「未知の脅威」への次の一手。侵入を前提とした対策、EDR

　従来のエンドポイント防御では、対策を行うことで原則、脅威の侵入を防げるという前提があった。しかし、現在の標的型攻撃は巧妙化しており、企業や組織に対して個別に攻撃を仕掛けることが多くなっている。このような状況では、「未知の脅威」が侵入するリスクを完全に排除することは難しい。

　そこで求められているのが、未知の脅威の侵入を前提とした対策の強化である。侵入した脅威によって何らかのインシデントが引き起こされたとき、他の潜在脅威の存在や侵入原因、影響範囲の把握などを速やかに行うことができれば、被害の拡大を防ぎ、リスクを最小化することができる。

　その役割を担うのが、エンドポイントにおける活動の記録と、従来型の対策では見つけられない不審な挙動の検知を行う「EDR（Endpoint Detection and Response）」だ。本資料では、インシデント対応例などを交えつつ、EDRが未知の脅威を検知し、その影響範囲を調査する仕組みと、インシデントの発生から終息に至るまでの流れを解説する。