。 分散型アプリケーションのログ（たとえば、Webサーバーによって生成されたものなど）を、特定の攻撃パターンについて調査する必要がある場合や、ディスク上に保存されているファイルなど、大量のデータに対して広範囲にわたる検索を行う必要がある場合を考えてみましょう。 効果的なEDRツールは、企業全体にわたる過去のテレメトリデータへのアクセスと、 がシステム全体に分散しているという現在の状態に関する証拠とを組み合わせたものです。
実際のところ、主にEPPを目的として開発されたツールが提供するEDR機能には、いくつかの一般的な制限が見受けられます。 最初の症状は、EPPツールが、すでに侵害されている新しい環境やシステム群に導入された際に現れます。 エンドポイントのテレメトリ、アラート、および予防を基盤としたワークフローは、繰り返し発生するイベントや新たなイベントへの対応にのみ役立ちます。 これらのツールは、オペレーティングシステムやアプリケーションによってネイティブに保存されている可能性のある既存の証拠源については、役に立ちません。 OSのイベントログや、プリフェッチ記録などのアーティファクト、あるいはかなり以前に作成された保存済みファイルなどを調査する必要があるかもしれません。 この機能がなければ、インシデントの範囲を誤って把握してしまう可能性が高いでしょう。
2つ目の例は、防止ルールやアラートルールをトリガーしなかったエンドポイントのアクティビティを調査する際に見られます。 多くのEPPツールは、検知イベントに関する履歴や状況を把握することに重点を置いており、その一方で、すべてが正常に見える場合には、詳細なテレメトリ情報をあまり記録しない（あるいはまったく記録しない）というトレードオフがあります。 これは、すべてのデータをクラウドに一元化する仕組みを採用している製品において特に多く見られる傾向であり、その運用コストに直接的な影響を及ぼすからです。 しかし、その一方で、アラートが発生していないシステムからエンドポイントデータを適切に検索・収集する能力を妨げる可能性もあります。特に、数分以内に大規模な回答を得る必要がある場合にはなおさらです。
EDRツールには、さまざまなユースケースに対応できる柔軟性があります
EDRツールは、その前身であるフォレンジック分析製品と同様に、さまざまなユースケースに対応しています。 柔軟性の高いエンドポイントセキュリティツールは、あらゆる企業環境で頻繁に発生する多種多様なインシデントへの対応を支援するはずです。 次のようなシナリオを考えてみましょう：
- 従業員の不正使用や解雇に関する事例 - 「ジェーンは先週、どのようなファイルを外部ドライブにコピーしましたか？」
- 意図しないデータ漏洩 ― 「誰かが給与のスプレッドシートを入手し、それを回しているようです。」 「このファイルがあるすべてのシステムを検索してください。」
- アプリケーション層の攻撃 - 「このStrutsの脆弱性を悪用すると、Webサーバーのログに特徴的なイベントが残されます。」 「そのエントリを含むすべてのシステムを検索してください。」
- ソフトウェアのサプライチェーン攻撃 ― 「当社のエンジニアの大半が使用しているテキストエディタが、どのマルウェア対策製品も検知できない悪意のあるアップデートに襲われました。」 「どのような人々が影響を受け、感染後に何か活動はありましたか？」
- トラブルシューティング - 「ITチームは、サードパーティ製アプリケーションがBSODの原因となっているのではないかと疑っています。」 「クラッシュダンプのアーティファクトが存在するすべてのシステムを特定し、相関関係があるかどうかを確認してください。」
ほとんどのEPP製品は、こうした種類のインシデントに対処できる柔軟性を備えていませんでした。 これらは、特定の種類のエクスプロイト、悪意のあるバイナリ、あるいはOSレベルでの侵害後の活動を阻止することを目的としています。
収集・分析するデータの範囲を狭めすぎると、予防に重点を置いたツールではまだ確実にブロックできない、新たな攻撃手法を見逃してしまう恐れもあります。 一次対応担当者は、精度の高いイベント情報を基に対応する必要があるかもしれませんが、サイバーインシデント対応チーム（CIRT）やハンティングチームは、不審とフラグが立てられた情報だけでなく、エンドポイントからの完全なデータを検索・分析できる必要があります。 これにより、一連のコンピュータやユーザー間の活動を基準値として把握し、新たな種類の異常を検知し、今後自動化が可能な新たな検知メカニズムを確立することが可能になります。
侵入者たちは、その手口を絶えず進化させ続けています
PowerShell を利用した攻撃の進化は、その好例と言えます。 侵入者は、悪意のあるスクリプトを実行するといった手法から、引数としてスクリプトコードを渡す「ワンライナー」コマンド、シェル実行を回避するためにPowerShellの自動化フレームワークを利用する隠蔽手法、キーワードベースの検知を回避するための難読化など、さまざまな手法へとその手口を進化させています。 .NET やその他のネイティブコードインタプリタを悪用したアプリケーション制御の回避は、攻撃手法の研究が急速に進展している分野のもう一つの例であり、EPP ツールが確実に 追いつくのに苦労している分野です。 エンドポイントセキュリティ戦略が、最低限の共通基準に合わせた「ブラックボックス」型の防御ルールに依存している場合、新たな攻撃手法に対して常に一歩遅れをとることになります。
最後に、予防に重点を置いたセキュリティソリューションの効果は、環境全体におけるその適用範囲の広さ、および健全な運用状態と構成を維持できる能力に左右されます。 多くの組織では、エンドポイント管理ツールの全セットをすべてのシステムに完全に導入できているかどうかを確認するのに、依然として苦労しています。 Taniumの調査によると、ツールの欠落や「不具合」などの問題により、平均して 20％のシステムが適切に管理されていないことが判明しています。
さらに、多くの組織では、誤検知を抑えるために、マルウェア対策製品の検知感度を「下げる」ことを選択しています。 その結果、予防機能は検知機能へと変質し、アラートが発生してもそれが日常的に無視されることになり、ひいては死角が増えることにつながります。 効果的なエンドポイントセキュリティソリューションは、マルウェア対策製品の適用範囲と活用度を最大化するために必要な、基本的な可視性と制御機能に加え、パッチ適用や「強化された」セキュリティ設定といったその他の制御手段も提供すべきです。
EDRというより広範な分野からEPP製品分野へと発展した背景には、かつては高度な専門知識を必要としていたセキュリティ機能を自動化・簡素化しようとする継続的な取り組みが、自然な帰結としてあります。 しかし、その登場によって、依然として 多くの企業を悩ませているエンドポイントセキュリティの根本的な問題の多くが解消されるわけではなく、また、そもそもEDR市場を生み出した中核的なユースケースの多くが置き換えられたり、時代遅れになったりすることもありません。 組織がエンドポイント技術への投資を継続する中で、幅広いセキュリティ上の課題に対応し、最終的にはビジネスに影響を与えるインシデントの根本原因に対処できるソリューションを取り入れ、ポートフォリオのバランスを図るよう努めるべきです。
ご質問はありますか？ 私たちには答えがあります。 今すぐディスカッションに参加し、 （）やTaniumユーザーコミュニティ（）で、同業の方やTaniumの技術専門家と交流しましょう。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
著者について：Taniumのチーフ・セキュリティ・アーキテクトを務めるライアン・カザンシヤン氏は、インシデント対応、フォレンジック分析、およびペネトレーションテストの分野で、 14 年以上にわたる豊富な経験を有しています。 ライアン氏は、Taniumの脅威対応ソリューションの設計とロードマップを統括するとともに、Taniumのエンドポイント検出・対応（EDR）チームを率いています。 Taniumに入社する前、ライアン氏はMandiantにおいて、標的型攻撃の被害を受けたフォーチュン 500 にランクインする数十社の企業と連携し、調査および対策業務を統括していました。 ライアン氏は、Black HatやFBIのサイバー対策チームのインストラクターとして、数百人のインシデント対応担当者を育成してきました。 同氏は、『Incident Response and Computer Forensics 第3版』（McGraw-Hill、 2014）の寄稿者の一人です。 また、ライアン氏はテレビシリーズ『Mr. Robot』の技術コンサルタントも務めており、脚本家や制作チームと協力して、劇中で描かれるハッキングの手法を考案しています。
