検知と対応のマネージド サービス(MDR)とは

MDRの仕組み：脅威の検出、対応、修復についての解説

MDRでは、疑わしい兆候を見つけるために、行動分析と自動監視を組み合わせてデジタル環境を継続的にスキャンし、脅威パターンの可能性を特定します。セキュリティ オペレーション センター(SOC)の専任アナリストがこの兆候を評価し、リアル タイムで異常の調査を行います。最終的には、調査結果に基づいて迅速な封じ込め戦略と修復計画が実行されます。

こうした予防的アプローチを実践する、MDRサービスの4つの基本機能を以下で説明します。

1. 脅威の検出と対応：高度なツールが大量のデータを精査し、悪意のある行動のわずかな兆候を検出します。このデータには、エンドポイント セキュリティ ログ、ネットワーク トラフィック、さまざまなセキュリティ情報とイベント管理(SIEM)フィードなどが含まれます。
2. 調査と検証：疑わしい活動にフラグが付けられた後、SOCアナリストはそのコンテキストと重大度を調査し、新たな脅威であるか誤検知であるかを判断します。このステップでは、正確性を確保するために脅威インテリジェンスが重要な役割を果たします。
3. 修復と封じ込め：特定されたものが本物の脅威であると判明した場合、MDRソリューションが侵害を封じ込めてリスクを軽減するための迅速な対策を実行します。このステップには、感染したエンドポイントの隔離やポリシーの調整などが含まれます。
4. 報告とガイダンス：インシデントが封じ込められると、組織には脅威の原因、影響、推奨されるフォローアップ アクションを概説した詳細なレポートが提供されます。ガイダンスには、将来同様の攻撃を防ぐための予防的な脅威ハンティングが含まれる場合もあります。

MDRは社内のセキュリティ部門を補完する形で機能し、セキュリティ管理をより包括的にサポートすることで、24時間体制の監視の負担を軽減します。さらに、テクノロジー、専門知識、プロセスの融合を通じて、セキュリティ インシデントによる甚大な影響を防ぎ、企業が本来の業務に集中できる環境を提供します。

サイバーセキュリティにおいてMDRが重要な理由

MDRセキュリティが不可欠なのは、これにより企業が、巧妙化が進むサイバー攻撃に対抗し、警戒を怠らないセキュリティ態勢を維持できるようになるからです。高度なツールと専門知識を組み合わせているため、わずか一度の侵害でも深刻な財務的損害や評判の損失につながるという環境にある企業など、あらゆる規模の組織が安心して業務を遂行できます。このサービスには、とりわけ次のような強みがあります。

• 予防的な監視：24時間体制の監視により、脅威を早期に検出し、拡大を未然に防ぎます。
• 迅速な対応：インシデントには迅速に対応し、被害を最小限に抑えるとともに、攻撃者の滞留時間を制限します。
• セキュリティ専門知識の強化：熟練した専門家の指導で、組織は、進化する攻撃に対してより強力な防御を備えることができます。
• 運用負荷の軽減：継続的な脅威検出を専用パートナーに任せることで、内部のセキュリティ部門は重要なタスクに集中できるようになります。

MDRサービスの主な機能

最新の脅威インテリジェンスとオーケストレーション機能を融合した独自の機能を備えたMDRセキュリティに注目する組織が増えています。このセキュリティ サービスでは、こうした機能により、デジタル エコシステムを総合的に表示することと並行して、人間による介入が提供されます。中核的な機能には以下のようなものがあります。

• 24時間365日の脅威の監視：24時間体制の監視により、新たな侵入を検出し、すばやく封じ込めます。
• 拡張型の検知と対応(XDR)の統合：XDRはエンドポイントだけでなく、クラウド リソース、ネットワーク層、アプリケーションまで可視化します。
• 専門家による調査：熟練アナリストがトリガーを検証および調査し、適時かつ正確な調査結果を保証します。

検知と対応のマネージド サービスのメリット

MDRには、大規模な社内セキュリティ構築を必要とせずに、セキュリティ防御を強化し、インシデントに迅速に対処できるようになるというメリットがあります。さらに、予防戦略と対応戦略を組み合わせたMDRは、次のような具体的な利点を生み出します。

• 脅威を強力に可視化：インテリジェンスを一元化することにより、異常なパターンや潜在的な脆弱性を特定できます。
• インシデントの迅速な封じ込め：専門チームが介入し、攻撃が広範囲に被害をもたらす前に隔離します。
• 費用対効果の高いセキュリティ：外部の専門知識を活用することにより、SOCの全員を雇用してトレーニングしなくても、包括的に対応できます。
• スケーラビリティー： MDRは、ネットワーク サイズの変化、ユーザーのボリューム、システムの複雑さに適応します。

MDRには大きなセキュリティ上のメリットがありますが、組織は導入にあたって、いくつかの課題に直面する可能性があります。

• 初期費用：社内に24時間稼働するSOCを構築するよりも費用対効果は高いものの、初期投資は、予算が少ない場合に依然としてハードルとなる可能性があります。
• 統合の複雑さ：MDRを成功させるには、既存のITインフラ、エンドポイント、クラウド、アイデンティティー プロバイダーとの円滑な連携が不可欠ですが、その複雑さはそれぞれ異なります。
• 可視性とデータ プライバシー：生のテレメトリーや内部ログをサードパーティー ベンダーに預けるには、データの取り扱いやセキュリティ対策について、プロバイダーを十分に精査する必要があります。
• 社内の各部門との連携：社内のIT部門は、自分たちの役割が脅かされることを懸念し、当初は外部のMDRプロバイダーに抵抗を示す場合があります。導入を成功させるには、MDRを社内のIT部門の能力を強化するツールとして位置付け、精度の低いアラートへの対応に追われるのではなく影響の大きい社内プロジェクトに集中できるようにすることが重要です。

MDRと従来のセキュリティ ソリューションの違い

基本的なウイルス対策ソフトウェアや断片的な防御手段とは異なり、MDRは最新のテクノロジーと専門家による監視を組み合わせています。従来の方法ではステルス性の高い侵入を見逃してしまう可能性がありますが、MDRソリューションであれば、常に警戒を怠らず、より強力で進化した保護方法を提供できます。以下の表は、これらの違いを簡単に比較したものです。

EDRは、ネットワーク内の個々のエンドポイントの保護に特化しています。エンドポイントには、ノートパソコン、デスクトップ、携帯電話などのデバイスに加え、サーバー、ワークステーション、モノのインターネット(IoT)デバイス、仮想マシン(VM)が含まれます。EDRは、これらのエンドポイントにインストールされたソフトウェア エージェントを活用することで、アクティビティーを監視し、不審な振る舞いを検知するとともに、調査や対応のためのツールを提供します。

一方、MDRは、エンドポイントだけでなく、ネットワーク デバイス、クラウド ワークロード、アイデンティティー サービス、Software as a Service (SaaS)アプリケーションを含む、ITインフラ全体を対象に検知と対応を提供するマネージド サービスです。さらに、MDRには人間による対応も組み込まれています。EDRでは、アラートの調査と対応を社内の担当部門が担います。一方、MDRにはセキュリティの専門家チームが含まれており、環境の監視やアラートの分析だけでなく、脅威の特定と優先順位付けを行い、インシデント発生時には助言を提供したり、場合によっては実際に対応したりします。

この2つのサービスの違いは、次のように考えてください。EDRは、セキュリティ態勢を構成する大きなパズルのほんの一部分にすぎません。MDRは、それぞれのピースを組み合わせ、全体として一貫したセキュリティの姿を描き出します。

多くの場合、MDRとEDRのどちらか一方を選ぶのではなく、具体的なニーズやリソースに応じて、両方が必要になるでしょう。エンドポイント セキュリティを社内で管理するための専門知識と対応能力を備えた強固なセキュリティ部門がある場合は、EDRだけで十分なこともあります。一方、こうしたリソースや専門知識が不足している場合、IT環境全体の監視が必要な場合、またはより戦略的な業務に集中するための時間を確保したい場合は、EDRに加えてMDRを導入することが有効な解決策となります。

XDRとMXDR

MDR、XDR、MXDRといった略語が並ぶと、サイバーセキュリティの世界がまるでアルファベットのスープを解読するように感じられるかもしれません。標準化された定義がないため、(私たちのような)経験豊富な担当者でも、それぞれのサービスの細かな違いを理解するのに苦労することがあります。まずは基本から、こうした用語をわかりやすく解説していきましょう。

• MDRは、Managed Detection and Response (検知と対応のマネージド サービス)の略です。
• XDRは、Extended Detection and Response (拡張型の検知と対応)の略です。
• MXDRは、Managed Extended Detection and Response (拡張型の検知と対応のマネージド サービス)の略です。

それぞれの略語がわかったところで、次にセキュリティに対するアプローチの違いを見ていきましょう。

• MDRは、組織のITインフラ全体を対象に包括的な検知と対応を提供するマネージド サービスです。エンドポイントのみを対象とするMDRプロバイダーもあれば、ネットワーク、クラウド ワークロード、アイデンティティー、SaaSアプリまでセキュリティを提供するプロバイダーもあります。MDRはSOCの機能を提供し、セキュリティの専門家による助言を受けながら、組織が脅威を検知、調査し、積極的に対応できるようにします。
• XDRは、さまざまなIT領域にわたる複数のセキュリティ ツールからデータを取り込み、分析するセキュリティ テクノロジーです。この種のプラットフォームは、データとアラートを自動的に収集して関連付けることで、アクティビティーを統合的に把握できるようにし、より正確な検知を可能にします。
• MXDRは、MDRとXDRの両方のメリットを組み合わせたもので、セキュリティ テクノロジーと人間の専門知識を融合し、組織のITインフラ全体にわたって脅威をより早期に検知し、迅速に阻止します。

重要なのは、名称そのものではなく、実際に提供されるサービスの内容です。たとえば、Zscaler MDRは当社ではMDRと位置付けていますが、他社ではMXDRと呼んでいます。シェイクスピアの言葉を借りれば、「バラを別の名前で呼んでも、美しい香りはそのまま」です。ソリューションを評価する際は、説明に使われている略語ではなく、それぞれのソリューションが自社のセキュリティ ニーズに対してどのような機能と価値を提供するかに注目しましょう。

MDRサービス プロバイダーの選び方

検知と対応のマネージド サービス パートナーを適切に選定できるかどうかで、セキュリティ侵害を迅速に封じ込められるか、長期にわたって混乱に苦しむかが決まることもあります。現代の脅威の複雑さを考えると、各プロバイダーが提供する機能と品質を慎重に評価することが重要です。

• 実証済みの脅威検出方法：検出アルゴリズムの継続的な改良や、複数のデータ ソースの活用を通して、エンドポイント、ネットワーク、クラウド アプリケーション全体で疑わしい活動を適時に識別できるプロバイダーを採用してください。
• 迅速な対応と封じ込め：侵害されたシステムを迅速に隔離し、攻撃を拡大させないための明確な手順や、スムーズに業務を正常化するためのガイドラインを提供しているかどうかを確認してください。
• 24時間365日の運用対応：24時間体制で稼働し、経験豊富なアナリストが常時待機しているプロバイダーを優先的に検討してください。このようなプロバイダーであれば、異常を迅速に解析し、必要に応じてイベントをエスカレーションできるため、オフピークや深夜の時間帯でも脅威が見逃されるリスクが回避されます。
• スケーラブルな保護：速度や精度を損なうことなく、インフラ規模の拡大やユーザー数の増加、新しいデータ ソースの追加に対応し、現在のセキュリティ ニーズだけでなく将来の要件にも適応できるプロバイダーが求められます。

MDRプロバイダーの候補を評価する際は、運用面で重要な以下の点を確認しましょう。

• 実際に手を動かして修復対応を行ってくれるか？アラートを送信するだけなのか、それともリモートからログインしてエンドポイントを隔離し、侵害されたアカウントをブロックするなど、お客様に代わって脅威を封じ込めてくれるのかを確認しましょう。
• 深いレベルで統合するのか、それともアラートを取り込むだけなのか？エンドポイント、クラウド プロバイダー、アイデンティティー システムとの統合によって、表面的なAPI接続にとどまらず、真の価値につながる詳細なセキュリティ コンテキストが得られることを確認しましょう。
• 対応のオーケストレーションにはどのようなツールを使用するか？ヒューマン エラーを最小限に抑え、平均修復時間(MTTR)を短縮するために、セキュリティ オーケストレーション、自動化、対応(SOAR)プラットフォームを活用しているかを確認しましょう。

サイバーセキュリティにおけるMDRの未来

サイバー攻撃が高度化するなか、MDRサービスと、自動化、AIによる分析、継続的な脅威調査との統合はさらにシームレスに進められていくと考えられます。検出と対応の戦略をほぼリアルタイムで微調整できるプロバイダーは、予防的な防御の新たなベンチマークとなるレベルの回復力と適応性を提供するでしょう。

今後数年間で、分散データ、機械学習、迅速な修復プロトコルによって強化された統合セキュリティ戦略が標準として登場する可能性があります。さまざまな業界の組織は、現在の脅威への対応だけではなく、将来の敵対的な戦術を予測し、それが深刻な被害をもたらす前に対処するために、今後ますますMDRサービスを活用するようになります。

ゼロトラストとMDR: ZscalerとRed Canaryが切り開くサイバー防御の未来

Zscalerは、Zero Trust Exchange™プラットフォームの規模とインテリジェンスをRed Canaryの実証済みの検知と対応のマネージド サービス(MDR)の専門知識と統合します。これにより、セキュリティ運用の未来が再定義され、組織は脅威をより迅速かつ正確に検出、調査、無力化できるようになります。これらを組み合わせることで、AIによる自動化、豊富な脅威インテリジェンス、精鋭された人材の専門性をデジタル エコシステムのあらゆる層にシームレスに統合し、サイバー防御の新しい標準を実現します。ZscalerとRed Canaryの連携により、次のことが実現できます。

• 包括的な保護：毎日5,000億件を超えるトランザクションと多層なコンテキストを活用して、エンドポイント、アイデンティティー、ネットワーク、クラウド ワークロード全体の脅威を検出し、対応します。
• 検出と対応の加速：エージェント型AIと自動化された運用手順書を利用して、高速の調査、封じ込め、修復を実現し、攻撃者の滞留時間と運用負荷を軽減します。
• シームレスなプラットフォーム統合：Zscalerのゼロトラスト アーキテクチャー、Red CanaryのMDR、CrowdStrikeなどクラス最高のパートナーとの組み合わせにより、レガシー ツールや断片化したワークフローを、統合されたクラウド ネイティブのセキュリティ スタックに置き換えます。
• 継続的なイノベーション：現代の攻撃者に対する取り組みを主導している実績ある2社が提供する、自動化、脅威インテリジェンス、AIによるワークフローのメリットを継続的に活用できます。

こちらからデモを依頼して、セキュリティ運用の未来を体感してください。