株式会社インターネットイニシアティブ

IIJ 三浦

三浦

元々エンドポイントセキュリティ対策として、PCとスマートフォンにそれぞれ別のアンチウイルス製品を導入していました。ただ、パターンファイルが対応していないと既知の脅威しか検知できないため、昨今のセキュリティ状況を考えると、新たな脅威にも対応できるEDR（Endpoint Detection and Response）製品を導入する必要があると考えていました。ちょうどMicrosoft 365を導入した時期で、この中のDefenderシリーズにはセキュリティ製品が色々あるので、それらを組み合わせて使うことでセキュリティを強化できると考えました。

IIJ 大野

三浦

三浦

MDE導入前は「ウイルスを検知しました」「隔離しました」というログが多かったですが、MDEでは、ふるまい検知により「動きがおかしい」といったところも判断するので、これまでよりも検知する内容が増えています。月によっては、アラートが300件程度になることもあります。300件の中には軽微なものから重要なものまでさまざまあり、MDEの修復が終了しているものもあります。その中から「これは対応する」「これは対応しない」といった判断をすべてのログを調べた上で行うのは、当時の体制では難しいと感じていました。そういったアラート処理の工数を減らすために、自社のセキュリティオペレーションセンターにて、専任のセキュリティアナリストが24時間365日体制でインシデントへの対応を行う「IIJ C-SOCサービス」との連携を決めました。
また、IIJ C-SOCサービスとは既にファイアウォールとの連携を行っており、EDRも監視対象に加わることで、複数のレイヤーから相関分析を行うXDRを実現することができました。

三浦

効果はありました。私たちもすべてのアラートに関する専門的な知識を持っているわけではなく、EDRに関する知見もそれほどたまっていたわけではありませんでした。そういったところをIIJ C-SOCサービスにカバーしてもらい、危険かどうかの判断を委ねられる点は大きなメリットだと感じました。

大野

IIJ C-SOCサービスから対応が必要なケースだけを連絡してくれるようになったので、私たちがログを見て調査する必要がなくなり、これまでの月300件あったアラート処理件数がほぼゼロにまで減りました。そのため、これまでかかっていた調査の時間を他の業務に振り分けることができるようになりました。

IIJ 待山

MDEには、Severity（重大度）としてHighやMedium、Lowなどが表示されますが、中にはすでに対処されているものもあります。Mediumでも名前がないものなど、「これ本当？」と思うこともあります。セキュリティは日進月歩で、情報がどんどん更新されるので、すべてを追っていくのは難しいと思います。専門の知見がある人にログ情報を見てもらえるというのは安心感があり、本当にありがたいですね。

三浦

一度だけあります。そのときは、連絡をもらってすぐにその端末を切り離し、迅速に対処できました。私たちはすべてのログをいつも追いかけているわけではないので、自分達だけでチェックしていた場合、迅速に対応できたのか不安に感じました。

待山

マルウェアは、年末年始や夜間など、担当者がいない時間を狙うこともあります。IIJ C-SOCサービスは24時間365日のシフト体制なので、その点でも安心です。私たちは、Defenderの管理画面の優先度やプランを見て初めて、「これはすぐに対応しないといけない」という判断をします。システム的に検知していても、人間が認識しないと動けないので、休日や夜間に迅速に対応することは難しいと思います。

三浦

よく、セキュリティ人材を確保すべきだといわれますが、人手不足の中では難しいことも多いです。外部サービスを利用することも解決策の1つだと思います。

待山

脆弱性は日々変化しており、新しい技術や情報も出されています。知見の蓄積や情報収集は私たちも行いますが、年々高度化しているセキュリティ対策を情報システム部門だけで実施していくのは難しくなってきています。特に情報システム担当者が一人しかいない企業は大変でしょう。24時間365日張り付いているのは不可能ですから、SOCのような専門家に依頼するサービスは有効だと感じています。

三浦

被害を最小限にするためには、まず検知することが重要になります。今後は、Linuxサーバも含めてふるまい検知の対象を増やし、さらに検知力を上げていきたいと思っています。