ひとことで言うと
EDRなどの警告を、専門家が代わりに見て対応するサービス
EXAMPLE
たとえば
担当者がいない夜中に警告が出ても、専門のチームが本物の攻撃かを見分け、パソコンを切り離すところまで代わりに行います。
01MDRでできること・できないこと
MDR（マネージド・ディテクション・アンド・レスポンス）は、EDRなどの道具が出す警告を、専門のチームが代わりに見て、対応までしてくれるサービスです。マイクロソフトの説明では、道具と人の専門知識を組み合わせたサービスで、主に次のものが含まれます。
- 24時間体制の監視と対応
- 専門家が自分から攻撃の痕跡を探す（脅威ハンティング）
- 攻撃が広がらないよう封じ込め、取り除く対応
- 再発を防ぐための原因の分析
- 週ごと・月ごとの報告
EDRとの違いは、道具か人かです。EDRは動きを見張って警告を出す道具で、MDRはその道具とデータを専門家が運用するサービスです。SOCとの違いは、SOCが監視するチームや場所そのものを指すのに対し、MDRは社内に人を増やさずにSOCの働きを使えるようにするサービスだという点です。
できないこともあります。MDRが見られるのは、契約の範囲に入っている機器だけです。対応も「パソコンを切り離す」ところまでで、データの復旧や、取引先・お客様への説明は自社の仕事として残ることが多くあります。契約しても、社内に「連絡を受けて判断する人」は1人決めておく必要があります。
02どんな会社・人に必要か
- セキュリティの専任者がいない、または1人しかいない会社
- EDRを入れたが、警告が多すぎて見きれていない会社
- 夜や休日に攻撃されても、すぐ対応できる体制がほしい会社
- 取引先から、監視や事故対応の体制を説明するよう求められている会社
03選ぶとき・導入するときに見ること
- どこまでしてくれるか：知らせるだけか、パソコンの切り離しまでするか、そのあとの調査や復旧の手伝いまで含むか。
- 連絡の方法と時間：本物の攻撃だと分かったとき、何分以内に、だれへ、どの手段で知らせるか。日本語で、夜間も対応するか。
- 対象：使っているEDR製品に対応しているか。クラウドやメールの監視も含められるか。
- 報告：月ごとの報告で何が分かるか。取引先への説明に使える形か。
- 契約前に、事故が起きたときの社内の連絡先と、MDR側に任せる判断の範囲を決めておきます。
サービスはSOC・MDR・SIEMで比べられます。