XDRとは

XDR (Extended Detection and Response)の基本ガイド

XDR：セキュリティにおける新たな概念

Gartner Top Security Projects for 2020-2021でトップ10^[1]セキュリティプロジェクトの1つに選ばれたことや、数多くの思想的リーダーが「最新の進化」と評価していることなど、XDR (extended detection and response)は、今日の巧妙化するサイバー攻撃をプロアクティブに防御するための画期的で新しい総合的アプローチとして存在感を増しています。このソリューションは、話題性だけでなく、SOCの規模と効率を変革する可能性も示唆しています。XDRへの関心と導入が急速に高まり続ける中、セキュリティ部門のリーダーは業界の誇大広告をうのみにすることなく、XDRの使用により組織にどのような影響を与えることができるかを理解することが重要です。

^{1 Gartner Top Security Projects for 2020-2021}

XDRの「X」の意味

「D」と「R」についてはよくご存じかと思いますが、検知と対応において新たな展開をもたらしたのが「X」です。この「X」は、企業全体にわたって保護を統合し拡張することを表しています。XDRの前身であるEDR (endpoint detection and response)は、エンドポイントでの脅威を監視し組織を保護することが焦点でした。データは境界を越えて移動するため、保護範囲をエンドポイントだけでなくネットワーク、サーバー、クラウドまで拡張するにはXDRが必要でした。アナリスト会社ESGはXDRを次のように定義しています。

ハイブリッドITアーキテクチャ全体にわたり、脅威の予防、検知、対応に関して相互運用および連携するように設計されているセキュリティ製品の統合スイート。XDRは、コントロールポイント、セキュリティ監視データ、分析、運用を1つのエンタープライズシステムに統合します。

簡単に言えば、XDRは、複数の攻撃手法にわたる脅威を特定して阻止するための、予防、検知、対応の単一プラットフォームを提供します。急速に変化する脅威の状況に対する可視性が強化されることで、XDRソリューションに含まれる主な価値には次のようなものがあります。

攻撃対象領域全体から得られる監視データ、ログ、その他のデータに機械学習やその他の分析手法を適用することで、セキュリティの有効性を最大化し、脅威を検知するまでの時間（MTTD）や脅威に対応するまでの時間（MTTR）を短縮します。
セキュリティチームの手動タスクの負担を軽減し、データの表示、調査の実施、対応アクションの実行が可能な単一のツールを提供することで、セキュリティ運用の効率を高めます。

XDRで解決される問題

現代の脅威が複雑さを増す中で、多くのサイバーセキュリティソリューションの進化は遅くなっています。ランサムウェアやゼロデイ攻撃などの巧妙化する脅威はその量が増え続けており、多くの組織にとって非常に高いコストがかかることが判明しています。これらに対処するために、組織は防御、検知、対応を含むプロアクティブなアプローチを実装する必要があります。

防御・検知・対応の一元化

エンドポイント保護は、多くの組織にとって通常、最初の防衛線です。エンドポイント上の脅威を瞬時かつ自動的に特定して阻止することで、時間を節約し、横方向の移動を防ぎます。結局のところ、セキュリティアナリストチームがどの脅威が阻止されたのかをすぐに確認できない場合、重大ではない攻撃の相関付けと検証に日々の労力の大部分を費やすことになります。XDR機能と次世代エンドポイント防御を組み合わせることで、セキュリティ運用を優先度の高い重大な脅威に集中させることができます。

サイロ化された防御は時間の浪費

セキュリティアナリストは、各アラートの調査に約24～30分を費やしています。異なるのセキュリティツールを使用すると、アナリストは手動でデータを結合したり、ツール間を行き来したりしなければなりません。XDRは、複数のセキュリティ対策にわたるセキュリティイベントを一元管理し、キルチェーン全体で複雑な攻撃がどのように進行するか、総合的なアプローチを提供します。XDRは、複数のソースからのかすかなセキュリティ上の危険信号を組み合わせてより強力な信号とすることで、既知および未知の脅威を識別します。

アラート対応疲れが生産性に影響

情報のないデータは意味のないノイズにすぎません。データを相関付けするための統合プラットフォームがなければ、セキュリティアナリストが膨大な量のアラートの多すぎるサイバーセキュリティノイズに埋もれてしまうまでに、それほど時間はかかりません。XDRは、より詳細な情報に基づいて誤検知を排除し、セキュリティ運用において重大なインシデントに集中できるようにします。統合と相関付け機能がなければ、セキュリティチームは大量のアラートの「ノイズ」に簡単に埋もれてしまい、調査すべきアラートの優先順位を付けるのに苦労する可能性があります。

数字が物語る状況

ESGは最近の調査で、現代のSOCにおけるXDRの影響を理解するために388人のIT/情報セキュリティ専門家を対象に調査を行いました。この結果は、XDRがセキュリティ分野でこれほど勢いを増している理由を反映しています。

高度な脅威検知に対する大きなニーズ

IT専門家の83％が、脅威検知・対応ソリューションへの予算を増額しています。

IT専門家は検知を改善するための実行可能なアプローチとしてXDRを認識

IT専門家にとって最も魅力的なXDRの機能の上位4つのうち3つが脅威検知に該当します。

複雑な攻撃の可視化：42%
最先端の攻撃を検知する分析機能：38%
検知までの平均所要時間の短縮：31%

SecOpsの有効性を高めるXDR

IT専門家の60％近くは、「XDRを活用することでセキュリティアナリストの能力を強化できる」と考えています。

XDRへのアプローチ

独自の拡張検知と対応を有するXDR

独自XDRまたはネイティブXDRは、ベンダーが自社のセキュリティソリューション製品群をXDR管理プラットフォーム上で一元管理する形態で提供されます。専有型XDRの主な利点は、ポートフォリオ全体にわたる既製の統合システムと事前調整された検知メカニズムにより、価値を実感するまでの時間が短縮されることです。その一方で、このアプローチでは、ベンダーロックインを通じて単一のベンダーに大きく依存することになります。さらに、お客様側で導入済のセキュリティ対策システムを「総入れ替え」する必要があるほか、ベンダーの製品ポートフォリオでカバーできないサービスがある場合、有効性が薄れてしまう恐れがあります。

オープンXDR

オープンXDRまたはハイブリッドXDRは、単一ベンダーのソリューションとは対照的に、最善の組み合わせのセキュリティ製品を統合したアプローチで、無意味なセキュリティアラートを減らし、脅威の可視性を向上します。多くのセキュリティ部門のリーダーは、既存のセキュリティツールへの投資を有効活用し、組織が将来必要とする可能性のあるソリューションを柔軟に追加できるため、オープン性のあるXDRを好みます。クラウドネイティブアーキテクチャ上に構築されたオープンXDRは、スケーラビリティに対するセキュリティ運用のニーズを満たすだけでなく、ビッグデータを活用してより効果的に正規化および相関付けを行います。

Taegis XDRでできることを確認してください

XDRの利点

一元化機能と相関付け機能によりアラート対応疲れを軽減

Gartner社は、XDRソリューションの重要な要件として、一元管理と相関付け機能を挙げています。一元管理とは、履歴およびリアルタイムのイベントデータを中央リポジトリ内で共通のデータ形式に統合することです。脅威アクティビティの全体像を把握し、相関付けにより複数のセキュリティコンポーネントからの関連する兆候を組み合わせて、不正なアクティビティを特定し、アラートを検証します。

脅威をより迅速かつ正確に検知

攻撃者は、サイロ化されたポイントソリューションによって生じるギャップを悪用することがよくあります。完全に統合されたプラットフォームがない場合、多くのセキュリティチームはセキュリティの死角を特定し、攻撃対象領域内の高度な回避型の脅威を迅速に検知して対応するのに苦労します。XDRを使用すると、セキュリティ運用チームは環境内のあらゆる場所で高度な攻撃を検知でき、誤検知への対処にかかる時間を短縮し、検証済みの優先順位されたアラートによって本当の脅威にいち早く対処できるようになります。非接続型のセキュリティツールを使用すると、複雑な攻撃を検知する能力が低下します。全体的な可視性を備えたXDRにより、より迅速な検知、滞留時間の短縮、および影響の迅速な緩和が可能になります。

効率の向上によりセキュリティ運用の生産性が向上

膨大な量のデータを精査して高精度のアラートを見つけるのは時間がかかる場合があります。そのため、通常、セキュリティアナリストは重大な脅威の調査や対応にかける時間が減少します。機械学習の力を活用する次世代エンドポイント防御は、脅威を自動的にブロックして侵害のリスクを軽減すると同時に、調査の必要がある脅威の量を減らします。XDRは、より詳細な情報を含めた高精度のアラートを配信する、統合されたインシデント対応機能を提供します。環境全体の可視性とワークフロー自動化機能を強化する一元管理ハブにより、セキュリティアナリストの業務効率と生産性が向上します。

マネージドソリューションが必要な場合

XDRとSIEMの違い

XDRとSIEMソリューションを比較する

XDR（Extended Detection and Response)が従来のSIEM (Security Information and Event Management）ソリューションとどう違うのか疑問に思われるかもしれません。XDRとSIEMの最大の違いは、アラートの作成方法にあります。XDRアラートは、取り込まれたすべてのデータ、適用されたインテリジェンス、およびXDRベンダーによって提供される最適化を考慮した、XDRシステムの厳選された意見です。一方、SIEMアラートには主に、SIEM所有者が設定したログ処理ルールとウォッチリストによる自動処理の結果が含まれます。SIEMは汎用のビットバケットであり、SIEMの有効性は、脅威の状況に関する所有者の知識、可視性、経験によって決まります。組織がSIEMのメンテナンスと継続的な改善にリソースを投入できるかどうかは、セキュリティの成果に大きく影響します。対照的に、XDRシステムはその作成者と同じくらい優れています。XDRシステムはセキュリティ分析と脅威検知を目的として構築されています。真のXDRソリューションは、あらゆる種類のデータを取り込み、設計者が作成した高度な分析を適用して、システムの所有者が他の方法では知り得なかった状況を明らかにすることができます。

Secureworks®は、多岐にわたるセキュリティ分野の専門知識に加え、世界クラスの脅威調査能力と膨大な現実世界のデータを保有しているため、Taegis™は市場で優秀なXDRソリューションとして評価されています。

ホワイトペーパー
XDR vs. SIEM: A Cybersecurity Leader’s Guide
オンデマンドウェビナー
インフォグラフィック
ホワイトペーパー
XDR vs. SIEM: A Cybersecurity Leader’s Guide
オンデマンドウェビナー

E-Book

組織がXDRに求めるもの

ESGは、XDRに対する市場認識、およびXDRソリューションに伴う価値と課題をより深く理解するために、複数の業界のサイバーセキュリティ専門家に調査を実施しました。ESGの調査でXDRの状況がどのように明らかになったのか、XDRが将来のセキュリティプログラムのニーズをどのように満たす可能性があるのかついて詳しくは、E-Bookをお読みください。

XDRに関するよくある質問

XDRに関するよくある質問（FAQ）

XDRとEDRの違いは何ですか？

Endpoint Detection and Response（EDR）は、組織のエンドポイント上の脅威を検知して対応するのに役立ちます。エンドポイントとは、モバイルデバイス、デスクトップコンピューターなど、組織のネットワークに接続するあらゆるデバイスです。Extended Detection and Response（XDR）は、エンドポイント、クラウド、ネットワーク、アイデンティティなど、より多様なソースからデータを収集することにより、EDRを超えるものとして「拡張」されています。EDRセキュリティは重要ですが、総合的なサイバーセキュリティポートフォリオの一部にすぎません。XDRを使用すると、エンドポイント以外にも可視性を拡張し、エンドポイントをバイパスできる巧妙化した脅威をブロックできます。

XDRはSIEMに取って代わるのでしょうか？

SIEMに多額の投資を行っていない組織や、サイバーセキュリティ予算の配分を再調整/再最適化する戦略の一環としてSIEMへの投資を廃止する準備ができている組織の場合、XDRは潜在的に二重の役割を果たすことができます。これは、従来のSIEMプラットフォームを維持するための継続的な投資をすることなく、XDRがセキュリティ運用の中核となる運用プラットフォームと、コンプライアンス/監査レポートのための中央データリポジトリの両方として機能するためです。ただし、組織によっては、コンプライアンスと監査の目的でSIEMの使用を選択する場合もあります。一方、XDRは、攻撃対象領域の拡大とセキュリティ境界の縮小という新時代において、サイバーセキュリティリスクを軽減するためのより強力なプラットフォームです。

XDRはAIを使用しますか？

はい、XDRは、取り込まれたデータの正規化と相関付けから、正確なアラートの検証と優先順位付けに至るまで、脅威検知プロセス全体にわたって人工知能（AI）と機械学習（ML）を使用します。MLアルゴリズムは、データを継続的に検索して、微妙な動作の手がかりなど、環境内の不正なアクティビティを特定する検知機能を強化します。XDRはAIを活用した分析を使用して、最先端の新たな脅威を検知します。

XDRソリューションとは？

XDR (extended detection and response)は、今日の巧妙化するサイバー攻撃に対する新しい総合的なアプローチとして登場しました。データは境界を越えて移動するため、保護範囲をエンドポイントだけでなくネットワーク、サーバー、クラウドまで拡張するにはXDRが必要でした。簡単に言えば、XDRは、複数の攻撃手法にわたる脅威を特定して阻止するための、防御、検知、対応の単一プラットフォームを提供します。

企業にXDRセキュリティが必要である理由は何ですか？

現代の脅威が複雑さを増す中で、他のサイバーセキュリティソリューションの進化は遅れをとっています。ランサムウェアやゼロデイ攻撃などの巧妙化する脅威はその量が増え続けており、多くの組織にとって非常に高いコストがかかることが判明しています。これらに対処するために、組織はXDRを導入して、防御、検知、対応を統合しています。XDRは脅威をより迅速かつ正確に検知して、リスクを軽減するとともに、既存の投資を最適化し、セキュリティ運用の効率を高めます。