はじめに
Endpoint Protection Platform（以下、EPP） は、エンドポイントの脅威となるコンピュータウイルスの検出及び除去を目的にしているのに対して、Endpoint Detection and Response（以下、EDR） は、侵入後の脅威を迅速に検出及び対応を目的としたセキュリティソリューションです。
近年、広く認知されるようになったEDRですが、組織でセキュリティ対策を行うにあたって、EDRを導入したらそれで完了ではありません。
本記事では、EDRの概要やEDRに関する運用のポイントについて記載しています。
Endpoint Detection and Response (EDR) とは
EDRは、エンドポイントレベルで高度な脅威を監視し、検知及び対応するために設計されたセキュリティのソリューションです。
多く認知されているEDR製品を以下に記載します。
| 製品名 | 料金 | 対応OS | 特徴 |
|---|---|---|---|
| CrowdStrike Falcon | 有料（15日間の無料トライアルあり） | Windows、Linux、macOS、ChromeOS、iOS、Android、 | Falcon Sensorをエンドポイントにインストールして保護する仕組み。また、Falcon Insight（EDR）やFalcon Prevent（NGAV）などモジュールとして機能が提供され、クラウド連携やMITRE ATT&CK評価で高い検出率が特徴。 |
| Microsoft Defender for Endpoint | 有料（1か月間の無料トライアルあり） | Windows、Linux、macOS、iOS、Android | Microsoft Defender for Endpoint P1（※E3含む）・Microsoft Defender for Endpoint P2（※E5含む）・による機能の違いがあり。P2は、P1の機能すべてに加えて、エンドポイントでの検出と対応、自動調査とインシデント応答、サイバー攻撃と脆弱性の管理が含まれる。 |
| OpenEDR | 無料 | Windows | ソースコードが公開されていて、エンドポイント、ハッシュ、基本イベント、高度なイベントなどに関する情報を収集する。また、ElasticsearchとLogstashを利用することで、ログの解析を可能とする。 |
製品ベンダーによっては、Managed Detection and Response（MDR） と呼ばれるセキュリティ専門家や脅威インテリジェンスなどを活用した24時間365日のEDR監視を提供するセキュリティソリューションも存在します。
上記表に記載しているEDR製品は一例です。EDR市場には様々なソリューションが存在し、基本的なアーキテクチャは同じであるものの、機能は異なります。
一般的なEDRは、カーネルモードで動作しますが、他アプリとの競合やOSへの影響を与えないユーザーモードで動作するEDRも存在します。
EDRの必要性
EDRの必要性について考えてみてみましょう。
EPPもEDRについてもエンドポイントを保護するという目的は同じですが、保護する仕組みや内容が異なります。
EPPは、入口対策に特化したセキュリティ対策です。シグネチャベースのパターン検知によって、既知のマルウェアからエンドポイントを保護するのに長けています。
EDRは、出口対策として、デバイスの振る舞いを検知し、未知のマルウェアからエンドポイントを保護するのに長けています。
エンドポイントの考えられるシナリオより、対応の違いについて考えてみましょう。
例えば、フィッシングメールによって、悪意のあるマクロを含むWord文書が添付されたメールを受信しました。
ユーザーはメールクライアントを利用して、Word文書をダウンロードして開くと、悪意のあるマクロが起動します。そして、難読化されたPowershellによって、ペイロードが実行されるなど段階的な攻撃を受ける可能性があります。
| 段階 | EPP | EDR |
|---|---|---|
| Word文書をダウンロード | 定義ファイルにシグネチャがない場合は、検知不可 | ダウンロードアクティビティを記録 |
| winword.exeを起動 | winword.exeは正当なユーティリティなため、文書を開いても何も起こらない | winword.exeの実行を記録 |
| マクロの実行 | 定義ファイルにシグネチャがない場合は、検知不可 | winword.exe及びPowerShell.exeプロセスの異常な親子関係によるマクロ実行を検出 |
| PowerShellスクリプトの実行 | 難読化されたPowerShellスクリプトは、検知不可 | 難読化されたスクリプトの実行を検出 |
| PowerShellスクリプトの実行 | メモリインジェクションは、検知不可 | 悪意のあるsvchost.exeプロセスインジェクションを検出 |
| 最終段階 | 何も検知できない場合がある | 攻撃チェーンに沿ったアラートを生成 |
EDRを導入することで、SOCアナリストはエンドポイントに対してアクションを実行し、攻撃を止めることができます。
EDRの機能
EDRの主な機能は以下の通りです。
- Visibility
- Detection
- Response
Visibility
EDRは、エンドポイントからログ及びイベント、プロセス、通信、レジストリの変更、ファイル及びフォルダの操作など様々な情報を取得します。
そして、エンドポイントから取得した情報を構造化された形式に変換して、EDR製品の管理コンソールに表示します。
SOCアナリストなどは、EDR製品の管理コンソールを操作することで、検知したアクティビティに関するタイムライン、プロセスの構造などについて確認することができます。
Detection
EDRの検出機能は、シグネチャベースの検出に加え、予期しないユーザーアクティビティなどの行動ベースの検出も組み込んでいます。
また、機械学習を活用した未知の脅威検出、メモリ内に常駐するファイルレスマルウェア1、IOC（In-Occurrence Detection）2を利用した脅威検出などが可能です。
Response
EDRは、検出された脅威に対してアクションを実行できる機能が搭載されています。
マルウェアなど不正なプログラムを検知した場合は、即座にエンドポイントをネットワークから隔離したり、プロセスの終了などのアクションが可能です。
製品によっては、ホストにリモート接続して個別にアクションを実行することもできます。これらすべてを管理コンソールから実行できます。
EDRの仕組み
管理コンソールを使用して、複数のエンドポイントを一元的に管理するためには、エンドポイントに対して、EDRエージェントを導入する必要があります。
EDRエージェントはセンサーとも呼ばれ、エンドポイントに常駐し、すべてのアクティビティを監視する役割を持ちます。また、アクティビティに関するテレメトリデータは、逐次EDRを管理しているサーバに送信されています。
EDRエージェントは、シグネチャベース及びビヘイビアベースの基本的な検知を独自に実行し、その結果をEDRの管理サーバに送信することで、管理コンソール側でアラートをトリガーします。
また、EDRエージェントから送信されるすべてのテレメトリデータは、複雑なロジックと機械学習アルゴリズムによって相関分析されます。更にIoCなどの脅威インテリジェンス情報と、収集されたデータと照合し、セキュリティ監視を実現しています。
テレメトリとは、監視や分析などを目的に、遠隔地にある情報源からデータや測定値を自動収集して、中央システムに送信するプロセスです。
ITに限らず、医療、航空宇宙、自動車、農業など様々な業界で重要な役割を果たしています。IT業界の場合は、ログ、イベント、メトリクスなどのデータをテレメトリデータとして扱います。
EDRは、収集したテレメトリデータに関する点と点を結ぶことで、アラートと呼ばれる検知情報を形成しています。
EDRが収集している情報
EDRは、以下のような情報を収集し、EDRの管理サーバに送信しています。
- プロセスの実行と終了
- 実行中やアイドル状態など全てのプロセスを追跡し、疑わしい子プロセスと親プロセスの関係、プロセスを開始する疑わしい実行可能ファイル、マルウェアのペイロードなどを識別する
- ネットワーク接続
- すべてのエンドポイントのネットワーク接続が監視され、 C2サーバへの接続、異常なポートの使用、データの流出、ネットワーク内の横方向の移動を識別する
- コマンドラインアクティビティ
- CMD、PowerShellなどでエンドポイントで実行されたすべてのコマンドをキャプチャし、従来のウイルス対策では見逃されがちな悪意のあるコマンドの実行や難読化されたPowerShellスクリプトの実行を特定
- ファイル及びフォルダの変更
- EDRによって、ファイル及びフォルダの変更を監視することで、異常を検知することができる
- レジストリの変更
- レジストリを監視することで、意図しないソフトウェアのインストールや悪意のある活動を監視可能
以下は、CrowdStrike Falconの検知テストして使用されるchoice /M crowdstrike_sample_detectionコマンドを実行して検知後、詳細ビューの「Process table」の画面です。
このように、いつ、誰が、Windowsデバイスにサインイン後、どのようにしてコマンドプロンプトを起動し、何のコマンドを実行したかなどの情報を時系列に構造化して可視化することができます。
EDRの運用
繰り返しになりますが、組織でセキュリティ対策を行うにあたって、EDRを導入したらそれで完了ではありません。
以下にEDRの運用について抑えておきたい勘所について記載します。
EDR運用で必要となる知識
EDR運用では、エンドポイントに関するOS及びアプリケーション、サーバにもEDRを導入する場合は、様々なMWに関する知識を持っていると運用で重宝します。
例えば、Windowsでchoice /M crowdstrike_sample_detectionコマンドを実行すると、以下のようなプロセス構造であることが分かります。
winlogon.exe
|
+- userinit.exe
|
+- explorer.exe
|
+- cmd.exe
|
+- choice.exe
呼び出された各プロセスの役割を正しく理解しておくことで、アラートがどのような仕組みでトリガーされたのか、その妥当性をより正確に評価できるようになります。
| プロセス名 | 概要 |
|---|---|
| winlogon.exe | 対話型ログオンセッションを管理するユーザーモードのプロセス |
| userinit.exe | ユーザーがログインした直後に一度だけ実行されるプログラム（ユーザープロファイルの読み込み、グループポリシーの適用、ネットワークスクリプトの実行、ユーザー環境の初期化など） |
| explorer.exe | デスクトップ、タスクバー、スタートメニュー、ファイル管理などのインターフェースを提供するプログラム |
| cmd.exe | コマンドプロンプト |
| choice.exe | バッチプログラムで1文字の選択肢の一覧から、1つの項目を選択するようにユーザーに求めるプログラム |
最近はClaude Codeを利用する組織も増えてきていると思います。
EDRを導入していれば、Claude Code経由で実行されたコマンドのプロセス構造を把握することができます。
チューニング
組織内でEDRの運用し、継続的にセキュリティを高めるためには、以下のような運用が発生ます。
- アラート確認
- ポリシーの見直し
- 除外設定
- IOC管理
EDR製品によって、機能や管理コンソールの名称が異なりますが、CrowdStrike Falconを例にすると、以下のような設定があります。
| 運用項目 | 内容 |
|---|---|
| アラート確認 | 次世代SIEMを利用した検知や自動リードの確認 |
| ポリシーの見直し | 防止ポリシー、センサー更新ポリシー、コンテンツ更新ポリシーなど |
| 除外設定 | 誤検知したアラートを除外するための設定（機械学習、IOAなど） |
| IOC管理 | ハッシュ、ドメイン、IPアドレスの追加など |
防止ポリシーを例にすると、OS毎にセンサーや振る舞いに関する設定を行う必要があります。項目が追加されたりする場合もあるため、定期的にポリシーを棚卸して、見直すことが重要です。また、上記以外にもホストをグループ毎に分けたり、考慮すべき設定が他にも存在します。
アラート疲れを起こさないようしたり、日々の運用を効率化するためには、Security Orchestration Automation and Response(SOAR) の活用が鍵となります。
CrowdStrike Falconでは、Fusion SOAR機能のワークフローを作成することで、オペレーションを自動化することができます。
また、最近ではCrowdStrike社が開発した人工知能のCharlotte AIをワークフローに組み込むことで、アラートの内容を補完してサマリを出力したり、その結果をメールで送信するなどの運用が可能です。
MDM運用
EDRの運用に合わせて、MDMの運用も重要な役割を発揮します。
MDMの運用を適切に行うことで、例えば、以下のようなデバイス管理の不備によって引き起こされるセキュリティインシデントを未然に防ぐことができます。
- キッティングに不備があり、EDRが未導入
- OSのサポート切れが発生し、EDRのサポート対象外
- デバイスの利用頻度が低いため、OSやEDRのアップデートが未実施
従って組織内でEDRを正しく運用するためには、EDRの機能に熟知するだけでなく、基本的なデバイス管理の運用を正しく行なっていることが前提になってきます。
MDM製品の応用として、組織内で管理するデバイスの情報を可視化することで、顕在化する脅威を発見することができます。
参考：Looker Studioで作るMDMダッシュボード Microsoft IntuneとJamf Proのデータをまとめて分析する方法
ライセンス管理
どのEDR製品を導入するにしても、ライセンス管理は必須です。
近年、円安傾向が続いているため、EDRに限らず海外のSaaSサービスなどITに関するサービスは、コストの値上げが発生します。
そのため、組織でEDR製品を導入する情報システム部門は、商流を気にしながらベンダを選定することが求められます。
また、組織の成長や管理するデバイスを基に必要なライセンス数の見積りを行ない、必要なライセンスを購入する運用も発生します。
CrowdStrikeでは、ライセンスのカウントが動的なため、どのようにしてライセンスが発生するかについても、しっかりと理解しておくことが重要です。
おわり
EDRを正しく運用するためには、EDR製品が提供する機能を理解し、組織の成熟度に応じた運用体制を構築することが重要です。
また、MDMを用いて組織全体のデバイス管理を適切に行うことが必然になってくるため、情報システム部門などに所属し、デバイス管理やセキュリティ製品を扱う担当者は、製品に関する知識や責任が求められます。
本記事がEDR導入や運用を行う方の一助になれば幸いです。