EDRだけでは不十分な理由
EDRはエンドポイントにおいて優れた技術ですが、構造的な限界が2つあります。1つ目は、EDRが見ているのはエンドポイントであり、現在の攻撃の半分が展開されるアイデンティティ、クラウド、ネットワークは見えないことです。2つ目は、EDRが生み出すのはアラートであり、それを24時間365日、誰かが解釈し対処しなければならないことです。問題はEDRではなく、EDRだけで十分だと考えることです。運用するアナリストと他の領域のカバーがなければ、EDRは対処されないシグナルの発生源にとどまります。
本稿の主張
EDRはエンドポイントにおける防御の水準を大きく引き上げました。導入するのは正しい判断です。しかし「EDRがある」ことは「守られている」ことと同じではありません。製品の品質とは関係なく、常に2つの限界が残ります。
「EDRで十分」と考えることの代償
1つ目の限界：EDRが見ているのはエンドポイントです。トークンやセッションの窃取、OAuthの悪用、クラウドメールボックスを狙ったビジネスメール詐欺（BEC）、アイデンティティを使った横展開は、多くの場合エンドポイントを経由しません。そこではEDRは見えません。2つ目の限界：EDRが生み出すのはアラートであり、判断ではありません。24時間365日対処する人がいなければ、対応が必要なまさにその時にアラートが積み上がります。
MDRが提供するもの
MDR（マネージド・ディテクション・アンド・レスポンス）は、EDRを運用するだけでなく、アイデンティティ（ITDR：アイデンティティ脅威の検知と対応）、クラウド、ネットワークまでカバーを広げ、24時間365日対応するアナリストがシグナルを封じ込めにつなげます。ツールを持っていることと、能力を持っていることの違いです。
本当に必要になる場面（そして、それほど必要ない場面）
EDRを運用する24時間365日体制の社内チームがあり、アイデンティティとネットワーク向けの専用ソリューションもあるなら、EDRはスタックの堅実な一部です。その体制がない場合、EDR単体は解決策に見えるリスクです。その場合にはMDRが必要です。技術的な全体像はEDRとはをご覧ください。
EDR単体 vs MDR（EDR＋アイデンティティ・ネットワーク＋アナリスト）
| EDR単体 | MDR | |
|---|---|---|
| カバー範囲 | エンドポイント | エンドポイント＋アイデンティティ＋クラウド＋ネットワーク |
| アイデンティティ・セッション | 死角 | ITDR、認証後の異常検知 |
| アラート対応 | 自社で対応 | 24時間365日対応するアナリスト |
| 結果 | シグナル | 収束したインシデント |
Operation Storming Tideでは、技術的なシグナルは揃っていました。違いを生んだのは、それを読み解き、攻撃を封じ込めた人です。24時間365日対応するアナリストのいないEDRは、対処されないアラートの発生源にとどまります。
分析を読む（英語） →よくある質問
EDRはエンドポイント上のすべてを検知しないのですか？
多くを検知します。しかし現在、多くの攻撃はエンドポイントを経由しません。セッションやトークンの窃取、OAuthの悪用、正規のAPIを使ったビジネスメール詐欺（BEC）、アイデンティティやクラウド上での横展開などです。そこではEDRは見えません。ITDR（アイデンティティ脅威の検知と対応）とネットワーク検知が必要です。
では、EDRは役に立たないのですか？
いいえ、EDRは必要な基盤です。重要なのは、EDRを完全な運用能力と混同しないことです。EDRはツールであり、MDRはそれを24時間365日運用し、他の領域までカバーを広げるサービスです。MDR vs EDR vs XDRもご覧ください。
夜間に発生したEDRのアラートはどうなりますか？
24時間365日の監視体制がなければ、キューに残ったままになります。深刻な攻撃の多くは業務時間外に進行します。午前3時に対処されないアラートは、何も止めません。この空白を埋めるのがMDRです。
EDRだけで十分な場合はありますか？
EDRを運用する24時間365日体制のセキュリティチームがあり、アイデンティティとネットワーク向けの他のソリューションもあるなら、EDRは堅実な構成要素です。そのチームがいない場合、EDR単体は見せかけの安心にすぎません。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：Fortgale MDRサービス
関連リソース： EDRとは · MDR vs EDR vs XDR · MDRとは
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。