“侵入前提”時代のエンドポイントセキュリティ対策、EDRの3つの選定ポイント

　高度化するサイバー攻撃を100％防ぐことが難しくなった今、脅威の検出に加えて“侵入を前提とした対策”が求められている。特にエンドポイントにおいては、マルウェアの検出から侵害後の調査・対処まで含めたセキュリティサイクル全体を見据えた態勢が重要となる。これに伴い、企業ではEPP（Endpoint Protection Platform）に加えて、侵入後の対処を支援するEDRを導入するケースが増えている。

　しかし、EDRを導入しても、その能力を十分に活用しきれていない現場も少なくない。というのも、製品によって侵害痕跡の検出性能に差があるなどの理由から、調査が難航する場合もあるからだ。例えば、過剰な検知による膨大なアラートは運用負荷を増大させるし、取得できる痕跡が少なすぎても十分に攻撃を調査できない。

　では、本当に使えるEDRとは何か。本資料では、「アラートを読み解くための情報を提供できること」など、EDRに求めるべき3つのポイントを提示して解説する。これからEDRの導入を検討する組織や、過検知による運用負荷に悩むセキュリティチームは必読だ。