EPP（Endpoint Protection Platform）とは?

EPP の定義

EPP（Endpoint Protection Platform）は、PC、ノート PC、サーバー、モバイルデバイスなどのエンドポイントで、脅威が実行される前または実行初期に遮断するセキュリティプラットフォームです。製品や運用ポリシーによっては、一部のサーバー環境も保護範囲に含めることができます。ユーザーがファイルを開く、アプリケーションを実行する、外部ストレージを接続する過程では、マルウェア、ランサムウェア、脆弱性悪用の試みが発生する可能性があります。EPP は、こうしたリスクが実際の感染や拡散につながる前に防ぐことに重点を置きます。

従来のアンチウイルスが既知のマルウェアファイルの検知と削除に近い機能だったのに対し、EPP はエンドポイント保護に必要な複数の予防機能を 1 つの管理体系で提供します。一般に、マルウェア対策、ファイアウォール、侵入防止、デバイス制御、アプリケーション制御、Web 脅威遮断、データ保護、中央管理機能が含まれます。製品によっては、脆弱性診断やパッチ管理機能も提供します。

EPP の運用目的は、エンドポイントセキュリティポリシーを一貫して適用することです。セキュリティチームは、未承認プログラムの実行を制限し、危険なファイルを隔離し、リムーバブルストレージの使用や Web アクセスポリシーを管理できます。つまり EPP は、攻撃を詳細に分析するツールというより、感染の可能性を下げ、基本的なセキュリティ基準を維持する予防中心のプラットフォームです。

エンドポイントが攻撃の起点になる理由

企業の業務環境は以前より分散しています。従業員はオフィスの PC だけでなく、ノート PC、スマートフォン、タブレットも使用します。一部の業務はリモートワーク環境で行われ、SaaS アプリケーションやクラウドサービスへのアクセスも増えています。この過程でエンドポイントは社内ネットワークの内外を移動し、さまざまなシステムとデータをつなぎます。

攻撃者はこの接点を利用します。フィッシングメールで悪意のあるファイルを送ったり、正規プログラムを装ったファイルを実行させたりします。古いソフトウェアの脆弱性を悪用してマルウェアをインストールすることもあります。1 台のエンドポイントが侵害されると、攻撃者はアカウント情報、ファイル、内部システムへのアクセス権をさらに狙います。この段階で検知と遮断が遅れると、ランサムウェア感染、情報漏えい、内部移動につながる可能性があります。

EPP が必要な理由はここにあります。すべてのユーザーが常に安全な判断を下すことも、すべてのデバイスを同じセキュリティ状態に保つことも容易ではありません。セキュリティチームは、危険なファイルの実行、未承認プログラムの使用、リムーバブルストレージの接続、脆弱なシステム状態をポリシーに従って制御する必要があります。EPP は、この基本基準をエンドポイント全体に適用し、攻撃が実際の侵害につながる可能性を低減します。

EPP の主な機能

EPP は複数のセキュリティ機能を 1 つの管理体系で運用し、エンドポイントを保護します。製品ごとに構成は異なりますが、一般に次の機能が含まれます。

機能	説明
マルウェアの検知と遮断	ウイルス、ワーム、トロイの木馬、ランサムウェアなどの悪意のあるファイルを検知し、実行を防ぎます。
振る舞いベースの検知	ファイル名やシグネチャだけでなく、プロセスの実行方法とシステム変更の振る舞いを確認します。
パーソナルファイアウォール	エンドポイントを出入りするネットワーク接続をポリシーに従って制御します。
侵入防止	脆弱性の悪用、異常なコマンド実行、不審なシステム変更を遮断します。
デバイス制御	USB、外部ストレージなどのリムーバブルメディアの使用を制限または記録します。
アプリケーション制御	未承認プログラムの実行を防ぐか、使用範囲を制限します。
データ保護	機密ファイルの移動、コピー、外部送信を制御します。
中央管理	複数のエンドポイントのセキュリティ状態とポリシーを 1 つのコンソールで管理します。

運用で特に重要なのは中央管理です。エンドポイントが増えるほど、各デバイスの状態確認とポリシー適用を手動で行うことは困難になります。EPP はポリシーを一括適用し、未保護またはポリシー違反のデバイスを確認し、危険なファイルや振る舞いを隔離できるよう支援します。

ただし、EPP がすべての攻撃を防ぐわけではありません。攻撃者は正規ツールを悪用し、製品を迂回し、窃取したアカウントで正規アクセスを装う場合があります。そのため、EPP は予防中心の基本防御と位置付け、EDR や XDR などの検知・調査・対応体制と併せて運用することが望まれます。

EPP と EDR の違い

EPP と EDR はいずれもエンドポイントセキュリティに属しますが、役割は異なります。EPP は脅威の実行前または実行初期に防ぐことに重点を置きます。悪意のあるファイル、危険な URL、不審なアプリケーション、ポリシー違反の振る舞いを遮断し、感染や侵害につながる可能性を低減します。

EDR（Endpoint Detection and Response）は、すでに侵入した脅威や遮断を迂回した脅威の追跡と対応に重点を置きます。プロセス実行、ファイル変更、ネットワーク接続、アカウント活動を記録・分析し、問題が始まったデバイス、実行されたコマンド、ほかのシステムへの移動を確認できるようにします。

関連記事

正常ツールに偽装した攻撃、AhnLab EDR はどう検知するのか

区分	EPP	EDR
中心的な役割	予防と遮断	検知、調査、対応
主な対象	マルウェア、危険なファイル、ポリシー違反、脆弱性悪用の試み	侵入後の振る舞い、異常活動、攻撃の流れ
運用目的	侵害の可能性を低減	侵害範囲の把握と対応
必要な理由	攻撃の実行前または初期に遮断	遮断を迂回した攻撃を追跡

両技術は競合関係ではありません。EPP が一次防御を担い、EDR が侵入後の可視性と対応を補完します。最近では EPP と EDR の機能が共に提供される場合や、1 つのエンドポイントセキュリティ製品群で提供される場合も多くあります。セキュリティチームは EPP で基本基準を維持し、EDR で遮断を迂回した攻撃の痕跡と拡散範囲を確認する形で併用できます。

EPP 導入時に確認すべき要素

EPP の選定では検知率だけでなく、保護対象、適用ポリシー、遮断した脅威の処理方法まで確認する必要があります。次の項目を基準に検討すると、導入後の運用負担を減らせます。

保護対象と OS のサポート範囲

まず保護するエンドポイントの範囲を定めます。業務用 PC のみか、モバイルデバイスや一部のサーバー環境まで管理するかによって必要な機能が異なります。

Windows、macOS、Linux、モバイル環境を併用する組織は、各 OS で提供される機能差も確認する必要があります。特定の OS ではデバイス制御、ファイアウォール、脆弱性診断などが制限される場合があるためです。

検知と遮断の方式

シグネチャベースの検知だけでは、新しいマルウェアや亜種攻撃を見逃す可能性があります。EPP は、マルウェア検知だけでなく、振る舞いベースの検知、脆弱性悪用の遮断、ランサムウェアの振る舞い検知、Web 脅威遮断など複数の方式を併せて提供する必要があります。

ただし、機能が多ければ常に運用しやすいとは限りません。誤検知が多いとユーザーは通常業務中にも遮断を経験し、セキュリティチームは不要なアラート処理に時間を費やします。

ポリシー管理と例外処理

EPP は複数のエンドポイントに同じセキュリティ基準を適用するツールです。セキュリティチームは、部門、ユーザーグループ、デバイス種別ごとにポリシーを分け、必要に応じて例外ポリシーも管理できる必要があります。

例外処理が複雑だと運用上の問題が生じます。業務に必要なプログラムが繰り返し遮断されたり、反対に例外を過剰に許可してセキュリティ基準が揺らいだりする可能性があります。

中央管理コンソールの操作性

エンドポイントが増えるほど、各デバイスの状態を手動で確認することは困難です。中央管理コンソールは、未保護のデバイス、ポリシー違反のデバイス、遮断された脅威、パッチが必要なシステムを迅速に示す必要があります。

コンソールが複雑で情報が分散していると措置が遅れます。ポリシー配布、ファイル隔離、デバイス遮断、レポート作成などの反復業務を容易に処理できるかも確認する必要があります。

対応機能とセキュリティ連携

EPP は予防中心のプラットフォームですが、遮断後の措置も重要です。不審なファイルを隔離できるか、感染したデバイスをネットワークから分離できるか、ポリシー違反のデバイスを識別できるかを確認する必要があります。

EDR、SIEM、XDR との連携を計画している場合は、EPP のイベントが他システムとどのように接続されるかも確認します。EPP はエンドポイントセキュリティのベースラインであり、ほかの検知・対応体制とつながることで、侵害後の流れまで広く確認できます。

FAQ

アンラボの EPP

AhnLab EPP は、多様なエンドポイントセキュリティソリューションを単一エージェントと単一管理コンソールで統合運用できるよう設計されたエンドポイント保護プラットフォームです。アンチマルウェア、パッチ管理、個人情報漏えい防止、脆弱なシステムの診断、デバイス制御、EDR などを個別運用すると、ポリシー適用、状況把握、措置が複雑になります。AhnLab EPP はこれらを 1 つの管理フローで連携し、エンドポイントの状態と脅威対応を一貫して管理できるよう支援します。

運用上重要なのは、機能の列挙より連携です。セキュリティチームは脆弱な PC を確認した後、パッチ状態、マルウェア検知履歴、不審な振る舞いを併せて確認し、必要な措置を続ける必要があります。AhnLab EPP は複数製品のポリシーと対応を連携し、未保護のデバイス、古いポリシー、パッチ未適用のシステムで生じる運用上の空白を減らすことに重点を置きます。