ひとことで言うと
パソコンだけでなく、メール・ネット・クラウドの記録もまとめて見張り、攻撃を見つけて止めるしくみ
EXAMPLE
たとえば
EDRがパソコンの中だけを見るのに対し、XDRはメールの受信やクラウドへのログインもつなげて見るので、攻撃の流れを追いやすくなります。
01XDRでできること・できないこと
XDR（Extended Detection and Response）は、パソコンだけでなく、メール、サーバー、クラウド、ネットワークなど複数の場所の記録を集めて、つなげて分析し、攻撃を見つけて止めるしくみです。トレンドマイクロは、XDRを「EDRの進化形」として2018年ごろに登場した言葉と説明しています。
できることは次のとおりです。
- ばらばらに出ていた警告を1つの攻撃の流れとしてまとめ、対応すべき件数を減らします。
- 「メールで届いた添付ファイルを開いた」「そのパソコンから怪しい通信が出た」「同じ人のIDでクラウドに見慣れない場所からログインした」といった出来事をつなげ、どこから入られ、どこまで広がったかを時系列で追えます。
- 攻撃と判断したら、パソコンをネットワークから切り離すなどの対応を自動で、または管理画面から行えます。
できないこともあります。XDRは「見つけて対応する」しくみで、入られないための更新やパスワードの管理の代わりにはなりません。また、警告を見て判断する人がいなければ効果が出にくくなります。つながっていない機器やサービスの記録は分析できません。
02EDRとの違い
| EDR | XDR | |
|---|---|---|
| 見る範囲 | パソコンやサーバーの中の動き | パソコンに加えて、メール、ネットワーク、クラウド、ログインの記録など |
| 得意なこと | 端末の上で起きた怪しい動きを見つけて止める | 複数の場所にまたがる攻撃の流れを追う |
XDRはEDRを土台にしていることが多く、EDRを置きかえるというより、見る範囲を広げたものです。たくさんの記録を集めて分析する点はSIEMと似ていますが、XDRは製品側であらかじめ検知と対応の流れが組まれている点が違います。
03どんな会社に必要か
- メール、パソコン、クラウドサービスをそれぞれ別の製品で守っていて、警告がばらばらに出て追いきれない会社。
- Microsoft 365などのクラウドを広く使い、社外からのログインが多い会社。
- EDRはすでに入れていて、次の段階を考えている会社。
パソコン数台の小さな会社では、まずウイルス対策ソフトやEDRと、更新・バックアップといった基本の対策を固めるほうが先です。
04選ぶとき・導入するときに見ること
- 自社がすでに使っているメールやクラウド、ネットワーク機器の記録を取り込めるか。同じメーカーの製品で固めると連携しやすく、他社製品とつなぐ場合は対応している範囲を確かめます。
- 警告を誰が見るか。社内で見られないなら、24時間の監視を代わりに行うMDRとセットで契約するかを決めます。
- どこまで自動で止めるか。業務に使う通信を誤って止めないよう、最初は通知だけにして様子を見る使い方もあります。
- 経営者に報告できる形のレポートが出せるか。
監視を任せられる会社はSOC・MDR・SIEMで比べられます。