EDRの導入と運用｜各デバイスの挙動監視によるファイルレス攻撃および不審な振る舞いの検知

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

目的

従来のアンチウイルスソフトは既知のマルウェアに対して高い防御効果を持つが、近年は正規ツールを悪用したファイルレス攻撃や、未知のマルウェアによる侵害が増加している。

EDR（Endpoint Detection and Response）は、PCやサーバー上で発生するプロセス実行、ファイル操作、通信などの挙動を継続的に監視し、不審な振る舞いを検知する仕組みである。

当ページでは、SOHO環境にEDRを導入し、ランサムウェアや不正アクセスの兆候を早期に発見できる状態を構築する。

参考：ランサムウェアとは

実践手順

監視対象の端末を決定する

まず、どの端末を監視対象とするかを整理する。

対象例

  • 業務用Windows PC
  • 業務用Mac
  • ファイルサーバー
  • 持ち出し用ノートPC

個人専用端末は原則対象外とし、業務データへアクセスする端末を優先する。

EDR製品を選定する

SOHO環境では、特別な理由がない限り統合型（EPP＋EDR）製品を選択する。

確認項目

  • WindowsおよびmacOSに対応している
  • クラウド管理に対応している
  • ランサムウェア対策機能を備えている
  • メール通知機能を備えている
  • 少数ライセンスで契約可能である

製品分類については以下を参照

EDRとは｜エンドポイント監視製品の分類

管理コンソールを構築する

管理者アカウントを作成し、管理画面へアクセスできる状態にする。

EDRの管理画面（クラウドコンソール）自体が攻撃者に乗っ取られると、全端末の監視を無効化される最悪のインシデントに直結する。これを防ぐため、管理者アカウントには多要素認証（MFA）を強制適用する。

設定項目

  • 管理者アカウント作成
  • 多要素認証（MFA）の有効化
  • 管理コンソールへ正常にログインできることを確認

EDR自体が侵害されないよう、管理アカウントの保護を最優先する。

エージェントをインストールする

監視対象端末へEDRエージェントを導入する。

インストール後、各端末で以下の項目が正常な状態になっているか、クラウドコンソール側で目視確認する。

  • 端末名がコンソール上のデバイス一覧に正しく同期されていること。
  • ポリシーのステータスが「適用済み（Synced）」になっていること。
  • エージェントおよび定義ファイル（EPP機能用）が最新バージョンであること。

アラート通知を設定する

重大なイベント発生時に管理者へ通知されるよう設定する。

最低限確認するイベント

  • ランサムウェア検知
  • マルウェア検知
  • 高危険度アラート
  • 端末隔離イベント

通知が届かなければ監視している意味がないため、実際にテストメールを送信して確認する。

検知テストを実施する

導入後は必ず検知動作を確認する。

エージェント導入後、端末側で以下の疑似テストを実行し、EDRが挙動を捉えてコンソールにアラートを上げるか（および担当者へ通知が届くか）を確認する。

  • アンチウイルス（EPP）機能のテスト：
    • テスト用ダミーファイル（EICAR）の文字列をテキストに書き込み、検知・隔離されるかを確認する。

確認項目

  • アラートが発報される
  • 管理画面へイベントが表示される
  • 通知メールが届く
  • 管理者が内容を確認できる

検知できることではなく、「管理者が気付けること」を成功条件とする。

運用ルール

アラートの定期確認

  • 週次監査（アラートの定期確認）：
    • 最低でも週に1回（例：毎週月曜日）は管理コンソールにログインし、「低・中リスク」として処理されている未対応の警告や、長期間オフライン（社員の休暇や出張など）になっている端末がないかを棚卸しする。
  • インシデント発生時の初動プロトコル：
    • 万が一「高危険度（Critical/High）」のアラート（例：シャドウコピーの削除、未知の実行ファイルによる大量変更）が発報された場合、管理コンソールから対象端末をワンクリックでネットワークから論理隔離（ネットワークアイソレーション）する指示系統を確立しておく。

確認項目

  • 高危険度アラート
  • 未対応イベント
  • 隔離済み脅威
  • 長期間オフラインの端末

インシデント発生時の初動対応

重大アラートが発生した場合は以下を実施する。

  1. 対象端末をネットワークから切り離す
  2. バックアップの正常性を確認する
  3. 利用者へ状況確認を行う
  4. 必要に応じて端末初期化を実施する

詳細はUnit「ランサムウェア感染時の初動対応」を参照。

対象端末の棚卸し

半年ごとに対象端末一覧を確認する。

  • 廃棄済み端末
  • 新規導入端末
  • 利用者変更端末

が反映されていることを確認する。

まとめ

以下を満たした場合、当ページの目的は達成とする。

  • 業務用端末へEDRが導入されている
  • 管理コンソールから状態確認できる
  • アラート通知が動作する
  • 検知テストが完了している
  • 定期確認ルールが定められている
  • インシデント発生時の対応手順が定義されている