Kaspersky EDR Optimum 2.3
製品紹介
2022年11月09日
株式会社カスペルスキー
セールスエンジニアリング本部

Kaspersky EDR ラインナップ

2EDRとは？
EDR ＝ Endpoint Detection & Response• 意外とコンセンサスがない、EDRが果たす役割。
EP：エンドポイントプロテクション
マルウェアの実行防止。リアルタイム検知が主な役割。
重要な技術：ヒューリスティック検知、ふるまい検知、機械学習エンジン。
Endpoint Detection and Response
脅威を検知し、対応を支援するのが主な役割。
特にIoCによる検知、脅威ハンティング機能が特徴。
マルウェアの実行後、侵入後に使用するイメージで捉えられている。
Detection
ファイル名、変更日時、親プロセス、レジストリキー、Windowsイベントなど、痕跡を調べる。
Responseプロセスの停止、ファイル削除など。
3

エンドポイントの重要性
先ずは、エンドポイントの対策を行うことが重要。

76%v

最も脆弱な要素とITインフラへの一般的な攻撃起点のポイント

エンドポイント

防御するのに十分な基準がない場合、効果的なインシデント調査のためのデータの重要なソース
TLS 1.3の採用により、エンドポイントによりフォーカス（ネットワークトラフィックの解読が困難）記録されたセキュリティイベントの76％がエンドポイントによって生成84%v84％のインシデントにおいて、サーバー/ワークステーションが関与していた
Source: The SANS 2018 Endpoint Protection and Response Survey

4

組織的課題すべての企業において、複雑な脅威の防御が必要…

…しかしながら、ITセキュリティ担当者と専門知識が不足

 使いこなせるツールの選択。
 昨今の脅威状況に合わせ、エンドポイントセキュリティの見直し。

5

Optimum セキュリティ と Expert セキュリティ

KES
CloudPlus•••

KES Cloud
Pro

脅威の分析
シンプルさ
手ごろなコスト• 脅威の分析• バランスの取れた自動化機能• シンプルさ• 手ごろなコスト

Cloud

Cloud

Kaspersky
EDR Optimum• 脅威の分析• バランスの取れた自動化機能• シンプルかつ多くのレスポンス機能• 手ごろなコスト
オンプレミスCloud

Kaspersky
EDR Expert• 検出技術の幅広いリスト、IOAなど• 遡及的分析（脅威ハンティング機能）

オンプレミスCloud

Kaspersky EDR Expert の2タイプのIOAルール:• Kasperskyの専門家によるルール (除外設定も可能);• ユーザー定義によるルール
6

カスペルスキーが提案する成熟度モデル
専門のセキュリティ
人員はいない。

セキュリティ専門性を強化中。

••

7

セキュリティ部門が確⽴している
Kaspersky
EDRExpert

Kaspersky
Endpoint
Security forBusiness
Kaspersky
Endpoint
Security
Cloud、Plus、Pro

セキュリティ専門性を強化中。

Kaspersky
EDR
Optimum

IT 部門がある。
セキュリティ担当はIT 部門内にある。

•••

Kaspersky
EDR Expert
On-premises、
Cloud

セキュリティ担当は IT 部門内にある。
小規模なセキュリティ部門がある。
セキュリティ専任者は雇用する予定がない。

Kaspersky
Anti Targeted
AttackPlatform（XDR）•••

必要十分なセキュリティ部門
SOC/CERT/CSIRT
脅威ハンティンググループ

EDRラインナップ
対応規模

特徴

Cloud対応

オンプレミスEDRレベルKES Cloud５ライセンス以上
999まで

Cloud Discoveryなど付加機能。

対応

無し

無し

KES Cloud Plus

５ライセンス以上
999まで

Cloud Discoveryなどの付加機能、Microsoft365の保護。

対応無し

マルウェアの挙動を調査

KES Cloud Pro

５ライセンス以上
999まで

Cloud Discoveryなどの付加機能、Microsoft365の保護。

対応無し

マルウェアの挙動を調査
IOCスキャン
端末の隔離 など

KESB（Select、Advanced）

10ライセンス以上

300ライセンス
以上で対応

対応

無し

対応

マルウェアの挙動を調査
IOCスキャン
端末の隔離 など

対応

マルウェアの挙動を調査
脅威ハンティング
TAAによる検知
IOCスキャン
端末の隔離 など

EDR-Optimum

EDR-Expert

8

10ライセンス以上

250ライセンス以上

ライセンスにはKESB
Advancedを含む。

ライセンスにはKESB
Advancedを含む。

300ライセンス
以上で対応300ライセンス
以上で対応Kaspersky EDR Optimumの価値9必要不可欠なセキュリティのその先に。
Optimumとは、「最適な」という意味。
Kaspersky EDR Optimumは、Endpoint Securityを含んだ統合ツール。
昨今の複雑な攻撃に対応する、高度のセキュリティを兼ね備えるだけでなく、攻撃を可視化、簡単な調査ツールやおよび自動応答オプションを提供します。
即座に脅威に対応しビジネスの中断を防ぐことを目的として、脅威を検出するだけでなく、その全範囲と発生源を明らかにします。

本資料は、 Kaspersky Endpoint Security for Windows を使用した構成で説明しています。
Kaspersky Security for Virtualization Light Agent、Kaspersky Security for Windows Serverでは、機能が異なります。

10Kaspersky EDR Optimumの価値
マルチレベルの検知
様々な検知機能

強固な防御
高度なセキュリティを付加。

定義、ヒューリスティック、レピュテーションから、脆弱性管理・パッチ配信

アダプティブアノマリコントロール、機械学習、アプリケーションコントロール

ふるまい検知、脆弱性攻撃、ネットワーク攻撃、IoCベース検知を付加。

暗号化攻撃、ファイルレスマルウェアブロックなど。

サードパーティー製 IoCファイルも使用可能。

根本原因解析

自動化された対応

インシデントカードで何が行われたかを調査。

11

エンドポイントセキュリティの検知結果だけでは分からない、マルウェアの動きを可視化。

すばやく簡単な対応。応答はインシデントカードからワンクリックで完了。

多くのリソースを必要とせず、あらゆる組織でのインシデント調査を可能にする。

管理サーバーからクライアントへの対応指示が自動化される。

Kaspersky EDR Optimumの機能特徴
推奨事項（Guided Response) 下記の操作をGUI上でガイドする新インターフェイス。
 インシデントカードによるマルウェア挙動を可視化。
ファイル生成スクリプトの起動
マルウェアのネットワーク通信
マルウェアを自動起動させるレジストリの作成
 ワンクリック 簡単対応
端末の論理的切り離しを遠隔から実行。物理的に切り離さないため、管理操作は継続可能。
プログラムの起動禁止、ファイルの隔離。
 IOCスキャン
セキュリティ侵害の痕跡を調査する。

12

コンピューターをネットワークから分離する

Kaspersky Security CenterKaspersky Security Center

インシデントカードから分離を実行

物理的な接続
論理的な接続13

遠隔から論理的にネットワークを切断

物理的に切り離さないため、管理操作は継続可能。

コンピューターをネットワークから分離する
物理的に切り離さないため、ネットワーク切断された状態でも、KSCからリモート接続が可能。
注 KSC Cloud Consoleではリモート接続は使用出来ません。

リモート接続

14

IOC スキャン
IOC： Indicators of Compromise （インディケート オブ コンプロマイズ）とはIndicators：痕跡 Compromise：セキュリティ侵害
IOCとは、セキュリティ侵害の痕跡のこと。
痕跡には、マルウェア本体のハッシュ値、マルウェアが生成するファイル、レジストリ値などがあります。こうした情報を記述したファイルがIOCファイルです。
パターンマッチングではなく、レジストリ値などを検索。
亜種、変種を検知
痕跡情報
ファイル
C:¥instpgm¥Installer.exe

IoCファイルとして定義

ファイル
C:¥instpgm¥reset.exe

レジストリ¥HKEY̲LOCAL̲MACHINE¥CurrentVersion¥ProServiceSID¥HKEY̲LOCAL̲MACHINE¥SOFTWARE¥Personal¥Refresh

レジストリ¥HKEY̲LOCAL̲MACHINE¥CurrentVersion¥Proximity¥Plugin¥HKEY̲LOCAL̲MACHINE¥SOFTWARE¥Personal¥Refresh

一致

侵害されたPC
15

他のPC

IOC ファイルの作成 二つの方法• インシデントカードからIOCファイルを作成。
• IOC作成ツールからIOCファイルを作成。
使用出来る項目https://support.kaspersky.com/help/KESWin/11.11.0/ja-JP/220828.htm
https://support.kaspersky.com/Help/KESWin/11.11.0/IOC̲Terms/IOC̲TERMS.xlsx

使用可能なIOC項目
ArpEntryItem
DnsEntryItem
EventLogItem
FileItem
PortItem
ProcessItem
RegistryItem
ServiceItem
UserItem
VolumeItem
SystemInfoItem

IOCスキャンがスキャンするレジストリキー 一覧
https://support.kaspersky.com/help/KESWin/11.11.0/ja-JP/221708.htm

16

IOCスキャン結果の確認

17

実行防止（実行をブロック）
実行ファイルだけでなく、スクリプトの実行やOffice 形式のファイルオープンをブロックすることができます。
Adobe Acrobat、Microsoft Edge、Google Chrome、Mozilla Firefox、Tor BrowserからのPDFオープンをブロック。
AutoHotkey、cmd.exe、cscript.exe、wscript.exe、msiexec.exe、perl.exe、powershell.exe、python.exeなどのスクリプトインタープリターをサポート。

実行防止でサポートされるファイルの拡張子
https://support.kaspersky.com/KESWin/11.11.0/ja-JP/220820.htm
サポートされるスクリプトインタープリター
https://support.kaspersky.com/KESWin/11.11.0/ja-JP/220826.htm

18重要ファイルの誤消去防止
ファイルの隔離、実行防止などにより、Windows OSとKaspersky Endpoint Securityの実行に必要なファイルを、誤って削除してしまうことを防ぎます。

19構成

20

EDR Optimum 2.3 構成
管理サーバーKaspersky Security Center 13.2、14。（KES 11.11のプラグインを使用）
Kaspersky Security Center Cloud Console
エージェント
Kaspersky Endpoint Security for Windows 11.7~11.11（従来使用していたKaspersky Endpoint Agentは使用しません。KESに機能を内包しています）
Kaspersky Security for Virtualization 5.2 Light Agentと使用する場合は、
Kaspersky Endpoint Agentを使用。
Kaspersky Security 11.0.1 for Windows Serverと使用する場合は、
Kaspersky Endpoint Agentを使用。
Kaspersky Security Center Cloud ConsoleはKESB 300ライセンス以上を保有している場合など、使用条件があります。詳しくはKaspersky Security CenterCloud Consoleのヘルプをご確認ください。

21

EDR Optimum 2.3 構成
 EDR Optimumには、EDR Optimum(Bundle)と、 EDR Optimum add-onの2製品がある。
• EDR Optimumは Kaspersky Endpoint Security for Business Advancedを含んだフル機能製品。
• EDR Optimum Add-onは 以下の2製品にEDR Optimum 機能を追加する製品。
単独での購入は不可。
一部の端末でのみEDR ‒Optimumを使用する場合に購入する製品。
Add-onの対象ライセンス• Kaspersky Endpoint Security for Business Advanced• Kaspersky Endpoint Security for Business Select• Kaspersky Hybrid Cloud Security

注 Kaspersky Security for Virtualization 5.2 Light Agentを使用出来る、Kaspersky Hybrid Cloud SecurityライセンスをCPUライセンスで購入している場合、
EDR Optimum add-onは、保護したい仮想マシン数で購入します。

22

インシデント対応

23インシデントハンドリングプロセス

インシデントの特定
インシデントカード

知見のまとめIOCスキャンタスクの統合封じ込め（対話式対応）
実行をブロック（プログラム起動防止）
ファイルの隔離コンピューターをネットワークから分離する
IOCスキャンタスクの作成プロセスの終了

リカバリー
切り離した端末の復帰
誤検知時のファイル復帰

根絶
IOC スキャン24

インシデント対応：
準備

25

コンピューターのネットワーク分離時のネットワーク許可ルール
ネットワーク分離は論理的切断のため、インターネット、メール、ファイル共有などは遮断し、基幹業務だけ許可するなど、設定が可能。

26

インシデント対応：
特定フェーズ27

Kaspersky EDR Optimum 操作起点
「脅威レポート」から解析レポートを展開、インシデント対応を実行

28

「アラートの表示」からアラートカードを展開“詳細”レポート29

推奨事項（Guided Response)

推奨する対応を作業順番にガイド。
リンクをクリックすると、設定ボタンに誘導。

30

「アラートの表示」からアラートカードを展開“全ての警告イベント“レポート31アラートカード （詳細） レポート

KESのアクション
脅威プロセスの連鎖
インシデント詳細

32

アラートカード33

アラートカード: ファイルのドロップ

34

アラートカード: ネットワーク接続の情報

35

アラートカード: レジストリ

悪意あるプログラムが自動実行するようにレジストリが作成されています。

36

インシデント対応：レスポンス
封じ込め・対話式対応

37

レスポンス以下のアクションを、アラートカード上のボタンやタスクで実行します。
アラートカードからのレスポンス

“実行をブロック” ：プログラムの起動禁止

“隔離に移動する” ：ファイルの隔離“コンピューターをネットワークから分離する”： 端末をネットワークからの論理的に切断“IOCの作成” ： IOCスキャンタスクの作成タスクから実行38



“プロセスの終了” ：既に起動しているプロセスの停止“プロセスの開始“ ：任意のプログラムを実行“ファイルの削除“ ：任意のファイルを削除“ファイルの取得” ：任意のファイルを取得（元のファイルは残ります）

“ファイルの隔離“ ：任意のファイルを隔離（隔離領域に移動しアクセス不可になります）

“IOCスキャン“ ： IOCスキャンの実行

“実行をブロック”①アラートカードから、起動停止したいプロセスで、「実行をブロック」をクリック。

② ダイアログボックスで。OKをクリック③ KES for Windows ポリシーの中に、ルールが作成されます。

39

実際にブロックするか、記録するのみにするか予めポリシーを決定しておきます。

“隔離に移動する”① 隔離したいプロセスで、「 隔離に移動する 」をクリック。

② ダイアログボックスで。OKをクリック③ レポジトリの隔離に、隔離されます。

40

既に削除が完了している、ブロックしたためファイルがない場合など、隔離が行われない場合があります。
バックアップに既にファイルが存在する場合もありますので、ご確認ください。

”コンピューターをネットワークから分離する”① アラートカードから、「 コンピューターをネットワークから分離する 」をクリック。

② ダイアログボックスで。OKをクリック③ 端末(host)に、 「ISOLATED FROM NETWORK」のタグが付与され、端末が隔離されます。
隔離された状態では、ポリシーの設定で指定した、Isolation時のネットワーク許可ルールに基づき動作します。

41

「ISOLATED FROM NETWORK」タグが付与され、隔離された端末の確認

42

43

“プロセスの終了”：起動しているプロセスの停止① プロセスの終了タスクを作成します。

② プロセスの終了タスクのプロパティに、ファイルパスをペーストします。

44

“IOCの作成”
ファイルを選択し、「IOCの作成」をクリック

IoCスキャンによる痕跡検知時に取る、アクションの設定

45