AppGuardのご紹介～ゼロトラスト型エンドポイントセキュリティ～株式会社Blue Planet-works
株式会社ＩＴガード© 2024 Blue Planet-works, Inc.

1

株式会社Blue Planet-worksについて
商号

株式会社Blue Planet-works

住所141-0032
東京都品川区大崎4-1-2 ウィン第2五反田ビル3F

設立

2017年4月

資本金85億円（2023年12月時点）

代表取締役
社長

坂尻浩孝

事業内容

「AppGuard」の技術を応用したサイバーセキュリティ
プロダクトの開発・販売及び付帯サービスの提供

従業員数

28名（2023年12月時点）

関連会社

株式会社ＩＴガード、AppGuard Inc

株主

株式会社東京ウェルズ
SBIインベストメント株式会社
Blue Ridge Networks, Inc.
PCIホールディングス株式会社
ANAホールディングス株式会社
富士フイルムビジネスイノベーション株式会社
株式会社電通グループ
株式会社JTB
第一生命保険株式会社
損害保険ジャパン株式会社 他多数© 2024 Blue Planet-works, Inc.

米国政府機関向けに開発されたセキュリティ技術

AppGuard®事業の買収（2017年4月）

米国生まれ日本育ちの革新的なセキュリティ製品の誕生

2

株式会社ＩＴガードについて
商号

株式会社ＩＴガード

住所141-0032 東京都品川区大崎4-1-2 ウィン第2五反田ビル3F

設立

2017年7月

資本金6,100万円

役員

代表取締役 鬼澤 禎
取締役CTO 吉川 剛史

事業内容

エンドポイントプロテクション製品AppGuardおよびそれに付帯するソリューションを提供

ITガードの強み

1. 圧倒的No1のAppGuard販売・導入実績

主な導入実績：戸田建設様5,300台、SBI証券様1,100台、千葉工業大学 200台、他100社以上
相澤病院、名寄市立総合病院、弓削病院など多数の病院導入事例あり
2. プロ集団の技術力
AppGuardを熟知したチームがお客様目線でフルサポート
3. 付加価値サービスのご提供
導入支援パック、運用サービスのご提供
当社専用サイバー保険のご提供© 2024 Blue Planet-works, Inc.

3

AppGuardビジネスの堅調な推移（AppGuard採用企業実績）（白石市様）（アメリカ国防総省）
15,974

16,687

15,040

国内導入累積社数

13,89019,０００社突破

12,231
11,097（2024年3月末時点）
5,843© 2024 Blue Planet-works, Inc.

系列1

928

16189

2017末

2018末

2019末

2020末

2021末

2022Q12022Q22022Q32022Q42023Q1

16

189

928

5,843

11,097

12,231

13,89015,04015,974

16,687

エンドポイントセキュリティの市場動向- アンチウイルスに代わる何かを求めて -© 2024 Blue Planet-works, Inc.

5

アンチウイルスは昨今の脅威に対して不十分
理由①

理由②

いずれの検出技術も過去の情報に依存せざるを得ない
過去の脅威から特徴点を抽出して検出対象となるのは「悪いモノ」として定義されるもの危険かも？

アンチウイルス

教材として利用することで、独自の？

脅威判定ルールを作り出す。
機械学習解析

要検査

不明なファイル

過去の脅威が行った振る舞いを分解して重み付けとスコアを設定しサイバー攻撃者が圧倒的に有利な状態

安全なはず！
検査不要

悪用

対象を評価するルールを作り出す。
振る舞い解析

Microsoft提供

定義ファイルによる照合、機械学習や振る舞いに基づく過去の情報に基づいて「悪性」又は「悪意ある解析は過去の脅威情報から検出するための特徴点や動き」と規定されたものを検知するため、安全だと情報を利用しているため、構造が難読化されたものや認識されている正規のツールや機能を悪用する未知のものに対して脆弱である。

攻撃者「環境寄生型」の攻撃に対しては脆弱である。

アンチウイルスは長い歴史を持つが故に仕様を逆手に取った攻撃手法が多数存在している© 2024 Blue Planet-works, Inc.

6

アンチウイルスソフトの実態
S社

T社

M社

Microsoft

E社

K社

W社

C社

検知できず

検知できず

検知できず

検知

検知できず

検知できず

検知できず

検知できず

検体#2:FromBook

検知

検知できず

検知

検知

検知できず

検知

検知できず

検知できず

検体#3:Remocos

検知

検知できず

検知

検知

検知できず

検知検知できず検知できず

検体#4:Wacatac

検知できず検知できず検知できず

検知

検知できず

検知

検知できず

検知できず

検体#5:AgentTesla

検知できず

検知

検知できず検知できず

検知できず検知できず検知できず

検知できず

検体#6:Gcleaner

検知できず

検知できず

検知

検知

検知

検知できず

検知出来ず

検知できず

検体#7:LockBit

検知できず

検知できず

検知

検知できず検知できず

検知できず

検知できず

検知

検体#8:LockBit

検知

検知できず検知できず

検知

検知できず

検知

検知できず

検知

検体#9:LockBit

検知できず検知できず検知できず

検知できず

検知

検知できず

検知できず検知できず

検知

検知

検知できず

検知

検知できず

検知

検知できず

検知できず

検体#1:BitRat

検体#10:AgentTesla© 2023 Blue Planet-works, Inc.

7

EDR・XDRの登場＜NIST（米国標準技術研究所）が提唱するサイバーセキュリティフレームワーク（NIST SP800-171）＞•

アンチウイルスという概念だけでは脅威に対抗できないことが世界中で認知される。

•

各種ガイドラインで「可視性の向上」に投資をシフトするように言及するようになった。

•

欧米に追随する形でEDR/XDRといったソリューションが注目される。

特定防御検知対処

回復

Identify

Protect

DetectRespond

Recover

これまで投資してきた領域（事前対策）

これまで投資してこなかった領域（事後対策）
アンチウイルス領域

EDR/XDR© 2024 Blue Planet-works, Inc.

侵入されることを前提として迅速な対応によって被害拡大を防ぐことを目的として、IoC/IoAに基づいて不審な挙動や通信があれば分析し管理者に通知する仕組み。

EDR/XDR領域
侵食
侵食

アンチウイルスベンダーはEDR/XDR領域へ製品を拡張
EDR/XDRはアンチウイルス領域へ製品を拡張

8

ランサムウェアの高速化•

ランサムウェアを中心にEDR/XDRの検知をバイパスする手法が検討される。

•ランサムウェアの暗号化速度を高速化することで検知を回避する手段が有効であると判断される。

３０分以上
ログ収集

解析

ログアップロード

インシデント認定

高速化を謳うランサムウェア

暗号化速度
中央値

100GB換算（1GBの暗号化速度）（中央値×100GB）

LockBit 3.0

8秒

5～6分

LockBit 2.0

33秒

55分

アラート発行監視ツール

アラート通知検知

発症© 2024 Blue Planet-works, Inc.

活動開始
9

EDR利用における留意事項
ユーザー担当範囲

アンチウイルス ゼロトラスト

EDR

特定

防御

検知

対処

回復

Identify

Protect

DetectRespond

Recover

準備

識別抑制

根絶

回復
RecoveryLesson Learned

インシデント発生時におけるレスポンスプランの定常時には観測されない異常値の検出とインシデインシデントの影響を最小化するための初動インシデントの原因と影響範囲を特定し、再び侵害さ影響を受けた端末やシステムを検証・通常

インシデントに関するレポーティングと類似作成とチームを構成する。

ント発生の判断を行う。

対応を行う。

れないように措置を講じる。

稼働に戻す。

事象発生に備える。

ユーザー担当範囲

EDR

Preparation

Identification

Containment

ユーザー

Eradication

EDR

ユーザー担当範囲

教訓

EDR

ユーザー

【SANS Instituteにおけるインシデントレスポンスの構成要素（EDR導入に際して設計・構築が必要なスキーム）】

24時間365日リアルタイムで対応できる専門人材の配置・運用体制の構築が必須© 2024 Blue Planet-works, Inc.

10

セキュリティ業界を騒がせた主なニュース
日本最大級の港へのサイバー攻撃

・日本最大級の港がサイバー攻撃の被害に・コンテナの積み下ろしができない状態に

トヨタグループのサプライチェーン内の企業がランサムウェアの被害に遭いトヨタグループの全工場がストップ

地方町立病院を襲ったランサムウェア

・8万5千人分の電子カルテが消失
・新規患者受け入れ2ヵ月間停止

・取引先から感染し電子カルテ含む基幹システムが使用不能に・通常医療体制に戻るまで約2か月半かかった

2022年3月に入りEmotetに感染しメール送信に悪用される可能性のある.jpメールアドレス数が2020年の感染ピーク時の約5倍以上に急増

・四半期決算報告を延期
・約9割のシステムで被害が発生し帳票処理が手作業に© 2024 Blue Planet-works, Inc.

大阪の病院への攻撃

東京都や千葉県市川市から業務委託を受けていた建設コンサルタント会社がランサムウェアの被害に遭い、7億５千万の特別損失を計上
11

「防御」ではなく「防止」するという考え方- ゼロトラスト型エンドポイントセキュリティ「AppGuard」 -© 2024 Blue Planet-works, Inc.

12

AppGuardの守り方
これまでの守り方

AppGuardが提唱する守り方

悪い物を見つけて排除する

悪い事をさせない環境を作る

過去の情報から害を成す悪いモノを例外として排除

PCが衛生的で健康的な状態ならウイルスにかからないAV

WANTEDNGAVWANTEDEDR

WANTED新しい攻撃が追加された！
検知出来るようにします！

WANTED NEW
WANTED

アプリ本来の動作

AppGuardが課す信頼を得る条件を満たして起動したプログラム
システムに危害を加えることは許されない

新しい脅威の解析が終わりました
必要最低限に制御

WANTED

WANTEDシステムに害を成す動作はAppGuardが制御（悪用することが不可能）

WANTED

セキュリティベンダー

攻撃者は新しい攻撃を作ればよい© 2024 Blue Planet-works, Inc.

制御

AppGuard

Windows

ウィルス（攻撃）は発症しない
13

AppGuardの守り方

悪意があるかの判断

マルウェアの検知

マルウェアの駆除規定したこと以外は『誰であっても』『どんなことでも』実行できない© 2024 Blue Planet-works, Inc.

14

攻撃プロセスの成立を阻止する仕組み「やって良いこと・悪いこと」を明確に規定し「やって良いことだけ」が常に実践されているか検証し続ける
起動制御

システムフォルダ

レジストリ

メモリ

改竄禁止

改竄禁止

改竄禁止

起動

条件を満たさない

悪用される可能性があるアプリケーション

条件を満たす？
正体不明 のフ ァ イ

起動ル

起動前制御起動後制御
繰り返し適用© 2024 Blue Planet-works, Inc.

し たプ ロ セ ス

AppGuardユーザー
15

AppGuardによる攻撃阻止パターン #1
Emotetが用いた攻撃パターンについて
Emotetを展開する常套手段として使われるテクニックに対してもAppGuardは貢献します。

Cloud Storage

攻撃メール

添付ファイルApp Installer

Office File

マクロ有効化コマンド実行

永続化

攻撃者
C&C

端末

LNK File

C2接続

ペイロード起動

AppGuardが保護する端末では攻撃に悪用されるアプリを通じた改竄が成立しません。
コマンド実行

AppGuardが保護する端末では領域制御によってペイロードの読み込みを制御します。

© 2024 Blue Planet-works, Inc.

永続化

C&C

C2接続

ペイロード起動

16

AppGuardによる攻撃阻止パターン #2
サプライヤーからのRDP接続を介して侵入された場合の攻撃パターンについて（例：大阪急性期・総合医療センターのケース）
接続性を持つ外部組織から不正アクセスされるテクニックに対してもAppGuardは貢献します。

ID/Password窃取
共有フォルダの悪用（SMB、WebDAVなど）
RDPによる不正接続侵害
侵害/横展開RDP
攻撃者

リモートアクセス装置

サービス用システム共通化された資格情報を用いた不正ログオン
連携用システム

サプライヤー

他システム

被害組織

共有フォルダの悪用（SMB、WebDAVなど）
RDPによる不正接続
侵害/横展開RDP

共通化された資格情報を用いた不正ログオン
連携用システム他システム

AppGuardが保護するシステムでは接続できたとしてもロックダウン制御によってシステムを侵害する行為を成立できないように制御します。

出典：「大阪急性期・総合医療センター」及び「社会医療法人生長会」の侵害事案について当該組織又はメディア等で報道された内容を基に構成© 2024 Blue Planet-works, Inc.

17

AppGuardの部分導入
AppGuardを全体へ導入

AppGuardを部分的に導入

OR

機密情報を扱う部署

IR

契約書

特許

業務上リスクが高いユーザー

残ってしまったレガシーな端末

絶対に死守したい端末

Windows 7sp1 Windows Server
2008R2

医事会計システム Active Directory

生産領域や医療ネットワーク等

Windows 7等のサポートがインシデントが発生すると被害インターネットに接続できない終了したOSをやむを得ず継続

拡大、業務停止、大規模損失に環境にある端末を保護利用している端末を保護

つながる端末を保護

顧客請求書

組織内でも特に機密性の高い

不特定多数の相手と情報の情報を扱う端末を保護やり取りが発生する端末を保護© 2024 Blue Planet-works, Inc.

閉域環境にある特殊端末

18

安心の各種付帯サービス

AppGuardご利用時に必要な各種作業や運用を専門のエンジニアが手厚くサポート
AppGuard導入パッケージ

AppGuard運用パッケージ
お客様に代わって解決します！

調査

収集 解析 設計 設定 反映
約1ヶ月

操作方法がわからない

サポート

ServiceDesk

AppGuard教育パッケージAGMS

AppGuard
製品基礎

ポリシーを設計できないなるほど！
そういうことか！

管理コンソール
操作方法
AGMS

ポリシーチューニング

AppGuardをご利用いただくためのAppGuardの運用を支援するサービスデスクをAppGuardをご利用いただく管理者のために「環境調査」「ログ収集」「解析」「設計」ご提供し、基本的な操作方法だけでなく、必要となる教育を行います。製品の基礎知識や「設定」「反映」の全てのフェーズを代行しお客様に代わって調査・解析に基づくポリシー管理コンソールの操作方法、生成されたログにスムーズに本番展開できるように支援します

設計・設定・反映なども実施します

基づくチューニング方法などが含まれます※各種支援メニューの内容は販売店によってサービス名及び提供仕様が異なります。詳細については各販売店にお問い合わせください。
© 2024 Blue Planet-works, Inc.

19