インシデント対応担当者が教える「EDRはこう使う」【第3回／全3回】：侵害後、EDRをどう活かすか～封じ込めから終息宣言まで～

本シリーズについて：EDRを活用するための実践知

EDR（Endpoint Detection and Response）は、ただ導入するだけでは被害を止められないこともあります。EDRがその効果を十分に発揮するには、EDRそのものだけでなく、組織における対応フローや判断基準の整備などが伴います。そのような、EDRを設計して使うための考え方を3回に分けて解説しています。

・第1回：EDRを導入しても、なぜ被害が広がるのか（問題提起）
・第2回：EDRを機能させるための設計（自動隔離・MDR・判断基準）
・第3回：侵害後、EDRをどう活かすか（本記事）

第1回では、EDRを導入していても、検知後の判断と実行が遅れれば被害を止められないことを明らかにしました。
第2回では、その遅れを減らすために、自動隔離、MDR、判断基準の整備を組み合わせてEDRを機能させる設計を扱いました。
第3回となる本記事では、侵害後の端末調査から終息宣言までの判断軸を、インシデント対応の実務の視点から整理します。

封じ込めから終息まで：セキュリティ担当者の判断軸

EDRが侵害を検知し、端末が隔離された後、対応は完了ではなく、次の判断段階に移ります。
ここでは、封じ込めから終息までの間に、セキュリティ担当者が持つべき判断軸を整理します。
この段階で重要なのは、事象を説明することだけではありません。
次に取るべき行動を決めることです。

隔離直後に問うべき3つのこと

端末隔離は対応完了を意味しません。むしろ、ここから本格的な判断が始まります。
端末を隔離した直後にセキュリティ担当者が問うべき問いは、以下の3つです。

①この端末だけか？
─ 横展開の有無を確認し、封じ込め範囲を決定します。
②残存脅威はないか？
─ 攻撃が現在進行中か実行済みかで優先度が変わります。
③隔離による業務影響は何か？
─ 隔離対象の端末やシステムが担う業務を把握し、自組織の意思決定者と認識を合わせます。

これら3つの判断を支える材料の一つが、EDRで取得したテレメトリです。
XDR基盤の検索機能を用いて端末をまたいで、次のような観点で横断的に確認することが、封じ込め範囲の確定につながります。当社のTrendAI Vision One™のXDR Data Explorer（テレメトリ検索機能）がこれに該当します。

・隔離した端末のEDRログが、直近でどのような活動を示しているか
・同一の不審プロセスが、他の端末でも動いているか
・攻撃者が使用したアカウントが、他の端末でも使われているか

①この端末だけか？横展開範囲の確定の確認方法

「侵害されたのはこの端末だけか」を確認するには、横展開（ラテラルムーブメント）の範囲を明らかにします。
この範囲確定は、インシデント対応で時間を要する判断の一つです。
外部接点から内部ネットワークへ侵入された場合、攻撃者が到達した端末やサーバを早期に把握できるかが、封じ込め範囲の判断を左右します。この判断を誤ると、終息したと判断した直後に、再侵入やマルウェアの再実行を招くおそれがあります。

横展開範囲を確定するには、主に2つのアプローチがあります。
●アプローチA：最初に侵害された端末を起点に、認証、通信、プロセス実行を時系列で追跡する方法。
●アプローチB：攻撃者が使用したツール、アカウント、通信先などのIoC（Indicator of Compromise：侵害指標）を環境全体で照合する方法。

実際の調査では、この2つを組み合わせて用いるのが一般的です。
加えて、IoCはIPアドレスやハッシュ値の変更、正規ツールの悪用（環境に存在する正規の管理ツールを悪用する手法）によって隠蔽される場合があるため、攻撃者のTTP（Tactics, Techniques and Procedures：戦術・技術・手順）、使用アカウントの認証動作、管理ツールの不審な利用などを仮説に基づいて確認する方法も併用します。

その際、端末上の挙動をIoC・TTPで照合できる範囲は、EDRが導入されている資産に限られます。それ以外の資産については、ネットワークや認証基盤のログで補完します。

そのため、管理対象資産のうちEDRをどこまで展開できているかが前提になります。
EDR未導入の資産や、EDRを導入できない資産は監視が及ばない領域となり、侵害範囲の確定が困難になります。
VPN装置、ファイアウォール、NASなどのネットワーク機器やアプライアンス製品は、ベンダ提供の専用OSで動作するため、EDRエージェントを導入できません。仮想化基盤やOT機器、サポートが終了したOSも同様です。
これらの資産は、別のログ経路で補完する対象として平時に洗い出しておきます。
あわせて、コンテナや起動と停止を繰り返すクラウドインスタンスのように、エージェントを導入できても端末自体が短時間で失われる資産は、クラウド側の監査ログや、隔離前の証跡保全であらかじめ補完方法を決めておきます。

②残存脅威はないか？終息宣言を出せる条件の考え方

「残存脅威はないか」を確認する先にあるのが、「いつ終わりにするか」という判断です。
終息宣言は、インシデント対応の中でも特に悩ましい判断の一つです。

対処が不十分なまま復旧を宣言すれば、再発のリスクがあります。
一方で、終息判断を先送りし続ければ、自組織の基幹システムを利用できない状態が続き、事業継続に影響します。

終息宣言は、印象や雰囲気で決めるものではありません。
次の事項について、利用可能なログと証跡の範囲で合理的な確度をもって確認します。
つまり、すべてを解明できない場合でも、何が分かっていて、何が未確認で、どのリスクが残っているかを示したうえで判断します。

・侵入原因・初期侵入経路の確認：どこから、どのような条件を悪用して侵入した可能性が高いか。
・侵入経路の封鎖：同じ経路から再侵入できない状態になっているか。
・侵害範囲の評価：影響を受けた端末・アカウント・データと、調査で特定できなかった範囲が整理されているか。
・残存リスクの評価：インシデントの影響と残存リスクに応じて定めた強化監視期間において、不審な通信・プロセス・認証が観測されておらず、未排除の認証情報や永続化手段がないか。

また、終息宣言は、セキュリティ担当者だけで完結する判断ではありません。
業務を再開できる時点と、終息宣言を出せる時点は必ずしも一致しません。業務再開後も一定期間の監視を継続したうえで、未解明事項と残存リスクを明示し、経営・管理層が関与して終息宣言を判断します。

(参考記事)
・インシデントからの復旧に必要な3つのポイントを解説
※この参考記事では、インシデントからの復旧に必要なポイントとして、①初期侵入口の特定と対処、②観測された攻撃手法への対処、③再発がないかどうかの監視、の3点を示しています。本記事の終息宣言は、この3点に、侵害範囲として特定できなかった領域の整理と、残存リスクの明示を加えて再構成しています。

③隔離による業務影響は何か？自組織の関係者との情報共有の原則

「隔離による業務影響は何か」を確認するには、技術的な調査結果だけでなく、その影響を自組織の関係者と共有し、判断に必要な認識をそろえておきます。

インシデント対応では、技術的な調査と自組織の関係者（経営層・事業部門・法務・広報など）とのコミュニケーションが同時に進みます。
以下の点が、対応を円滑に進めるうえで有効です。

・確定した事実と推定を分けて伝える。
・「わからないこと」は正直に伝え、その理由や回答時期を明示する。
・隔離継続・解除など意思決定が必要なタイミングを事前に伝える。
・「今何をやっていて、いつ終わるか」を関係者と常に同期する。

セキュリティ担当者は、技術調査の結果を関係者が判断できる形に整理する役割を担います。
確定した事実、推定、未確認事項を分けて共有することで、経営層や関係部門が次の判断をしやすくなります。

その判断を支える根拠になるのが、EDRのログです。

調査ログとしての価値：EDRログが調査の精度を左右する

EDRが活用できる場面は、リアルタイム対応だけではありません。
インシデント後に被害範囲を説明し、再発防止策の根拠を示すうえでも、EDRログは重要な情報になります。

終息宣言、経営層への報告、社外への説明責任、事業継続の判断は、いずれもEDRログに支えられます。実際の判断では、これに加えて認証、ネットワーク、クラウド、業務システムなどの情報も組み合わせます。

調査で事象を再構成できるかは、EDRログがどこまで残っているか、どの粒度で取得できているかに大きく左右されます。

EDRログの品質が調査の精度を左右する3要素

①展開範囲：
EDRが導入されていない端末は、監視の空白地帯になります。
攻撃者がその端末を経由していた場合、横展開の記録が途切れ、侵入経路の再構成が不完全になる可能性があります。
②テレメトリの粒度：
プロセスの親子関係・コマンドライン引数・ネットワーク接続先まで取得できているかが調査の解像度を決めます。
③ログ保持期間：
攻撃者の潜伏期間（Dwell Time）が長い場合、保持期間が短いと初期侵入時の記録が失われる可能性があります。当社が対応した事例では、初期侵入からランサムウェア実行まで3週間以上を要したケースがあります。

当社が対応したインシデントでも、イニシャルアクセスブローカー（Initial Access Broker：企業への侵入経路を売買する攻撃者）が確保した侵入経路が、数か月後に別の攻撃者によって悪用され、その後、数日以内にランサムウェアが実行されるケースを確認しています。このように、侵入経路が確保された時点と、実際に被害が顕在化する時点には時間差が生じる場合があります。

個人情報保護委員会が公表した資料（個人情報保護法サイバーセキュリティ連絡会取りまとめ）では、調査に必要なログについて、少なくとも1年程度保管することが望ましいとされています。
あわせて、ログのすべてを常時オンラインで即時検索できる状態に置く必要はなく、保管期間や用途に応じて、古いログを外部記憶媒体やクラウドストレージへアーカイブする方法も有効だとされています。また、JPCERT/CCの資料でも、高度サイバー攻撃への対処において、ログの活用と保存の重要性が示されています。
EDRログについても、筆者は可能な限りこの1年程度という目安に整合させることを推奨します。
製品仕様やコストの制約により、すべてのログを長期間オンラインで保持できない場合は、直近3か月から6か月程度を即時検索可能な状態に置き、それ以前のデータを外部ストレージなどへアーカイブする設計が現実的な選択肢になります。保持期間は、攻撃者の潜伏期間、法令、契約、プライバシー上の要件を踏まえて組織ごとに決定します。

（参考記事）
・個人情報保護委員会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」
・JPCERT/CC「高度サイバー攻撃への対処におけるログの活用と分析方法」

EDRログを補完する調査経路

インシデント対応では、端末・EDRログが調査の中心になります。ただ、攻撃者はEPPやEDRなどの対策製品の無効化を試みる場合があります。
第1回で紹介した事例でも、EDRの停止を検知した通知が、ランサムウェア実行前の最後の警告になりました。無効化の試行そのものは検知できても、無効化された後の活動はEDRのログには記録されないため、その間に何が起きたかは別のログでしか追えません。万一の有事に、EPPやEDRの検出だけをもとにした調査方法に依存しないよう、ネットワークログや保全手段も平時から準備しなければなりません。

EDRログが不完全な場合でも、別のログや証跡を組み合わせることで、失われた記録や不足している視点を補える場合があります。
その場合は、ファイアウォールログ、ネットワークフローログ、プロキシログ、認証ログ、VPNログ、IT資産管理ツールのファイル操作・持ち出しの記録などを組み合わせて調査を補完します。
これらのログは、確認したい観点に応じて、通信、認証の動き、ファイル操作や持ち出しの確認に整理できます（下図参照）。
これらはEDRログの完全な代替ではありません。あくまで、調査範囲を補完するための手段です。

端末フォレンジックとネットワークログを突合する

ここでは、EDRログを補完する調査の具体例として、端末フォレンジックとネットワークログを突合する考え方を示します。たとえば、内部からの情報持ち出しが疑われる場面では、端末側の記録だけで外部への送信有無を判断することは困難です。

対象ファイルへのアクセス履歴や、圧縮ツールの実行履歴は、端末フォレンジックで確認できます。
生成された圧縮ファイルについては、MFT（Master File Table）からサイズやタイムスタンプを、USNジャーナル（ファイルの追加・変更・削除を記録する変更履歴）から生成・更新・削除の履歴を確認できる場合があります。

当社のTrendAI Vision One™が備えるForensics機能では、ファイルアクセスのタイムライン、ネットワーク通信情報、ユーザー活動、イベントログといった、通常のテレメトリでは取得しづらい端末アーティファクトを個別に収集できます。収集した証跡を基に、調査のタイムラインを構築します。

あわせて、送信バイト数を取得できる構成では、情報持ち出しが疑われる時間帯のプロキシログやネットワークログを照合し、外部サイトへのアップロードにおける送信データサイズを確認します。
端末側で特定した圧縮ファイルのサイズと、ネットワーク側で記録された送信データサイズが近ければ、「圧縮したファイルが外部へ送信された」という一連の流れを裏付ける材料になります（下図参照）。
なお、通信経路によっては、暗号化や分割送信の影響でサイズが完全には一致しない場合があります。その際は、操作時刻と通信時刻の近接性もあわせて評価します。
ただし、ファイルサイズと送信データサイズの近似は、情報持ち出しの可能性を高める状況証拠であり、同一ファイルが送信されたことを単独で確定するものではありません。

ログの限界と証跡保全

ここまで、万一のインシデント時におけるEDRログの有効性について、その補完方法も含めて説明しました。続いて、さらに留意しておきたい点を述べておきます。

まず、前述のとおり、ログの保持期間を過ぎると、補完的なログを集めても追跡できる範囲には限界があります。そうすると、初期侵入の時期や経路を特定できなくなるケースもあり、経営層や関係部門、取引先、規制当局などから「なぜ初期侵入時の記録がないのか」と問われることがあります。その際の説明が「設計時に保持期間を定めていなかった」では、事後の説明責任を果たせません。

また、ファイルレス攻撃やメモリ上の活動が疑われる場合があります。これは、攻撃者が実行ファイルをディスクに置かず、メモリ上だけでプログラムを動かす手法です。この場合、ディスク上に実行ファイルが残らないため、通常の調査では活動を追いにくくなります。攻撃の実体はメモリ上にしか存在せず、端末を再起動する、または電源を切ると失われます。
そのため、稼働中にメモリダンプ（メモリ上のデータをそのままファイルとして書き出す取得方法）を実施し、実行中のプロセスや通信先の情報を保全する方法があります。なお、フォレンジック調査を予定している端末では、電源オフや再起動を避ける点が、個人情報保護委員会の資料でも示されています。

実務の観点から解説すると、端末の電源を切らず、ネットワークから切り離します。第2回で扱ったネットワーク隔離は、通信のみを遮断する対応です。端末は稼働したままのため、攻撃者の通信を遮断して横展開を止めながら、メモリ上の情報と端末上の記録を保持できます。
隔離後に、メモリダンプの取得やディスクイメージの保全まで実施するかは、インシデントの性質によって変わります。
実施の可否と手順も、平時のうちに決めておきます。組織の規模や対応体制に応じて、フォレンジック調査を実施できる体制を自組織で整えるか、あるいは、外部のインシデント対応サービスを利用できるよう、契約を結んだり連絡手順を整えたりしておきます。

さらに、訴訟や当局への報告などの法的対応が想定される場合は、EDRログだけでなく、ディスクイメージ取得などの証跡保全も早期に検討します。
なお、証跡を取得する際は、取得対象、取得日時、取得者、使用ツール、ハッシュ値、保管先を記録し、複製元のデータとの同一性を担保できる状態で保管します。

以上を踏まえて、平時のうちから、次の点を確認しておきましょう。
・EDRを導入可能な管理対象資産にすべて展開されているか
・EDR未導入・導入不可能な例外資産を把握しているか
・調査に必要な粒度でログを取得できているか
・潜伏期間を見込んだログ保持期間を確保できているか
・VPN、ファイアウォール、プロキシ、認証基盤など、EDR以外のログを保全できるか
・インシデント発生時に、フォレンジック調査を支援できる体制があるか
・調査結果に基づき、終息を判断するための確認項目が定義されているか

これらを平時に整えておくことで、侵害後に何が起きたのか、どこまで影響があったのかを説明しやすくなります。
また、終息判断に必要な根拠を整理しやすくなります。

まとめ

本シリーズを通じて伝えたかったことは、1つです。
EDRをただ導入するだけでは、組織を守れません。

全3回を通じて、EDRを「設計して使う」ために必要な要素を整理してきました。
第1回では、EDRを導入していても被害が広がる要因を整理し、体制整備と内部ネットワーク可視化の必要性を示しました。
第2回では、検知後に必要な対応を遅らせないための自動隔離やMDRの有効性、判断基準の必要性を整理しました。
第3回では、侵害後の判断軸と、調査を支えるログ設計を解説しました。

まとめると、本シリーズでいう「設計して使う」とは、これら3回で扱った体制整備、自動隔離設定、MDR導入、判断基準整備、そして判断軸の整理とログ設計を、平時のうちに行っておくことなのです。
EDRを実質的な防御基盤として機能させるには、これらを切り離さずに整えることが条件になります。

さらに一歩踏み込むと、「設計して使う」状態は、一度で完成するものではありません。攻撃者が使用するツールや通信先、EDRの回避手法などは入れ替わり、自組織のIT資産や業務環境も変化していきますので、継続的な見直しとアップデートが必要です。

インシデントを経験した組織は、その対応を振り返ることで、次の備えにつなげられます。あるいは、インシデント対応の経験有無にかかわらず、机上演習や訓練を通じて、対応プロセスとログ設計を定期的に見直すこと、つまり、訓練、見直し、改善を重ねることで、EDRを十分に活用できるようになり、それが組織の対応力として定着していきます。

インシデント対応担当者が教える「EDRはこう使う」(全3回)

【第1回】
EDRを導入しても被害が広がるのはなぜ？

第1回を読む

【第2回】
検知を対応につなげる3つの設計
～自動隔離・MDR・判断基準～

第2回を読む

（関連記事）
インシデントからの復旧に必要な3つのポイントを解説

執筆者

秋保陽介

トレンドマイクロ株式会社
アドバンストサイバーディフェンスグループ
Incident Response Consultant

トレンドマイクロインシデントレスポンスチーム所属。インシデントハンドラー／フォレンジックアナリスト。サイバーセキュリティ分野で13年以上の実務経験を持ち、マルウェア分析、脅威インテリジェンス、インシデント対応を専門とする。リージョナルトレンドラボでの脅威対応、法人顧客向けテクニカルアカウントマネージャーとしてのセキュリティ運用支援を経て、現職に至る。