One」という新たなセキュリティ製品を7月以降にリリースすると発表しました。コーポレートエディション」の後継モデルにあたります。コーポレートエディションからどのような進化を遂げたのか、「Apex(頂)」の言葉にはどのような意味が込められているのか。Oneの全貌をご紹介します。「悪意」として検知されにくくなっている近年のサイバー攻撃トレンドマイクロ社によると、近年のサイバー攻撃における脅威の傾向は2つ挙げられるようです。正規の通信に不正なプログラムを紛れ込ませたり、Windowsに標準装備されている機能を悪用したりして、セキュリティ製品にサイバー攻撃だと検知させないような攻撃のこと(2)サイバー攻撃の”見えない化”マルウェアがコンピュータ内に侵入する際の侵入経路のHTTPS化や、サイバー攻撃にファイルを使用しないファイルレス攻撃など、攻撃の全容が掴みにくい攻撃のことこれらの特徴は、いずれも「悪意」そのものを検知させにくくするものであり、このような水面下に潜む悪意にどう対処していくかは、避けては通れない問題だと言えます。企業のインターネットセキュリティを取り巻く環境的課題として、GDPRやサイバーセキュリティ経営ガイドラインなどへの適応や、専門知識を持った人材の確保、テレワークの増加や多様化する業種特有環境などを挙げ、脅威の傾向に対応するだけでなく、企業を取り巻く環境の改善もまた、急務だといえます。Oneには、3つの特徴があるようです。Oneでは、「サイバー攻撃の”見えない化”」で挙げたファイルレス攻撃への対策として、メモリスキャンや挙動監視の精度が向上されているそうです。パターン化されていないマルウェアに対しても対応できるよう、プログラム実行前の「ファイルの特徴」と実行後の「ふるまい(挙動)の特徴」から悪意のある行動を検知する、機械学習型検索も搭載されています。これらのことから、セキュリティ製品として第一に求められる「防御力」はさらに強化されているといえるでしょう。(2)迅速かつ簡単なインシデント対応の実現マルウェアを検知して駆除するだけでは不十分である、ということはご存知でしょうか。ウイルスを駆除できたからひと安心、で終わらせずに、そもそも自社のセキュリティがどのような攻撃によって破られ、どの範囲に被害を受けたのかの特定や、感染拡大や二次被害を防ぐための処置を素早く講じる必要があります。した措置を行う場合、多くのセキュリティソフトでは、セキュリティのスペシャリストが膨大なログの中から該当のログを探し出すことで特定を進めるため、多大な時間、コストがかかります。セキュリティ担当者がいない事業所でインシデントが発生した場合、対応のために現地に赴く必要も出てくるかもしれません。その間、事業所のネットワーク機能を停止しなければいけないとなった際、業務に影響が出ることも予想され、かなりの痛手となるでしょう。Oneは、インシデントの予防や対処だけでなく、スレッドインテリジェンスを活用した侵入プロセスの可視化機能や、テレワークや他事業所などでインシデントが発生した際に遠隔で対処・調査ができるリモート管理機能を搭載しています。これらの機能から、スムースなセキュリティインシデント対応を実現できる可能性を筆者は感じました。Oneの特徴のなかで、筆者が最も秀逸に感じたのがこの部分です。事前予防(EPP)から、インシデント発生後の調査や分析といった事後処理(EDR)までのトータルなインシデント対応を、シームレスに統合しているそうです。セキュリティインシデントが発生したら通常、脅威の対象を取り除くだけでなく、「どこから侵入を許したのか」「どのようなプログラムだったのか」を明らかにする事後処理が欠かせません。最近ではGDPRがインシデント発生後の調査報告を義務付けたことで話題になりましたが、リソース不足などから大半の企業ではこの事後処理が行われていないのが現状です。Oneは、これからの企業のセキュリティ環境を大きく変えていく力があるように感じました。Oneという名前の由来へと移ります。コーポレートエディションは、トレンドマイクロ社が最初に展開した法人向けサービスです。Oneの「Apex」という単語にありました。Oneは現在のインターネットセキュリティの肝であるEPPからEDRまでを、包括的かつ統合的に手掛ける存在です。企業のセキュリティ環境のまさに“頂点”に立ち、俯瞰的に全方位へ対応するという意味で、「Apex」の名称がふさわしいといえるでしょう。Oneを宣伝する際に使用する「シングルエージェントが導く、エンドポイントセキュリティの頂。2019春のトレンドマイクロブースにあったパネルや、セッションの際に配られたパンフレットには、山の頂上に立って周囲を俯瞰している男性のイメージが使用されていました。Oneの特徴を上手くとらえていると感じられました。登壇ブースにも山の風景パネルがあしらわれており、セッションで話をするトレンドマイクロ社員の方が、まるで山脈の頂点に立つような仕掛けとなっていました。Oneにかける期待と自信が感じられます。Oneが補う多くの経営者やセキュリティ担当者は、まさか自社がサイバー攻撃の被害に遭うなどとは考えていないと思われます。そのため、セキュリティインシデントが発生した際にいったいどのような作業が必要になるのか、ほとんど理解できていないセキュリティ担当者も少なくないのが現状なのではないでしょうか。仮に何をするべきなのかが分かっていたとしても、リソース不足などから確実に実行するのは難しいという現場からの声も、多く聞かれると思います。Oneがどのような役割を果たすのかの説明もなされました。作業1.被害範囲の特定これは、会社にあるすべてのコンピュータのうち何台が被害に遭っているのかを特定する作業です。Oneは、1台のコンピュータがマルウェアに感染した時点で、同一ネットワークに存在しているコンピュータの中から類似した挙動をしているものがないかを検索し、被害範囲を特定することができます。Oneは強力な味方となるでしょう。作業2.OSのリストア感染したマルウェアの駆除にあたり、セキュリティソフトでは難しいと思われる場合に行われるのが、OSのリストアです。OSのリフレッシュとも呼ばれ、簡単にいえばOSの初期化と引き換えにマルウェアを消去する行為です。一度侵入を許してしまったということは、残念ながら現在使用しているセキュリティソフトではそのマルウェアに対処できないということを示します。OSをリストアしたところで、また同じような手口に引っ掛かり、同様の被害に遭う可能性があるのです。OneはEPPとEDRの機能をシームレスに展開させられる製品なので、事後処理の過程で判明したマルウェアの特徴をすぐさまEPP機能にフィードバックし、事前予防を自社の環境に合わせて成長させ、適宜強化していくことが可能です。「せっかくOSをリストアしたのにまた同じマルウェアに感染してしまった...」といった不毛な事態を防ぐことができるでしょう。作業3.感染端末の回収サイバー攻撃を受けた際、報告書や今後の予防策を作成するため、感染端末を回収して調査をする必要があります。感染したコンピュータがセキュリティ部門と同じオフィスにあれば端末の回収は容易ですが、もし、感染したのが北海道でセキュリティ部門が東京にある場合は、そう簡単にはいきません。ネットワークからの隔離や状況の保全など、マルウェア感染が疑われるときにとるべき行動が正しく実行されない、実行できない恐れもあります。Oneを導入しているコンピュータであれば管理サーバでの一元管理が可能なので、被害端末の特定から被害端末の論理隔離、そして通信ログの解析まで、わざわざ現地に行き端末を回収してから行う必要がなくなります。現場にもセキュリティ部門にも余計な手間をかけることない、安定的なセキュリティ運用が可能になるでしょう。作業4.侵入経路を特定するフォレンジック解析マルウェアに感染した際は、被害状況の特定や侵入経路を明らかにするためにフォレンジック解析が求められることがあります。フォレンジック解析には、コンピュータ内にある断片的な電子データや大量の通信ログを読み解ける専門的な知識を持った人材リソースが必要になります。トレンドマイクロ社によれば、インシデント発生後に必要となる作業の中でも、特にこのフォレンジック解析は、リソース不足が原因で正しく行えている企業は少ないとのことでした。Oneにはフォレンジック解析機能がパッケージングされています。社内のリソースだけで不正な通信が発生した箇所や発生元のプロセスを特定するだけでなく、わかりやすく図で示されるのです。※個人名が含まれるため、画像の一部を加工しています。フォレンジック解析は専門知識が必要な作業であり、そのハードルが高い代わりに見返りも大きく、人材リソースさえ確保できれば、今後のセキュリティ環境の構築に生かせる情報が手に入ります。GDPRに適合しなければいけない企業にとっては、フォレンジック解析による調査は不可欠な要素です。Oneの導入は、人材リソースを確保できない企業にもフォレンジック解析を可能にし、その調査を通して「今回の被害は何が原因で、次にどのような一手を打ち出すべきなのか」を理解しやすくなる、魅力的な選択肢といえるでしょう。本稿で紹介したインシデント発生後に必要となる作業は、本来はセキュリティ担当者が行うべき業務内容です。その全てを把握し、一つ一つに的確な処置が下せる人材はそう多くありません。中堅・中小企業に見受けられるような、他業務との兼任セキュリティ担当者の場合は、知識や技術はあっても単純に時間が足りずにそこまで手が回らないということもあるでしょう。セキュリティソフトはこれまで、未知のウイルスが出現したらそれに向けて対策をする、というサイクルで進化を続けてきました。Oneへの進化は、少々様相が異なります。Oneへの進化は、特定の攻撃手法への対策ではなく、どのような攻撃手法にも対応しうるものへの進化だからです。Oneはセキュリティの担保に力を貸してくれることでしょう。7月以降から順次アップデートが配信開始EPP機能とEDR機能を統合させ、さらに今まではスペシャリストがいなければできなかったフォレンジック解析をより一般化させようとするトレンドマイクロ社の取り組みには驚きましたが、まだリリース前の製品であるため、本当の実力はまだわかりません。その評価は、今後実際にセキュリティ担当者が使用を重ねていく中で、徐々にはっきりとしてくることでしょう。Oneというトレンドマイクロ社の意欲作が、企業のセキュリティ担当者にとってどれほどのサポートとなるのか、7月以降のリリースに期待しましょう。ビジネスセキュリティサービスはトレンドマイクロ株式会社の登録商標です。各社の社名および製品名は各社の商標または登録商標です。Edgeとは何か?~次世代UTMアプライアンスで実現する高次元のセキュリティ対策~ピックアップコンテンツ猛威を振るったマルウェア「Emotet」の振り返り。