インシデント対応担当者が教える「EDRはこう使う」【第2回／全3回】：検知を対応につなげる3つの設計～自動隔離・MDR・判断基準～
TrendAI™ のインシデント対応サービスの現場で得た知見から、EDRを「設計して使う」考え方を3回にわたって解説します。第2回では、自動隔離・MDR・判断基準（クライテリア）を整え、検知後の対応につなげる方法を示します。
本記事は全3回シリーズの第2回です。
第1回では、EDR（Endpoint Detection and Response）を導入していても、検知後の判断と実行が遅れれば被害を止められないという課題を取り上げました。
第2回となる本記事では、製品の操作手順ではなく、EDRをどのように設計し、運用の中で機能させるかを解説します。
・第1回：EDRを導入しても、なぜ被害が広がるのか（問題提起）
・第2回：EDRを機能させるための設計（本記事）
・第3回：侵害後、EDRをどう活かすか（封じ込めから終息宣言まで）
この事例では、攻撃者は外部接点から内部ネットワークへ侵入したのち、社内認証を管理する中枢サーバへ接近していました。EDR無効化の検知からランサムウェア実行までの時間は22分でした。
被害拡大の要因は検知漏れではなかったことはお分かりいただけるでしょう。
通知を受領してから迅速な判断や隔離を行えなかったこと、もっと言えば、対応フローと判断基準が整っていなかったことが大きく影響しました。
また、第1回では、こうした判断を的確に行うための土台として、内部ネットワークの可視化、すなわち重要資産や通信経路を把握しておくことの必要性にも触れました。
重要資産や通信経路が整理されていれば、次に説明する自動隔離や判断基準の精度も高めやすくなります。
本記事では、検知後の対応を遅らせないために、次の3点を整理します。
● 自動隔離
● MDR（Managed Detection and Response：検知・監視・初期対応を支援するマネージドサービス）サービスとの連携
● 判断基準の定義
検知→対応を自動化する仕組み
先ほどの事例では、端末隔離を自動で開始できる仕組みと、アラートの意味を見極めて次の行動を判断する体制があれば、被害拡大を抑えられた可能性があります。
検知後の対応を遅らせないためには、検知、隔離、初期トリアージ、調査・根絶の流れをあらかじめ設計しておく必要があります。
TrendAI™のセキュリティプラットフォーム「TrendAI Vision One™」を例にとって説明します。TrendAI Vision One™ のXDR（Extended Detection and Response）では、以下のフローを構成できます。
Step 1：検知
収集されたテレメトリデータをもとに、OAT（Observed Attack Techniques：観測された攻撃技術）として疑わしい挙動を検出します。
個々のOATが、そのままアラートになるわけではありません。複数のOATやテレメトリを相関分析した結果、調査対象となるアラートやインサイトが、Workbench（アラートや関連イベントを集約し、調査に使う画面）上に提示されます。
Step 2：自動隔離
「Security Playbooks」は、TrendAI Vision One™ 上で自動化ルールを定義できる機能です。事前に定義した条件に合致するアラートに対して、端末を自動でネットワーク隔離します。
たとえば、BYOVD（Bring Your Own Vulnerable Driver：脆弱性のある正規ドライバを攻撃者が持ち込む手法）や、Mimikatz※の実行検知などを条件にできます。
※Windowsのメモリから平文のパスワード、ハッシュ値、PINコードなどを収集するツール。Living Off The Land（LotL）攻撃にもしばしば悪用される。
（参考記事）
・サイバー攻撃の常套手段 BYOVD（Bring Your Own Vulnerable Driver）攻撃とは？事例から有効な対策を考える
・Living Off The Land（LotL：環境寄生型）のサイバー攻撃～正規ログの中に埋没する侵入者をあぶりだすには？
Step 3：初期トリアージ
組織のシステム・セキュリティ担当者が自動隔離後の状況を確認します。アラートの検証、業務影響の有無、追加の感染リスクを評価し、「隔離継続」か「隔離解除」かを判断します。
Step 4：調査・根絶
関連ログ・テレメトリの分析、被疑ファイル取得、稼働中プロセスの一覧から不審なプロセスの有無や実行元の調査を通じて、侵害原因と影響範囲を特定します。
調査結果に基づき、不正ファイルや永続化手段の除去、侵害されたアカウントの認証情報変更、脆弱性修正などを実施し、再発防止策につなげます。
認証情報が侵害された場合、端末隔離だけでは攻撃を止められないことがあります。このため、「Step2: 自動隔離」では、環境や製品機能に応じて、アカウントの無効化やセッションの失効、不審な通信先のブロックも組み合わせます。
担当者の判断を待たずに封じ込めを開始できる一方で、自動隔離の条件は、自組織のシステム環境や業務影響を踏まえて設計する必要があります。そのため、自動隔離は一律に適用するものではなく、一般端末、重要サーバ、認証基盤など資産の重要度や役割に応じて、即時隔離、承認後隔離、手動対応を使い分けます。
このように、「何をインシデントとみなすか」や、どのような場合に自動隔離を行うかなどの判断基準の整理については、後述の「対応プロセスと体制の整備」で詳しく扱います。
自動隔離は、封じ込めを先行させるための仕組みです。その後、担当者のトリアージで、隔離の妥当性や業務影響、追加対応の要否を確認します。
検知から対応までを実運用で回すには、自動化と人による判断の両方が欠かせません。人による判断について、自組織での対応に不安がある場合には、外部の専門家に頼ることもできます。次章では、判断や運用を外部の支援サービスで補う方法を紹介します。
MDRサービスが担う「人の判断や経験が必要なフェーズ」
先ほどの図1は、検知から対応までの全体フローを示した概要の例です。
前述のとおり、このなかでも初期トリアージでは、自動化だけでは処理しきれない判断が残ります（図2）。
前章で触れた「Security Playbooks」による自動化は、定義済みの条件に対しては有効に機能します。
ただし、次に挙げる項目は、自動化だけで完結させることが難しい領域です。
・アラート検証：アラートが攻撃を示しているのか、業務上の正常な操作なのかを見極める。
・TTP（Tactics, Techniques and Procedures：攻撃者の戦術・技術・手順）の理解：攻撃段階を把握し、次の行動を予測する。
・環境全体への影響確認：横展開の範囲や、影響を受けた資産を特定する。
・隔離継続または解除の判断：業務影響とセキュリティリスクのバランスを踏まえた意思決定を行う。
TrendAI™のMDRでは、当社のセキュリティアナリストがTrendAI Vision One™ のWorkbenchやXDR Data Explorer（テレメトリ検索）機能を使い、IoC（Indicator of Compromise：侵害指標。マルウェアのファイルハッシュ、不審な通信先IPアドレス、使用プロセス名など侵害を示す痕跡情報）を評価しながら、これらの判断を担います。
通知は、あらかじめ登録した連絡担当者に対して行います。メールでは、調査状況、隔離やファイル収集の実施有無、対象端末名に加え、組織側で判断・承認する事項を伝えます。電話通知を希望する担当者を登録しておけば、自動音声による電話連絡も併用でき、夜間や休日でも気づきやすくなります。
組織との事前合意や契約条件によっては、端末隔離などの対応そのものをMDRチームが支援できる場合もあります。担当者が不在の時間帯でも、あらかじめ合意した範囲で判断・実行を支援することで、対応の空白を減らせます。
自組織と外部専門家の役割分担
EDRを実運用で機能させるには、監視、初期トリアージ、インシデント対応について、自組織が担う範囲と、外部の専門家に支援を求める範囲を切り分けます。
・自組織が担う領域：業務影響の判断、隔離時の社内承認、復旧優先度の決定。自組織の事業や業務プロセスへの理解がなければ下せない判断です。
・外部専門家の支援を受けやすい領域：アラートの初期分析、攻撃手法の見極め、追加侵害の可能性確認、隔離継続・解除に関する技術的な判断材料の整理。専門知識と常時対応できる体制を要する領域です。
この役割分担を踏まえ、自組織にない機能をどう補うかを検討します。
支援サービスの選び方
支援サービスの選定では、次の点を整理します。
・24時間365日の監視が必要か
・初期トリアージをどこまで委任するか
・インシデント対応支援が必要か
・平時の運用改善や訓練支援が必要か
・自組織の担当者がどこまで調査を担えるか
選定の目安になるのは、専任担当者の有無だけではありません。これらを組み合わせて判断します。
当社では、この領域を支援するサービスとして、TrendAI™ Service One Essentials（S1E）とTrendAI™ Service One Complete（S1C）を提供しています。
・S1E：監視と初期トリアージを支援
・S1C：監視と初期トリアージに加え、インシデント対応支援や運用支援まで対応
専任担当者の確保が難しい中堅・中小企業では、こうしたマネージドサービスを起点に体制を構築する方法が現実的です。
ただし、自動化と監視体制を整えても、前述の「自組織が担う領域」に関わる対応手順や判断基準が曖昧なままでは、検知後の対応は安定しません。
そのため、次に対応プロセスと判断基準の定め方を見ていきます。
インシデント対応プロセスの基本要素
インシデント対応時には、様々な手順を迅速に行う必要があります。インシデントが起きてからこれらを決定・整備することは困難ですので、平時から準備しておくことをおすすめします。
・インシデント発生時の情報集約・タスク管理手順を決める
・関係者（IT担当者、経営層、法務、広報など）への通知ルートと体制を定義する
・ログ保全手順をエンドポイント、サーバ、ネットワーク機器ごとに定める
・端末隔離やネットワーク隔離の承認ルート、代替機器、業務継続方法を事前に取り決める
・対応完了後のレビューを実施し、再発防止策や対応手順へ反映する
・取引先、規制当局、ステークホルダーなど、必要に応じた外部報告フローを整備する
各フェーズの判断基準（クライテリア）定義
また、対応プロセスを整えるだけでは、判断の速さは変わりません。事象の深刻度判定、隔離の発動、終息の宣言という各フェーズで、何を基準に判断するかも定めておきます。
最初に整理すべきなのは、どのような事象をどのぐらいの深刻度のインシデントとして扱うかという基準です。
判断基準が曖昧なままでは、アラートが上がっても具体的な対応につながりません。
判断基準の例を見てみましょう。以下はあくまでも一例ですので、実際の基準は、自組織の業務影響、システム構成、重要資産、運用体制などに応じて調整してください。
重大度の段階数や名称に業界統一の基準はなく、各組織が自社の業務影響に応じて定義するのが一般的です。
本記事では説明のため、4段階（情報・注意・警戒・重大）の例を用います。
・レベル1（情報）：影響が確認されておらず、確信度が低い、または参考情報として記録・定期確認を行う事象
・レベル2（注意）：不審だが単独では侵害と断定できず、担当者による確認が必要な事象
・レベル3（警戒）：侵害の可能性が高く、速やかな確認が必要な事象
・レベル4（重大）：侵害がほぼ確定、または実害が生じつつあり、即時に隔離対応が必要な事象
上図の例のような判断基準のなかでも、まず取り組むべきは、隔離を発動する条件の整理です。これを1つ定義しておくだけでも、夜間や休日であっても初動の迷いを減らせます。また、こうした判断基準の整備は属人化を防ぐ効果もあります。担当者個人の経験に依存せず、仕組みで初動を支える状態を作ることが、組織整備の要点です。
重要なのは、アラートが上がった後に判断を始めるのではなく、判断できる状態を平時に作っておくことです。
まとめ
EDRを実運用で機能させるには、次の3点を切り離さずに整えます。
・自動隔離：人の判断を待たずに封じ込めを開始する仕組み
・MDRサービスとの連携：自動隔離だけでは完結しにくい判断を補う専門アナリストによる支援
・判断基準（クライテリア）の定義：何をインシデントとみなし、どの条件で隔離・継続・解除するかの事前合意
まずは現状を棚卸しし、この3点を構築することが、EDR運用の改善につながります。
このようにEDRの運用設計を見直すことは、EDR単体の改善にとどまりません。
EDRは、XDRの基盤にもなります。XDR基盤を活用することで、EDRで得た検知・調査の仕組みを、ネットワーク、クラウド、メールなど他の領域へ広げやすくなります。
これにより、EDR単体では捉えにくい外部接点経由の侵入や、複数領域にまたがる攻撃活動の把握につながります。
この横断的に確認する視点は、侵害後にどこまで被害が及んだかを判断する場面でも生かせます。
次回（第3回）は、万が一の侵害が起きた後に、隔離した端末をどう調査し、どの条件で終息を判断するかを、インシデント対応の実務の視点から解説します。
執筆者
秋保 陽介
トレンドマイクロ株式会社
アドバンストサイバーディフェンスグループ
Incident Response Consultant
トレンドマイクロ インシデントレスポンスチーム所属。インシデントハンドラー／フォレンジックアナリスト。サイバーセキュリティ分野で13年以上の実務経験を持ち、マルウェア分析、脅威インテリジェンス、インシデント対応を専門とする。リージョナルトレンドラボでの脅威対応、法人顧客向けテクニカルアカウントマネージャーとしてのセキュリティ運用支援を経て、現職に至る。
