日本語
メニュー

EDR(Endpoint Detection and Response)とは

いーでぃーあーる

Endpoint Detection and Responseの略。PCやサーバなどの端末(エンドポイント)で起きたプロセスの起動、ファイルや設定の変更、ネットワークの通信などを記録し続け、不審な振る舞いを検知して、調査と対応(端末の隔離、プロセスの停止など)を支援するセキュリティの製品。既知のマルウェアのファイルを見分ける従来のウイルス対策ソフトと違い、侵入を完全には防げないことを前提に、侵入後の活動を見つけることを目的とする。

「EDR(Endpoint Detection and Response)」は、2分野の7問の練習問題に出てきます(サイバー攻撃と防御の実務, 情報セキュリティの基礎など)。

この用語の分野: サイバー攻撃と防御の実務

何を記録するか

プロセスの起動と親子関係、コマンドの引数、ファイルや設定の変更、ネットワークの接続、ログオンなどを、端末に入れたエージェントが記録して管理サーバに送ります。これにより、「メールの添付ファイルからスクリプトが起動され、外部と通信した」といった一連の流れを、後からたどれます。

検知と対応

既知の攻撃の手口に合うルール、振る舞いの分析、脅威インテリジェンスとの照合などで検知します。検知した後は、遠隔から端末をネットワークから隔離する、プロセスを止める、ファイルを隔離する、といった対応を管理画面から行えるので、SOCの分析者が被害の広がりを素早く抑えられます。

XDRとMDR

端末だけでなく、メール、ネットワーク、クラウド、IDの情報まで合わせて分析する製品は、XDR(Extended Detection and Response)と呼ばれます。また、EDRの監視と分析を外部の専門の事業者に任せるサービスはMDR(Managed Detection and Response)と呼ばれ、24時間の体制を自前で持てない組織で使われています。

EDR(Endpoint Detection and Response)の練習問題に挑戦

従来のウイルス対策ソフトと比べた、EDR(Endpoint Detection and Response)の特徴として正しいものはどれか。

  1. A端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する
  2. B既知のマルウェアのファイルの特徴と一致するかだけを調べて、一致したファイルを削除するが、振る舞いは記録しない
  3. C端末ではなくネットワークの境界に置いて、外部から届くパケットを、IPアドレスとポート番号をもとに遮断する
答えと解説を見る

正解：A. 端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する

従来のウイルス対策ソフトは、主にファイルを既知のマルウェアの特徴と照らし合わせ、侵入を入口で防ぐことを目的にしています。EDRは、侵入を完全には防げないことを前提に、端末で起きたプロセスの起動、ファイルや設定の変更、ネットワークの通信などを記録し続け、不審な振る舞いを検知します。記録をさかのぼって侵入の経路や影響の範囲を調べたり、遠隔から端末をネットワークから隔離したり、不審なプロセスを止めたりできるのが特徴です。現在は、ウイルス対策の機能とEDRを1つの製品で提供するものも多くあります。

よくある質問

EDRを入れれば、ウイルス対策ソフトは要りませんか?

役割が違うので、多くの場合は両方を使います。ウイルス対策ソフト(EPP)は既知のマルウェアを入口で止め、EDRはすり抜けた攻撃を見つけて対応します。現在は、1つの製品で両方の機能を提供するものも多くあります。

EDRを入れるだけで安全になりますか?

EDRは警告と記録を出す道具なので、それを見て判断し、対応する人と手順が必要です。警告を確認する体制がないと、検知されていても対応が遅れます。自前の体制が難しい場合は、MDRのような外部のサービスを使います。

解説の中の「EDR(Endpoint Detection and Response)」

「EDR(Endpoint Detection and Response)」が出てくる問題(7問)

  1. 従来のウイルス対策ソフトと比べた、EDR(Endpoint Detection and Response)の特徴として正しいものはどれか。
  2. ゼロデイ攻撃の説明として正しいものはどれか。
  3. 社内のネットワークの通信の記録を調べたところ、次のような通信が見つかった。マルウェアが外部の指令サーバ(C2サーバ)と通信している疑いが最も強いものはどれか。
  4. 侵入した攻撃者が、独自のマルウェアをできるだけ使わずに、PowerShellやWMI、標準のリモート管理の機能など、もともとOSに入っている正規のツールで活動する手法を「環境寄生型(Living off the Land)」と呼ぶ。この手法への対策の考え方として、最も適切なものはどれか。
  5. セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。
  6. 2020年12月に発覚したSolarWinds社の事件では、IT管理用のソフトウェアのビルドの環境に攻撃者が入り込み、正規の更新プログラムに不正なコードが混ぜられた。この更新は、開発元の正規のコード署名が付いた状態で配布された。この事件から得られる教訓として、最も適切なものはどれか。
  7. ある組織で起きた4件のインシデントについて、発生から検知までの時間と、検知から封じ込めまでの時間は、件1が10時間と4時間、件2が30時間と2時間、件3が2時間と6時間、件4が6時間と4時間だった。発生から検知までの平均時間(MTTD)と、検知から封じ込めまでの平均時間(MTTC)の組み合わせとして、正しいものはどれか。

サイバー攻撃と防御の実務の参考書を探す PR

Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。

この用語が出てくる比較

関連する用語

ゼロデイ攻撃 引数 SIEM(セキュリティ情報イベント管理) セキュリティオペレーションセンター サプライチェーン攻撃 中央値 IoC(侵害の痕跡) インシデントレスポンス SBOM(ソフトウェア部品表) サイバーキルチェーン

用語集の一覧へ