サイバー攻撃と防御の実務
従来のウイルス対策ソフトと比べた、EDR(Endpoint Detection and Response)の特徴として正しいものはどれか。
- A端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する
- B既知のマルウェアのファイルの特徴と一致するかだけを調べて、一致したファイルを削除するが、振る舞いは記録しない
- C端末ではなくネットワークの境界に置いて、外部から届くパケットを、IPアドレスとポート番号をもとに遮断する
答えと解説を見る
正解：A. 端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する
従来のウイルス対策ソフトは、主にファイルを既知のマルウェアの特徴と照らし合わせ、侵入を入口で防ぐことを目的にしています。EDRは、侵入を完全には防げないことを前提に、端末で起きたプロセスの起動、ファイルや設定の変更、ネットワークの通信などを記録し続け、不審な振る舞いを検知します。記録をさかのぼって侵入の経路や影響の範囲を調べたり、遠隔から端末をネットワークから隔離したり、不審なプロセスを止めたりできるのが特徴です。現在は、ウイルス対策の機能とEDRを1つの製品で提供するものも多くあります。
- A. 正しい。振る舞いの記録と検知、調査と対応の支援がEDRの役割です。
- B. 主に従来のウイルス対策ソフトの働きです。未知のマルウェアや、正規のツールを悪用した攻撃は見逃しやすくなります。
- C. ネットワークの境界で通信を遮断するのは、ファイアウォールやIPSの役割です。