XDR（Extended Detection and Response）とは?

XDR とは

XDR（Extended Detection and Response）は、複数のセキュリティ領域で発生したデータを 1 か所に収集し、その関連性を分析して脅威を検知、調査、対応するセキュリティ技術です。

EDR がエンドポイント上の不審な振る舞いを中心に検知するのに対し、XDR は検知範囲をエンドポイントの外まで拡張します。メール、ネットワーク、サーバー、クラウドワークロード、ID、SaaS アプリケーションなどで発生するイベントを併せて分析します。重要なのはデータをどれほど多く集めるかではなく、異なるセキュリティソリューションで個別に検知されたイベントが、実際には 1 つの攻撃フローに属しているかを見極めることです。

たとえば、あるユーザーがフィッシングメールを開いた後、同じアカウントで通常とは異なる場所からログインがあり、そのアカウントがクラウドストレージ内の機密ファイルにアクセスしたとします。メールセキュリティソリューションは不審なメールを、ID セキュリティソリューションは異常なログインを、クラウドセキュリティソリューションはファイルへのアクセス記録を、それぞれ個別に検知します。セキュリティ担当者が 3 件のアラートを別々に確認すると、1 つのインシデントとして認識することは困難です。

XDR は、こうした個別のイベントを相関分析し、単一のインシデントとして識別します。その結果、セキュリティチームは「アラートが 3 件発生した」ではなく、「フィッシングから始まったアカウント窃取がクラウドデータへのアクセスにつながる可能性がある」という攻撃全体のコンテキストを把握できます。この違いが XDR の核心です。

XDR が必要とされる背景

1. 攻撃対象領域の拡大

今日の企業 IT 環境は、オンプレミスとクラウド、SaaS アプリケーション、リモートアクセスが混在する分散型へと変化しました。ユーザーの接続場所や業務システムの所在も、もはや固定されていません。この変化によって、攻撃対象領域はエンドポイントだけにとどまらなくなりました。脅威が発生または拡散し得る地点が複数の環境へ広がり、特定のエンドポイントや内部ネットワークだけを見る方法では、脅威を十分に把握することが困難になっています。攻撃の経路全体を把握するには、複数領域で発生したイベントを関連付ける必要があります。

2. ソリューション間の分断による検知の死角

個々のセキュリティソリューションは、それぞれが担当する領域内でのみ脅威を検知します。ソリューション間の連携分析が不足すると、1 つの攻撃が複数の無関係なイベントに見え、セキュリティチームは攻撃の起点と移動経路の把握に時間を要します。XDR は分散したイベントを 1 つの攻撃フローとして結び付け、検知の死角を減らし、MTTD（平均検知時間）と MTTR（平均対応時間）を短縮することを目的とします。

3. アラート過多による対応の遅れ

領域別に導入するソリューションが増えると、セキュリティチームが確認すべきアラートも増加します。問題は、その多くが重複アラート、リスクの低いイベント、誤検知である点です。アラートが過度に蓄積すると、重要な脅威が一般的なアラートに埋もれ、対応が遅れるおそれがあります。この限界を補うため、XDR は分散したアラートやイベントを攻撃フロー単位でまとめ、リスクに応じて優先順位を付けます。これにより、セキュリティチームは優先して対応すべき脅威をより早く識別できます。

XDR の主な構成要素

XDR は、複数のセキュリティ領域のデータを関連付け、検知から分析、対応へとつながるように構成されます。主な構成要素は次のとおりです。

構成要素	説明
データ収集	エンドポイント、ネットワーク、メール、クラウド、ID などのログとイベントデータを収集
データの正規化	異なる形式のログやイベントを分析可能な形式に変換
相関分析	関連イベントを 1 つの攻撃フローとして連携分析
脅威インテリジェンス	攻撃手法、悪意のある IP、ドメイン、ファイル情報などを検知に反映
振る舞い分析	正常な活動とは異なる異常パターンを識別
優先順位付け	深刻度、資産の重要度、影響範囲などに基づいて対応の優先順位を算定
対応ワークフロー	隔離、遮断、アカウントへの措置、チケット作成など、後続の対応措置を支援

これらの構成要素は個別に動作するのではなく、1 つの検知・対応フローの中で連携します。収集・正規化されたデータは、相関分析によって 1 つの攻撃フローとして関連付けられ、リスクに応じて優先順位が算定され、必要な対応措置へとつながります。

Demo

AhnLab XDR – 実際の攻撃シナリオの検知と対応

XDR の仕組み

1. 複数のセキュリティ領域からデータを収集

XDR は、エンドポイント、ネットワーク、メール、クラウド、ID など、多様なセキュリティ領域で発生するログやイベントを収集します。主な収集対象は次のとおりです。

セキュリティ領域の例	収集データの例
エンドポイント	プロセスの実行、ファイルの作成・変更、悪意のある振る舞い、デバイスの状態
ネットワーク	異常な通信、内部移動、外部 C2 サーバーへの接続試行
メール	フィッシングメール、悪意のある添付ファイル、不審な URL
クラウドとワークロード	設定変更、API 呼び出し、ワークロードの活動、データへのアクセス記録
ID とアクセス管理	ログイン場所、セッションの利用パターン、権限変更、アカウントの異常な振る舞い
SaaS アプリケーション	ユーザーの活動、アプリへのアクセス、ファイル共有、異常なデータアクセス

収集範囲が広いほど、攻撃者の侵入経路をより正確に把握できます。ただし、無条件に多くのデータを集めれば優れた XDR になるわけではありません。実際の検知と対応に必要なイベントを選別し、重複データと不要なアラートを減らして、攻撃に関連するフローを明確に示す必要があります。

2. イベントの相関分析

XDR の核心は相関分析です。相関分析とは、複数のセキュリティソリューションで個別に発生したイベントを 1 つのインシデントとして関連付けて分析するプロセスです。

たとえば、各セキュリティ領域で次のようなイベントが検知されたとします。

• ユーザーが不審なメールのリンクをクリックしました。
• 同じユーザーのアカウントで、海外 IP からのログイン試行が発生しました。
• そのアカウントが、普段はアクセスしないクラウドフォルダーを閲覧しました。
• エンドポイントで不審なプロセスが実行されました。

個々のイベントだけではリスクの判断が困難です。しかし、時間的な順序と因果関係を結び付けると、フィッシングメール → アカウント侵害 → マルウェア実行 → データへのアクセス試行へと続く 1 つの攻撃チェーンである可能性があります。XDR はこうした連携分析によって断片的なアラートを 1 つのインシデントにまとめ、セキュリティチームが攻撃フロー全体と対応の優先順位を迅速に判断できるようにします。

3. 脅威の優先順位を判断

セキュリティチームが毎日受け取るアラートは、数百件から数千件に上ります。すべてのアラートを同じ水準で調査することはできません。XDR は複数のデータを総合してリスクスコア（Risk Score）を判断し、優先して対応すべき脅威を区別します。

単純な悪意のあるファイルの検知よりも重要なのは、攻撃のコンテキスト（Context）です。検知された攻撃自体の深刻度に加え、影響を受けた資産の重要度、影響を受けたユーザー、そのアカウントが持つ権限、アクセスしたデータの機密性、同じ侵害指標（IoC）がほかのシステムでも見つかっているかなどを併せて確認します。これらの情報を総合して初めて、その脅威の実際のリスクと対応の優先順位を判断できます。

4. 調査と対応を支援

XDR は検知で終わらず、調査と対応へつながります。複数のセキュリティ領域で確認されたイベントは、1 つの攻撃フローとして関連付けられ、画面上に可視化されます。セキュリティチームは各ソリューションのログを時系列で一つひとつ照合する代わりに、攻撃がどこから始まり、どのシステムへ広がったかを一目で把握できます。

攻撃フローを確認した後は、対応措置へ移ります。セキュリティチームは XDR を通じて、感染したエンドポイントの隔離、不審なアカウントの無効化、悪意のあるメールの削除、遮断ポリシーの適用を行えます。

自動対応機能も併せて活用できます。ただし、すべての対応を自動化することにはリスクがあります。反復的で影響範囲の小さい措置は自動化できますが、アカウントの遮断やサーバーの隔離など、業務への影響が大きい措置にはアナリストの確認が必要です。

ケーススタディ

「AhnLab XDR」を導入した Golfzon、セキュリティリスク56%減少！

FAQ