ITやサイバーセキュリティは、時間が経つにつれて複雑化し、それを繰り返す

従来の予防的なセキュリティ対策であるファイアウォール、エンドポイント保護、アイデンティティ/アクセス管理（IAM）制御などは、もはや単体でサイバー脅威を防御することはできません。これまで、この問題を解決する論理的なアプローチは、SIEM(セキュリティ情報およびイベント管理)プラットフォームを使用して、すべてのアラートとデータを組み合わせることでした。しかし、SIEMを解決手段としている組織では、その結果、多くの管理対象から精度が大きく異なるデータの洪水が発生することがしばしばありました。そこで、さらなる進化を遂げることになったりました。それが、EDRとMDRです。

次の問題：多くのサイバーセキュリティ企業が、EDR, MDR、XDR製品を提供していると謳っています。 宣伝通りの製品に遭遇する確率は高いのですが、製品自体が少し変わっていることもあります。あなたの組織では、何を必要としているのか、次にどのセキュリティプロバイダーの製品を検討すべきかを明確にする必要があります。すでに運用しているSIEMが順調に機能している可能性は十分にありますが、同様に、社内のSOCセンターが扱う社内SIEMは、定期的にメンテナンスを必要とすることから、実際にビジネスを保護するチームのリソースを消耗させてしまうことも多々あります。最も有能なメンバーが膨大なログファイルの管理に追われることになると、彼らのモチベーションや熱意を維持することは困難です。

上記のいずれにも当てはまらないケースではMDRが有効です。オンプレミスIT、ISO27001認定の一環で満たすべき新たなセキュリティ要件、10%を超える誤検知率、および社内外からの脅威などに対しては、MDRアプローチ、特に厳格なUEBA（User Entity and Behavior Analytics）を用いたアプローチが適しています。また、熟練スタッフの雇用や維持に苦戦している場合も同様です。確実な対応、既存のITセキュリティリソースを解放する必要性、チーム能力を向上させる必要性などは、いずれもMDRが最適な選択肢であることを示す指標になります。また、脅威ハンティングの知識が組織的に蓄積されていない場合や、セキュリティチームがアラートに対応できていない場合も同様です。MDRとしては、当社のCountercept MDRや、当社のパートナー企業が提供しているマネージドEDRサービスがその目的に叶っています。組織に業界固有の要件があったり、英語以外の言語によるサービスを希望する場合には、ローカルパートナーが提供するMDRを利用するのが良いでしょう。24時間365日の監視と対応サービスが必須ではない場合も、パートナーによるマネージドサービスが適切なケースがあります。最後に、組織が攻撃を受けていない間に、セキュリティのインサイトや態勢改善の提案の着実な実践を重視する場合は、Countercept MDRが最適です。当社の脅威ハンターは、脅威の調査や攻撃者の立場で考えることに多くの時間を費やしており、これらのインサイトをお客様に届けることが彼らの仕事の一部になっています。

自社独自の検知・対応システムを構築することはとても魅力的ですが、それが最適な道なのかを見極める必要があります。自社の組織にどのアプローチが適しているか迷っているのでしたら、いつでも当社の専門家に相談してください。

中間的な位置づけとして、独力で強力なEDRを使うことに魅力を感じるのであれば、EDRが必要な理由を精査することが次の論理的なステップとなります。

最後に、Managed Detection and Responseが多くのニーズを満たしてくれると判断された場合、当社では最適なMDRプロバイダーを選択するのに役立つ14の質問をご用意しています。