課題解決～未知のサイバー攻撃への対応～

日々、先鋭化するサイバー攻撃の前に従来の防御技術は無力化しつつあります。攻撃者は、従来の技術対策を徹底的に研究して、サイバーセキュリティのパラダイムを覆す手法で攻撃を仕掛けてきます。

「未知のマルウェア」
既知の情報（ブラックリスト）に依存する従来のアンチウイルスでは未知の脅威は検知ができません。
「サンドボックス回避」
サンドボックスはプログラムを実行し挙動を確認する技術ですが、攻撃者はマルウェアがサンドボックスに置かれていることを検知する技術を次々と開発しています。サンドボックスに置かれていることを検知するとマルウェアは動きを止めてしまいます。

• ファイルレス攻撃
  …ディスクには痕跡を残さずメモリ内だけに常駐するファイルレス攻撃は、ファイルを検査対象とする従来のアンチウイルスには検知できません。
• マルウェアレス攻撃
  …PowerShell等、Windowsに元から組み込まれているツールを利用した攻撃が存在します。こうした正規ツールは従来アンチウイルスの検査対象にはなりません。
• 添付ファイルの暗号化
  …マルウェアが暗号化されメール添付されていた場合、UTMのゲートウェイアンチウイルスをすり抜けてしまいます。
• 常時SSLの弊害
  …SSLが常態化した現在、サイバー攻撃は暗号化通信を隠れ蓑としてゲートウェイセキュリティをすり抜けてしまいます。

これらの攻撃に対抗するには、新しいアプローチの対策が必要です。EDR（Endpoint Detection and Response）は侵入されることを予め想定し、侵入した脅威をいち早く検知し対応するという新しい発想の対策です。ウォッチガードは、このEDR分野のソリューションに新しく「WatchGuard EPDR」を組み入れました。

「ゼロトラスト・アプリケーション・サービス」
ゼロトラスト・アプリケーション・サービスは、プロセスを監視対象とし、すべてのプロセスを悪意のものか正当なものか分類します。既知のマルウェア情報と既知のグッドウェア情報、さらにAIを駆使して99.98%まで分類し、残りの0.02%はスレットエキスパートとマルウェアアナリストが分類します。ゼロトラスト・アプリケーション・サービスは、未知の脅威であってもサイバー攻撃を確実に検出します。

 

「スレット・ハンティング・サービス」
WatchGuard EPDRには、サイバーセキュリティチームによるスレット・ハンティング・サービスが標準で含まれます。常に新たなファイルレス攻撃やマルウェアレス攻撃等、未知の脅威を発見、解析し、システム全体にフィードバックします。

 

セキュリティ運用の負荷

EDR製品の多くは、異常を検知した際の白黒判定が難しい場合、ユーザー組織に対してグレー情報としてアラートを出します。情報の判定には専門知識を要するため、多くの民間企業では社内で適切な対処を取ることができません。また、昼夜を問わない対応が求められますので、高度なスキルを持つ人材を複数名配置する必要があります。このような理由から対応をSOC（セキュリティ・オペレーション・センター）サービスにアウトソーシングする組織もありますが、コストの面で利用できる組織は限られます。

WatchGuard EPDRは、自動化を追求したEDR製品です。前述の「ゼロトラスト・アプリケーション・サービス」が、PC上で実行中のプロセスを100%分類します。判断をお客様に委ねることはしません。
また、封じ込め、修正、フォレンジックも自動対応で、管理者の負担を大幅に軽減します。