国内EDR実態調査結果についてEDRの導入を成功させるために考えるべきポイント

タニウム合同会社
マーケティング本部長 (北アジア担当) 齊藤 純哉© 2021 Tanium. All rights reserved.

市場調査の概要について• 当社では、ITR社の第三者調査として、国内大企業のIT管理者および担当者を対象にEDR (EndpointDetection and Response)に関する実態調査を行い、644件の有効回答を入手しました– 当該資料引用箇所については出典を明記しております• アンケート回答者は従業員数1,000名以上の企業並びに公共団体となります• 本日のセッションでは、 国内におけるEDR導入の現状や課題についてご説明させていただきます• 加えて、EDR導入を成功裏に進めるために企業・公共団体がとるべき方向性について解説させていただきます© 2021 Tanium. All rights reserved.

1

はじめに

2

タニウムの会社概要
サイバーセキュリティ領域における#1* ユニコーン企業

Tanium Inc.
タニウム合同会社(日本)• 昨今のサイバー攻撃動向を踏まえ、先進的グローバル組織が積極的に取り組む施策とは？
設立

2007年(2012年まで5年間の製品開発期間)

2014年

代表

Orion Hindawi (Co-founder & CEO)

古市 力(代表執行役社長)

約2,000名

約100名

ワシントン州 カークランド

東京、大阪、名古屋

Ø テクノロジー & サービスパートナー

Ø 国内主要販売パートナー

従業員数
本社パートナー
ほか

主な実績

ベンチャー
キャピタル

米国：金融機関トップ12行が採用
米国：リテール企業トップ7社が採用
米国：米国防省傘下の大半が採用
フォーチュン100の企業の50％が採用

みずほフィナンシャルグループ様、資生堂様、全日本空輸様、NTTデータ様、NTT西日本様、ヤンマー様、福井県庁様、各重要インフラ事業者様 他 *法人格略© 2021 Tanium. All rights reserved.

* CBINSIGHTS – The Complete List of Unicorn Companies (2021, 05)

激しさを増すサイバー攻撃
世界規模で官民を問わずサイバーセキュリティの強化が叫ばれている© 2021 Tanium. All rights reserved.

4

高まる端末（エンドポイント）管理の重要性
エンドポイントセキュリティ＝EDR?
• EDRとは、Endpoint (Threat) Detection and Responseの略語。2013年にGartner社のAnton Chuvakin氏が提唱したコンセプト• エンドポイント(端末)における不審な挙動（および痕跡）を検出、調査ならびに対応を行うツールへの呼称。この領域に特化した新興ベンダが誕生する一方、大手企業もこの分野へ順次進出• 旧来からあるEPP(Endpoint Protection Platform)・アンチウィルスソフトがマルウェアへの感染予防目的であるのに対し、EDRはマルウェア感染後の被害最小化を目的とする• ゼロトラストを実装する中でもエンドポイントは注目領域• 海外だけではなく国内でも注目度は向上傾向 (図1)
© 2021 Tanium. All rights reserved.

図1. “EDR”のGoogle Trendでの国内における動向 (2013.4-2021.4)
5調査結果サマリ

6

EDRの認知度は高まっているが、実態理解は低い
EDRとアンチウィルスの違い*2

EDRの認知度*1わからない
5%
聞いたことがない
20%

違いは知らない23%

主な機能を含め、よく知っている
33%

名前は知っている43%

違うことは知っているが説明はできない
45%（N=644）違いを知っていて説明できる
32%（N=644）※1※2. 出典：ITR「国内EDR実態調査」（2021年2月調査）© 2021 Tanium. All rights reserved.

7

EDRへの期待と導入実態検知能力の高さは必ずしも有用性につながらない
EDRを選定した理由*3

EDR導入で困ったこと*40% 10% 20% 30% 40% 50% 60% 70%
検知率が高い0%

10% 20% 30% 40% 50%

効果が限定的だった （製品を導入で効果が限定的だった
きていない端末が関係する障害が発…

誤検知が少ない
導入・運用が簡単だから製品単体では検知後の対応が限定的
製品単体では検知後の対応がだった 限定的だった

検知数が多すぎた

動作が軽い取引があるベンダー・コンサルタント取引があるベンダー・コンサルタントが推薦したからが推薦したからわからない／外部SOCを利用していわからない／外部SOCを利用しているわからない／外部SOCを利用しているため問題点を把握できない
るため問題点を把握できないため問題点を把握できない

有名だからどう対応すればよいかわからなかった
価格が安い
その他

その他

※3※4. 出典：ITR「国内EDR実態調査」（2021年2月調査）© 2021 Tanium. All rights reserved.

8

EDRの利用頻度
1年に5回以下しか使われないという実態
EDRの検知・対応頻度*5•

前頁のアンケート結果にある通り、EDRを導入すると検知量そのものは総じて膨大になる•

これは脅威を見逃してしまう「フォールスネガティブ（検知漏れ）」と脅威ではない現象までも脅威として検知してしまう「フォールスポジティブ（誤検知）」のバランスと取るために、誤検知が増えてしまうという特性による•

無数に上がる誤検知を適切に捌いた上で、実際に対応が必要となる事象は企業規模を問わず年間で5件以下と非常に少ない

わからない
10%
1年に1回かそれ以下
27%

1年に10回以下
19%

1年に5回以下
44%※5. 出典：ITR「国内EDR実態調査」（2021年2月調査）© 2021 Tanium. All rights reserved.

9

EDRツールへの改善要望
導入済EDRの改善してほしいところ*60%

5%

10%

15%

20%

25%

30%

35%

•

誤検知の多さはツールの特性上、どうしてもついてまわる課題•

注目すべきはユーザの約3割が「検知だけで隔離や駆除まではやってくれない」ことに不満をもっていること•

EDRツールベンダの多くは検知(EndpointDetection)精度を上げることを優先するが、対応(Response)まで必ずしも網羅出来ているわけではない•

特に、大規模環境で一斉隔離するといったオペレーションを実装できるツールは必ずしも多くない

誤検知が多い
検知だけで隔離や駆除まではやってくれない
管理画面がわかりにくい
価格が高いこと
操作が煩雑改善してほしいところはない
他のアプリの稼働に影響を及ぼすことがある
動作が重い
画面表示が日本語化されていない
その他※6. 出典：ITR「国内EDR実態調査」（2021年2月調査）© 2021 Tanium. All rights reserved.

10EDRの導入効果を経営層に納得させることは難しい
年に数回の検知のために多額の投資を行うことが適切か
経営層の評価が低い理由*7
0%

10%

20%

30%

40%

50%

•

EDR導入後、経営層から芳しい評価を得られていない企業群への質問から、「EDR導入効果の明示化」への課題ならびに、「役立ったケースが少ない」という声が多数を占めることが確認された•

EDR導入後もインシデントが発生している割合が20%を超える•

EDR導入が、経営者観点で評価が低い背景には3点の課題が存在すると想像される
1. 活用が年に数回にとどまること
2. 検知のみの対応となっていること
3. 導入後もインシデントが発生すること

EDR製品の導入効果を経営層に明示するこ
EDR製品の導入効果を経営層に明示することが難しいためとが難しいためEDR製品が役立ったケースが少ないため経営層のサイバーセキュリティに対する意
経営層のサイバーセキュリティに対する意識が低いため識が低いためEDR製品を導入したがインシデントが発生
EDR製品を導入したがインシデントが発生したためしたため

EDR製品が導入されていない端末／グルー
プ企業でインシデントが発生しているため※7. 出典：ITR「国内EDR実態調査」（2021年2月調査）© 2021 Tanium. All rights reserved.

11

タニウムからの提言

12

EDRツール導入前に検討すべきポイント
先行して導入したユーザの動向から意識すべき３つのポイント

1

EDRは一連のセキュリティオペレーションプロセスの一部に過ぎず、検知・対応以外のプロセスの底上げをまず図ること

2＜見えないものは守れない＞
監視カメラ（EDR）を設置する前に間取図の入手が必要

3

ツール導入効果がわかるような明確なKPIを事前に設定し、そのKPIの達成度を定期的に測ってレポートすること© 2021 Tanium. All rights reserved.

13

EDRは万能ツールではない
NISTのサイバーセキュリティフレームワーク全体を踏まえた底上げが必要

特定防御

1

EDRは一連のセキュリティオペレーションプロセスの一部に過ぎず、検知・対応以外のプロセスの底上げをまず図ること

2

EDRツールは検知を行う監視カメラ
監視カメラを適切に設置するためには建物の設計図が必要

3

ツール導入効果がわかるような明確なKPIを事前に設定し、そのKPIの達成度を定期的に測ってレポートすること

対応

検知

復旧

EDRが得意な領域 = 有事の対策
カナダ サイバーインシデントレスポンスチーム(CCIRC)
Top 4 Strategies to Mitigate Targeted Cyber Intrusions

平時の対策 = サイバー衛生管理
サイバー衛生管理(ハイジーン)は、「絶対的な防御は無い」前提に立ち、組織が「最初に最低限実施しなければならない施策」であり、最大限のコスト効果も証明済み

米国国土安全保障省(CISA)

定量的な効果Top 30 Targeted High Risk Vulnerabilities

85%の97%の防御効果
97%の防御効果
防御効果
衛⽣管理実施

未実施

85%の85%の防御効果
防御効果
衛⽣管理実施© 2021 Tanium. All rights reserved.

未実施
14見えないものは守れない
自社の端末を100％見える化出来ている企業はほとんどないという事実

1

EDRは一連のセキュリティオペレーションプロセスの一部に過ぎず、検知・対応以外のプロセスの底上げをまず図ること

2＜見えないものは守れない＞
監視カメラ（EDR）を設置する前に間取図の入手が必要

3

ツール導入効果がわかるような明確なKPIを事前に設定し、そのKPIの達成度を定期的に測ってレポートすること

脆弱性の温床となる不衛生な端末が半数以上の実態*
衛生管理が出来ている端末群

衛生管理が出来ていない不衛生な端末群

約45％

約55％

資産管理は出来ている端末群

パッチ等の低い適用率

約85％

約40％

非管理端末群

約15％

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコン

パソコンパソコン

パソコン

パソコン

パソコン

パソコン

パソコン

サーバ

サーバ

サーバ

サーバ

サーバ

サーバ

サーバ

サーバ

サーバ

© 2021 Tanium. All rights reserved.

*タニウム 日本国内での独自調査 (2021)

15適切なKPIの設定と継続的評価
事後対策のみでは投資対効果を適切に計測することは難しい
KPI①
(網羅性)

実績①
(前回)

KPI②
(時間軸)

実績②
(前回)

95％以上

90％
(85％)

5分

5分
(5分)

ソフトウェア資産95％以上

92％(90％)

5分

5分
(5分)

モバイル資産

95％以上

75％(62％)

5分

5分
(5分)

資産管理 / 脆弱性管理

100％

99％
(100％)

5分

5分
(5分)

EPP / EDR

100％

95％(92％)

5分

5分
(5分)

Windows OS

100％

50時間

80時間
(94時間)

主要アプリケーション

100％

24時間

24時間
(36時間)

不正ソフトウェア利用0件

5分

USB不正利用0件

5分(5分)
5分
(5分)

カテゴリ
ハードウェア資産

IT資産把握率

主要
ツール
稼働率
パッチ適用率
ポリシー違
反100％
(95％)
98％
(95％)
3件
(0件)
1件
(3件)

5分

© 2021 Tanium. All rights reserved.

相対的リスク度

1

EDRは一連のセキュリティオペレーションプロセスの一部に過ぎず、検知・対応以外のプロセスの底上げをまず図ること

2＜見えないものは守れない＞
監視カメラ（EDR）を設置する前に間取図の入手が必要

3

ツール導入効果がわかるような明確なKPIを事前に設定し、そのKPIの達成度を定期的に測ってレポートすること

トレン
ド

リスク対応

•

IT資産把握率は順次で増加しているが、拠点Bにおける把握率が悪いので対策を見直す。

•主要ツールの稼働率は順次増加している。

変化なし

•

パッチ適用率は極めて良好な状態であり、次月も維持する。

中リスク

下降傾向

•

ポリシー違反は複数観測され、社員に対するポリシーの周知徹底を実施する。

高リスク

上昇傾向

中リスク

低リスク

下降傾向

16

世界で最も強いサイバー国家とは？
サイバーパワー世界ランキング
ハーバードケネディスクールのNational Cyber Power Index 2020レポートより

中国

我々がベストプラクティスしてベンチマークとすべき国家とは︖

⽶国ベンチマーク(国)が実⾏する戦略やフレームワーク、ガイドラインとは︖

⽇本

有事の対策から⼿を付けることが本当に近道なのか︖
引⽤︓https://www.belfercenter.org/sites/default/files/2020-09/NCPI_2020.pdf© 2021 Tanium. All rights reserved.

米国軍が推進する平時の対策の要諦
Ø ⽶国サイバー軍の発表(ポイントの要約)① ⾃組織のネットワークで起きている事の「可視化」の強化② オンプレミス環境から「ゼロトラスト環境」の全⾯拡⼤③ フィジカル領域だけでなくサイバー領域における「説明責任」の強化

リスク
影響度

平時︓プロアクティブ防御

有事︓リアクティブ防御

定常的なサイバー衛⽣管理のリアルタイム且つ網羅的な実施

リスク最⼩化から汚染/破壊された環境の復旧を⽬的としたサイバー・レジリエンスの実施

プロアクティブ防御

リスクの発⽣頻度が激減

サイバー衛⽣管理

リアクティブ防御
運⽤負荷が80％以上の削減※︓引⽤ :https://www.cybercom.mil/© 2021 Tanium. All rights reserved.

18

(事例) 米国土安全保障省(DHS) からの連続要請「平時」における安全宣言の要求 ‒ 2020年の発令を振り返る
8月:脆弱性情報

9月:脆弱性情報

9月:CI

24時間以内76時間以内迅速に

CVE-2020-1350
CVSSスコア10：緊急

CVE-2020-1472
CVSSスコア10：緊急

CVE-2018-8453等
CVSSスコア10：緊急❓

当該情報の全数端末 & 全数拠点の存在可否と対処完了の要求増加する「平時」における安全宣言、説明責任の対応© 2021 Tanium. All rights reserved.

19まとめ：ゼロトラスト時代に必要となるエンドポイント管理
リモートワークが進む今日こそ、有事の対策(EDR)の前に平時の対策を強化するべきいつの時代も「守るべき情報資産」にアクセスするのは常に「エンドポイント」である

Ø As-IsØØ To-Be

主な環境の変化• 「マルチ・デバイス」化• 「マルチ・アクセス」化
境界型セキュリティの限界

情報資産

セキュリティ対策の必要範囲

Ø

リスク要因の変化• 情報資産やIT資産の点在化• 把握し切れない膨大な脆弱性の点在化

対策
範囲の急拡
大情報
資産

情報
資産

資産
情報

情報
資産

情報
資産

ゼロ
ト
ラ
ス
ト
共存
環
境

情報
資産

SASE等

情報
資産

To-Beで求められるエンドポイントの要件①②③

ゼロトラスト環境＝「信頼出来ない環境」であり、いかにして「信頼出来る」環境を構築し、管理が出来るか？
信頼出来る環境とは、「全デバイスの可視化と制御」を「リアルタイム且つ網羅的」に実現出来る環境
NIST SP800-207では②の「サイバー衛生管理」なくして「ZTA*は実現しない」と明記© 2021 Tanium. All rights reserved.

*ZTA: Zero Trust Architecture20見えないものは守れない
EDRの導入の前にサイバー衛生管理の徹底を！

21