EDRは「端末の見張り役」
EDRは Endpoint Detection and Response の略で、日本語だと「エンドポイント(端末)における検知と対応」といった意味になります。エンドポイントというのは、ノートPCやデスクトップ、サーバーなど、人やシステムが実際に触っている末端の機器のことです。
ざっくり言うと、PCやサーバーの中で起きている出来事を記録し続けて、怪しい動きを見つけたら知らせたり止めたりする仕組みです。ウイルス対策ソフトの親戚みたいなものですが、狙っているところが少し違います。
よくある例え:入口の警備員と館内の防犯カメラ
オフィスビルの警備を思い浮かべてみてください。入口に立っている警備員は、ブラックリストに載っている人や不審物を持っている人を「入れない」のが仕事です。従来型のウイルス対策ソフトはこれに近くて、既に知られている悪いファイルのパターン(シグネチャ)と照らし合わせて、入ってくるところで弾きます。
ところが、正規の社員証を持って普通に入ってきた人が、深夜にサーバールームの扉を開けて回っていたらどうでしょう。入口の警備員はもう役に立ちません。ここで効いてくるのが、館内の防犯カメラと入退室ログです。誰がいつどの部屋に入り、何を持ち出したかが残っているので、「この動きはおかしい」と後から気づけるし、映像を追えば侵入経路もわかります。
EDRはこの防犯カメラ+ログの役割を、PCの中でやっているものだと考えるとイメージしやすいです。プロセスの起動、ファイルの作成や書き換え、通信先、レジストリの変更といった端末上の活動を継続的に記録し、その並び方が不審なら警告を出します。
従来のウイルス対策との違い
| 観点 | 従来型のウイルス対策 | EDR |
|---|---|---|
| 得意なこと | 既知のマルウェアをファイル単位で弾く | 端末上の一連の振る舞いから異常を見つける |
| 判断の材料 | 既知のパターンとの一致 | プロセスや通信などの活動ログ |
| 侵入された後 | 基本的に守備範囲外 | 何が起きたか追跡し、対応につなげる |
大事なのは、EDRは従来型の置き換えというより「侵入されることを前提にした後半の備え」という位置づけだという点です。入口を固める話と、入られた後に気づいて対処する話は、そもそも別のレイヤーなんですね。
「R」の部分、つまり対応が肝心
名前に Response が入っているのがEDRの特徴です。検知して終わりではなく、そこから何をするかまでが射程に入っています。
調査というのは、たとえば「このプロセスはどこから起動されたのか」「同じ挙動が他の端末でも起きていないか」をログをたどって確認する作業です。封じ込めは、該当の端末をネットワークから切り離したり、怪しいプロセスを止めたりといった動きになります。
導入すると何が変わるか
正直なところ、EDRを入れた直後にありがちなのは「アラートが思っていたより多い」という反応です。振る舞いで判断する仕組みなので、業務で普通に使っているツールが引っかかることもあります。だから、アラートを見て判断する人や運用のルールがセットで必要になります。ソフトを入れれば自動的に安全、という種類のものではありません。
逆に言えば、ログが残っていること自体が価値です。何かトラブルが起きたときに「いつ・どこから・何が起きたか」を語れるかどうかは、対応のスピードにも社内外への説明にも直結します。
覚えておきたいポイント
- EDRは端末(エンドポイント)の活動を記録し、怪しい振る舞いを検知する仕組み
- 既知のマルウェアを弾く従来型とは役割が違い、侵入後の検知と対応が主戦場
- 検知だけでなく、調査・封じ込めまでを含めて考える
- 導入後の運用(誰がアラートを見るか)まで設計しないと機能しない
このページは役に立ちましたか？