【セキュリティ】EDRとSOCって何？監視カメラだけでは空き巣は捕まらず警備会社が必要。
サイバー攻撃を「空き巣」に置き換えたら、
セキュリティ対策が驚くほど分かりやすくなった
第4回
家の防犯を考えてみましょう。
玄関には鍵がある。
窓にも補助錠を付けた。
そして家の中には、最新の監視カメラを何台も設置した。
これなら安心――。
……でしょうか。
夜中の3時。
監視カメラには、知らない男が家の中を歩き回っている姿がバッチリ映っています。
寝室を開ける。
引き出しを漁る。
金庫を探す。
ところが、
その映像を誰も見ていない。
朝になって住人が起きて、
「泥棒に入られた！」
と気づいてから録画を確認する。
確かに、
「犯人は午前3時12分に侵入していますね」
ということは分かります。
でも、
できれば午前3時12分に気づいてほしいですよね。
これが、EDRとSOCの関係を理解する一番分かりやすい例だと思います。
EDRは「パソコンの中に置く監視カメラ」
EDRは、
Endpoint Detection and Response
の略です。
名前は難しいですが、まずは、
「社員のPCやサーバーの中を監視する防犯カメラ」
だと思ってください。
EDRは「監視カメラ」として整理され、侵入後の異常を発見するための仕組み。
例えば、社員のPCの中で突然、
見たことのないプログラムが動き始める
大量のファイルを書き換え始める
普段アクセスしない場所へ接続する
他のPCへ次々と侵入しようとする
といったことが起きたとします。
家で言えば、
夜中に知らない人が廊下を歩いている
いろいろな部屋のドアを開けている
金庫を探している
隣の部屋にも侵入しようとしている
という状態です。
EDRは、こうした**「いつもと違う怪しい行動」**を記録し、異常として検知します。
ウイルス対策ソフトとは少し違う
昔からあるウイルス対策ソフトを、防犯で例えるなら、
「指名手配犯の顔写真を持った警備員」
に近いイメージです。
「この顔の人は泥棒です」
と分かっていれば止められる。
一方EDRは、
「顔を知らなくても、その人の行動がおかしければ気づく」
という発想です。
見たことのない人でも、
夜中に窓から入ってきて、
部屋中を物色し、
金庫をこじ開けようとしていれば、
「この人は怪しい」
と判断できます。
ですから、新しいタイプの攻撃や、正規のプログラムを悪用した攻撃などを見つけるうえでもEDRは重要になります。
ではEDRを入れれば安心？
ここで、よくある勘違いがあります。
「EDRを導入したから、もう安心」
という考えです。
防犯カメラに戻りましょう。
最新の監視カメラを10台設置しました。
人が侵入すると自動で検知します。
スマートフォンにも、
「不審者を検知しました」
と通知が飛びます。
素晴らしい仕組みです。
でも、その通知を受け取ったスマートフォンが、
誰も見ていない机の上に置かれていたら？
意味がかなり薄れてしまいます。
セキュリティで本当に怖いのは「警報が出ていたのに放置されること」
EDRは大量の情報を集めます。
そして、
「怪しい動きがあります」
「このPCから異常な通信が出ています」
「不審なプログラムが動きました」
という警報を出します。
問題は、
その警報を誰が見るのか。
ということです。
中小企業では特に、
「EDRは導入した。でも専任のセキュリティ担当はいない」
ということが起こります。
例えば金曜日の23時にEDRが、
「このPC、かなり怪しいです！」
と警報を出した。
でも誰も見ていない。
月曜日の朝になって、
「あれ？ 金曜日の夜からアラートが出ていますね」
と気づく。
その約60時間の間に攻撃者が、
1台目のPCから、
サーバーへ移動し、
管理者権限を奪い、
他のPCにも侵入し、
最後にデータを暗号化する。
ということもあり得ます。
そこでSOCが登場する
SOCは、
Security Operation Center
の略です。
これも名前を覚える必要はありません。
防犯でいえば、
「警備会社の監視センター」
です。
家やマンションに設置された監視カメラやセンサーから、
「窓が開きました」
「人を検知しました」
「金庫室で異常があります」
という情報が集まってくる。
それを監視センターの担当者が確認します。
そして、
「これは住人ですね。問題ありません」
なのか、
「これは明らかに不審者です。すぐ対応しましょう」
なのかを判断する。
これがSOCのイメージです。
EDRとSOCをセットにするとこうなる
夜中の3時。
ある社員のPCで怪しいプログラムが動き始めました。
EDR
「異常な動きを発見しました！」
監視カメラが不審者を見つけます。
↓
SOC
「これはかなり怪しい。すぐ確認しよう」
監視センターの人が警報を確認します。
↓
さらに調べると、
「このPCから他のPCへ侵入しようとしている」
ことが分かった。
↓
そこで、
そのPCを会社のネットワークから隔離する。
家でいえば、
「泥棒がいる部屋の扉をロックして、他の部屋へ移動できないようにする」
イメージです。
これなら、
1台のPCへの侵入を、会社全体への被害に広げずに済む可能性が高まります。
「監視カメラ」と言っても、今のEDRはもう少し賢い
ここは正確に説明しておきたいところです。
現在のEDRは、単に録画するだけの監視カメラではありません。
製品によっては、
怪しいプログラムを止める
PCをネットワークから隔離する
不審なファイルを隔離する
といった対応を自動で行うこともできます。
ですから、
「SOCがなければEDRは何もしてくれない」
というわけではありません。
家で言えば、
人感センサー付き監視カメラ＋自動警報装置＋一部自動ロック機能
くらいまで進化しています。
ただし、
本当に泥棒なのか？
他の部屋にも侵入されていないか？
どこから入ってきたのか？
何を盗られたのか？
次に何を止めるべきか？
まで判断するには、人による監視・分析・対応が非常に重要です。
「監視カメラを買うこと」と「警備をすること」は違う
ここが今回、一番伝えたいところです。
会社がEDRを導入すると、
「EDR導入済み」
というチェック欄には○が付きます。
でも、本当に確認したいのは、
「そのEDRを誰が見ているのですか？」
ということです。
家に置き換えれば、
防犯カメラはありますか？
だけでは足りません。
警報が鳴ったら誰が見るのですか？
夜中でも誰か気づきますか？
泥棒だったら誰が対応しますか？
まで考えて初めて、
「防犯体制」
になります。
中小企業ほど「自分たちで24時間見る」は難しい
ではSOCを作りましょう。
と言っても、
これは簡単ではありません。
夜中も休日も含めて監視するなら、
複数の専門人材が必要になります。
しかも、EDRから上がってくるすべての警報が本当の攻撃とは限りません。
例えば監視カメラが、
「庭に何かいます！」
と警告したので確認したら、
猫だった。
ということもあります。
セキュリティの世界でも同じです。
大量に出てくる警報の中から、
本当に危険なものを見極める技術
が必要になります。
そのため、中小企業では必ずしも自前でSOCを持つ必要はありません。
外部の専門会社に、
「EDRを監視して、何かあったら対応してください」
とお願いする方法もあります。
家でいえば、
ALSOKやSECOMのような警備会社に監視を任せる
イメージです。
実は「侵入される前提」で考えている
ここまで読んで、
少し不思議に思った人もいるかもしれません。
前回まで、
FWで入口を守り、
IPSで怪しい通信を止め、
プロキシで危険なWebサイトへのアクセスを防ぐ、
という話をしました。
それなのに、なぜEDRまで必要なのでしょう。
答えは単純です。
全部を突破される可能性があるからです。
家でも、
玄関の鍵。
オートロック。
警備員。
防犯ガラス。
全部あっても、
絶対に泥棒が入れないとは言い切れません。
だから、
入らせない対策
だけではなく、
入られたらすぐ気づく対策
も必要です。
さらに、
入られた後、被害を広げない対策
まで考えます。
それがEDRとSOCです。
FWとEDRでは守っている場所が違う
これまでの記事をつなげると、家の防犯設備がだんだん完成してきます。
FW
マンションの入口で入館証を確認する。
IPS
入館証があっても、怪しい行動をしていれば止める。
プロキシ
住人を危険な場所へ行かせない。
EDR
それでも家の中へ侵入された場合、室内で何をしているか監視する。
SOC
その監視カメラや警報を見て、本当に危険なのか判断し、対応する。
こう並べると、
なぜセキュリティ対策が1つでは済まないのかが分かってきます。
今回のまとめ
今回覚えてほしいのは、この2つです。
EDR＝PC・サーバーの中を監視する「高性能な監視カメラ＋警報装置」
SOC＝その警報を監視し、攻撃かどうかを判断して対応する「警備会社の監視センター」
そして一番大事なのは、
「監視カメラを付けた」ことと、
「ちゃんと監視している」ことは別物
だということです。
泥棒が入ってきた映像を、
翌朝見つけても遅い。
できれば、
「今、泥棒が入りました」
という瞬間に気づきたい。
だからEDRを導入するときには、
「製品は何を入れるか？」だけではなく、
「誰が、いつ、どうやって監視するのか？」
までセットで考える必要があります。
情報セキュリティ製品は、
買っただけでは防犯設備。
運用されて初めて警備になります。
この違いは、かなり重要です。
