Iona Catholic Secondary School

TrendAI™ Apex Oneが、マルウェアやランサムウェア、悪意のあるスクリプトといった巧妙化するサイバー攻撃から、エンドポイントを確実に防御できる点に高い信頼を寄せています。

本ソリューションは、エンドポイントの保護に不可欠な予測型機械学習とふるまい監視機能を備えています。ファイルスキャン時にはメモリ内のマルウェアも検知し、ふるまい監視機能により異常な暗号化プロセスを早期に検知できるため、ランサムウェア攻撃の被害を未然に防ぐ上で極めて効果的です。

トレンドマイクロ製品同士の優れた連携が、運用効率の大幅な向上に貢献しています。すべてのTrendAI™ Apex OneサーバはApex Centralに接続され、現在はTrendAI Vision One™ コンソールに統合して運用しています。オンプレミス環境とMicrosoft Azureの連携もスムーズに実現しました。

脅威の検知からスレットハンティング（脅威ハンティング）、インシデントの調査まで、Apex Centralの統合ダッシュボードで一元的に対応しています。単一コンソールによるエンドポイント全体の可視化は、セキュリティ運用において非常に重要です。ダッシュボード上では、サイバー攻撃の検知状況が即座に可視化されます。たとえば、SaaS版のTrendAI™ Apex Oneにアクセスすると、接続中のすべてのエージェントが一覧表示されます。当組織は教育機関であるため、夏季休業期間中は稼働率が低下し、開校している学校や現場スタッフも限定的となります。全体で12,000人の教職員と80,000人の生徒を抱えていますが、学期中のように全員が常にネットワークに接続しているわけではありません。新学期が始まる9月の連休明けには、全ユーザが一斉にオンラインへ復帰します。現在ダッシュボードには9,140台のエージェントが表示されていますが、先週時点では6,400台でした。リソースの最適化を図るため、存在しないシステムに対する不要なスキャンを回避すべく、非アクティブなエージェントは自動的に削除するよう設定しています。過去には最大17,000台のエンドポイントをシステム上で管理・保護した実績があります。

現在、TrendAI Vision One™ は「TrendAI Vision One™ - Workload Security」およびクラウド環境全体を監視しています。これにより、各システムからテレメトリデータを収集し、組織全体のセキュリティ態勢を包括的に把握できるようになりました。TrendAI Vision One™ のコンソールを開くだけで、組織全体のリスク状況が可視化されます。構成としては、Syslogサーバへのデータ送信や、Qualysサーバからのデータ受信を行っています。Qualysサーバがサーバの脆弱性をスキャンし、その結果をTrendAI Vision One™ へレポートする仕組みです。さらに、Service GatewayやWorkload Securityのデータセンターゲートウェイも導入しました。これにより、VMware ESXサーバからTrendAI Vision One™ へデータが連携され、稼働中の仮想マシン（VM）、TrendAI Deep Security™ エージェントが実行されているVM、オンプレミスのDeep Security™ サーバで管理されているVMなど、各仮想環境のリアルタイムな状態を正確に把握できます。TrendAI Vision One™ は、リスクやエクスポージャ（露出）、攻撃の概要をダッシュボード上で提供し、認証情報へのアクセス、ラテラルムーブメント、データの収集や影響、さらには不審なメール転送ルールの詳細など、サイバー攻撃の兆候を早期に検知・対処する上で不可欠なインサイトをもたらします。

Microsoft 365向けのAzure環境とオンプレミスのAD（Active Directory）もTrendAI Vision One™ に統合されています。これにより、Azure環境およびオンプレミスADへのすべてのログイン試行を監視可能になりました。オンプレミスのドメインコントローラでエージェントを稼働させているため、これらのログデータもTrendAI Vision One™ に連携され、Azure環境やDMZ環境全体に対する可視性も確保しています。重大なインシデントの兆候を検知した際にはアラートメールが通知されますが、運用開始以降、深刻なインシデントを示すメールは受信していません。一方で、脅威ファイルが隔離されたエンドポイントに関する通知は適切に受信できています。あるケースでは、エンドポイント上の隔離ファイルがメインサーバへ移動するにはサイズが大きすぎたため、TrendAI Vision One™ 上で小規模なエラーメッセージが表示されるにとどまりました。現在、エンドポイント保護のダッシュボード上では、全19,678台のエンドポイントのうち、Macを含む13,675台にエージェントが展開されていることが確認できます。ダッシュボードにはService Gatewayとして機能する1台のLinuxエンドポイントも表示されています。Mac搭載のエンドポイントは882台ですが、現在はすべてが稼働しているわけではないため、通常時の1,100台より少ない数値です。Windowsエンドポイントは12,792台です。また、セキュリティ保護が適用されていないエンドポイントが6,003台あることも示されていますが、これらにはネットワーク機器や特定のLinuxサーバ、他部門が運用する独自のOSなどが含まれていると推測されます。電源がオフになっているシステムも含まれます。シグネチャなどのアップデートは1時間ごとに適用されます。万が一脆弱性を突くエクスプロイトが到達し、エンドポイントが未更新であった場合でも、次のサイクルで速やかにアップデートを受信します。アップデートを受信できない主な要因はネットワーク障害かコンピュータの電源オフですが、オンラインに復帰すればサーバから最新のセキュリティアップデートを自動取得するよう構成しています。オンプレミス環境と通信できない場合は、インターネット経由でトレンドマイクロのアップデートサーバから直接取得し、迅速にコンポーネントを最新化します。脅威が検知された場合、エンドポイントは即座にファイルを隔離し、悪意のあるプロセスをブロックします。仮想パッチ、ふるまい監視、予測型機械学習の多層防御により、異常なアクティビティはすべて遮断されます。これには業務上必要な正当なプロセスが含まれるケース（過検知）もあります。実際、IT部門から「ウイルス対策ソフトがブロックするため必要なソフトウェアをインストールできない」という報告を受けたこともありました。組織内には独自にサーバ保守を担うグループが存在し、要件のアップグレード時にのみ、一時的に保護機能を無効化するスケジュールを組むケースもあります。万一、Webレピュテーション機能で検知されずユーザにマルウェアがダウンロードされた場合でも、シグネチャベースのマルウェア対策機能によって検知されます。さらにこれらをすり抜けた場合であっても、ボットがC&Cサーバへ接続を試みた段階で通信をブロックできます。これらの通信先は脅威アクターが管理するサーバであることが多いため、接続を遮断することでボットは機能不全に陥ります。多数の通信ブロックが確認された場合は、システムを調査して根本原因を特定します。調査の結果、システムによってブロックされた通信が正当なアクティビティであったと判明することも多くあります。例えば、特定のサーバで実行されるカスタムスクリプトが疑わしいと判定されるケースです。こうしたスクリプトは、手動で許可リストに追加することで正常に実行可能となります。全体として、本ソリューションは厳格な保護を提供するよう設計されています。マルウェアの侵入を許すリスクよりも、正当なプロセスを一時的にブロックする方が安全上のメリットが大きいためです。過検知であれば後から設定を修正できますが、一度発生したセキュリティ侵害（情報流出など）を収束させることは極めて困難だからです。

私は2020年8月にTrendAI™ Apex Oneの運用を開始しました。エージェントの移行やソフトウェアの展開、サーバへのエージェント配置方法について、公式ドキュメントやナレッジベース、フォーラム、そして他のユーザからの知見を通じて習得しました。サイバーセキュリティという高度な専門領域に特化しているため、一般的な管理ソフトと比較すると、独自の用語や概念に対する深い理解が求められます。特にスキャン設定などのチューニングには専門知識が必要でしたが、トレンドマイクロが提供するベストプラクティスガイドを活用することで、サーバやコンピュータに最適な設定手法を学ぶことができました。例えば、通常Microsoft Officeがインストールされていないサーバ環境では、Officeドキュメントの脆弱性を狙う攻撃に対するスキャン要件を除外するなど、リソースの最適化が可能です。また、セキュリティ強度とシステムパフォーマンスのバランスを最適に保つことの重要性も理解しました。過剰なスキャンによるサーバのパフォーマンス低下は避けるべきですが、不可欠なセキュリティチェックを妥協してはなりません。2021年1月にはセキュリティポリシーを改定し、ユーザに対しては、システム上の軽微な不具合が生じた場合でも迅速にIT部門が解決する体制を周知しています。万一サイバー攻撃によってサーバが侵害され、バックアップからの復旧に数日を要する甚大なリスクを考慮すれば、厳格なセキュリティ設定に起因する些細な課題に日々対処する方が、組織として遥かに望ましい選択であると確信しています。

TrendAI™ Apex Oneは、システムの脆弱性が攻撃者に悪用される前にネットワークレベルで防御する「仮想パッチ」機能（脆弱性対策機能）を提供しています。これは、Deep Security™ やWorkload Securityにおける「侵入防御（IPS）」機能と同等の堅牢なセキュリティ機能であり、正規パッチ適用までの無保護期間におけるリスクを劇的に低減します。