MDR（Managed Detection and Response）

EDRなどの検知基盤の運用と、検知後の分析・対応支援までを外部の専門事業者が提供するサービス。自組織に24時間体制の分析要員を置けない場合に、検知から封じ込めまでの時間短縮を図れる。

機械学習や生成AIを、サイバー攻撃の検知や対応に活用する技術。通信やログの異常検知、未知のマルウェアの判定、フィッシングメールの識別、SOCでのアラートの優先順位付けやインシデント分析の支援などに使われる。AIシステム自体を攻撃から守る「Security for AI」と対になる考え方。

実行ファイルをディスクに保存せず、PowerShellやWMIなどOS標準のツールを悪用して、メモリ上だけで不正な処理を行うマルウェア。ファイルを検査する従来のウイルス対策ソフトでは検知しにくく、EDRによる振る舞いの監視やスクリプトの実行の制限で対策する。

組織内で発生したセキュリティインシデントに対応するためのチーム。インシデントの報告の受付、影響範囲の調査、封じ込めと復旧の指揮、関係者への連絡や外部の組織との連携を担い、平時には脆弱性情報の収集や教育・訓練も行う。

セキュリティ製品のアラートを待つのではなく、攻撃者がすでに侵入しているという前提で、ログや端末の挙動を能動的に調べ、潜伏している脅威の痕跡を探し出す活動。攻撃者のTTPなどの脅威インテリジェンスから仮説を立て、EDRやSIEMのデータを分析して検証する。

ファイアウォール、IDS/IPS、サーバ、端末、クラウドサービスなどが出力するログを一か所に集め、相関分析によってサイバー攻撃や不正の兆候を検知し、管理者に通知する仕組み。異なる機器のログを時系列で突き合わせられ、SOCでの監視やインシデント発生時の調査に使われる。

端末に限らず、ネットワーク、電子メール、クラウド、ID基盤など複数の領域のセキュリティ製品のデータを統合して分析し、攻撃の検知から調査、対応までを一体的に行う仕組み。EDRの考え方を組織全体に広げたもので、個々の製品では見えにくい攻撃の全体像を把握しやすくする。