攻撃者と防御者の間で続く軍拡競争において、エンドポイント検出・対応（EDR）は、企業のセキュリティチームにとって大きな前進であると広く見なされています。 2013年にガートナーによって初めて提唱されたこの技術カテゴリーは、数年後に本格的に定着しました。 実際、EDRソフトウェアの使用は、 2021年5月 における大統領執行命令 （新しいタブで開きます） により、すべての連邦政府機関に対して義務付けられました。
とはいえ、これらのツールは確かに有用ではありますが、万能薬というわけではありません。 Taniumのテクニカル・ソリューション・エンジニアであるニル・ヨシャ氏は先日、Taniumプラットフォームがなぜ、そしてどのようにして、機能面での重要なギャップを埋めることができるのかについて解説しました。
エンドポイントにおける脅威の急増
エンドポイントは、現在、グローバル企業が事業を展開している場所です。 また、そこでは、機密データを盗み出したり、暗号化されたシステムから金銭を脅し取ったりするなど、悪意のある第三者から標的にされる可能性が最も高くなります。
の 2020 報告書によると、過去12 ヶ月間に、組織の3分の2以上（68 パーセント）が、データやITシステムの侵害につながったエンドポイント攻撃を受けたとのことです。 （新しいタブで開きます）
昨年、リモートワークへの大規模な移行により、企業のエンドポイント数が爆発的に増加し、その結果、企業のサイバー攻撃対象領域がさらに拡大することとなりました。 取材に応じたCXOの約 90 パーセントが、情報漏洩の急増を経験したと回答しました。
こうした理由から、今日の多くのサイバーセキュリティ責任者にとって、EDRの導入は迷う余地のない選択となっています。 とはいえ、この技術の限界がどこにあるのか、またどのような場面で追加のツールが必要になる可能性があるのかを理解することも重要です：
誤解その1：EDRソフトウェアは、脅威を先制的に探知するための優れたツールです
EDRソフトウェア製品は、不審なシステム動作を検知し、状況に応じた情報を提供し、悪意のある活動を阻止するように設計されています。 しかし、それらは既知のマルウェア（シグネチャによる）や不審な動作（ヒューリスティックによる）に対してのみ行われます。 これらは、脅威アクターが自身の存在を隠蔽するためにますます多用している、メモリ内攻撃やファイルレス攻撃、および「オフ・ザ・ランド」の手法を検知するようには設計されていません。 脅威ハンティングでは、こうした点に注目する必要があります。
誤解その2：EDRツールは、セキュリティオペレーションセンター（SOC）のアナリストの業務負担を軽減できる
EDRツールが、一部の悪意のある活動の防御や遮断を自動化できることは確かであり、それによってアナリストの時間を多少なりとも節約できるでしょう。 しかし実際には、SOCの業務負担を軽減するどころか、かえって増大させてしまいます。 なぜですか？ EDRツールはどれも、1日に数千件ものアラートを生成するため、アナリストはそれらのアラートの背景情報を把握するために、他のツールを必要とするからです。
その結果、一般的なアナリストはアラートの過剰発生やアラート疲れに悩まされ、1日の終わりまでにアラートリストをすべて処理しきれなくなる可能性があります。 つまり、アナリストが誤検知や行き止まりを追いかけている間に、一部の脅威がすり抜けてしまうということです。
アトランタ地域のノースサイド病院（ ）で情報セキュリティ部長兼最高情報セキュリティ責任者を務めるマーティン・フィッシャー氏は、Endpoint誌の取材に対し、自身のチーム （新しいタブで開きます） が、絶え間ないアラートによりバーンアウトに陥っている現状について語りました。
誤解その3：EDRには、包括的な対応と是正措置を行う機能が備わっている
EDRは、インシデント対応活動の一部を支援することはできますが、決して頼りになるツールというわけではありません。 それは、そのほとんどが、進行中の攻撃の範囲を把握するのに役立つ行動分析機能を提供していないからです。 調査や分析に利用できる履歴データは提供されておらず、すべてのホストにわたるアクティビティも記録されていません。 つまり、インシデント対応担当者は、リアルタイムでの範囲特定、隔離、およびフォレンジック調査を行うための代替ツールを見つけなければなりません。
Taniumはどのように役立つのでしょうか？
セキュリティチームは、むしろTaniumプラットフォームを活用して、EDR機能を補完することを検討すべきです。 Taniumでは、お客様は以下のことが可能になります：
- EDRでは検出されない高度な悪意のある活動を迅速に発見するために、適切な質問を投げかけましょう
- 攻撃がどこまで拡大しているか、またデータが外部へ流出していないかを確認できます
- 脅威をリアルタイムかつ大規模に特定するお手伝いをいたします
- インシデント発生後に何が起きたのか、どのような被害が生じたのか、そして次回の攻撃に備えて組織がどのように改善できるのかを理解する
TaniumとEDRは連携して、サイバーリスクを最小限に抑え、お客様の組織をより安全で、より堅牢なものにし、回復力を高めます。
の詳細については、Taniumのインシデント対応ソリューション「 」（新しいタブで開きます） をご覧ください。また、デモのご予約については、弊社までお問い合わせください。
