サイバー攻撃を防ぐために、ファイアウォールやウイルス対策ソフト、EDRなどの製品を導入する企業は増えています。しかし、製品が出したアラートを誰が確認し、攻撃かどうかを判断し、被害の拡大を止めるのかという運用上の課題は残ります。夜間や休日を含めて監視を続けるには、製品だけでなく、専門知識を持つ人材と対応手順が欠かせません。そこで注目されているのがMDRです。本記事では、MDRとは何かを起点に、EDRやSOCとの違い、MDRサービスが担う範囲、導入時に確認したいポイントを解説します。
contents
MDRとは
MDRとは「Managed Detection and Response」の略で、組織に代わって、または組織と連携して、サイバー攻撃の監視、検知、分析、対応を行うマネージドセキュリティサービスです。セキュリティ製品を提供するだけではなく、専門家がアラートを調査し、脅威の優先度を判断して、封じ込めなどの対応につなげる点に特徴があります。
カナダ・サイバーセキュリティセンターは、MDRサービスの内容として、システムに対する潜在的な攻撃の監視、検知、警告、対応管理を挙げています。もっとも、MDRに含まれる監視対象や対応範囲は一律ではありません。EDR（Endpoint Detection and Response）を中心に監視するサービスもあれば、ネットワーク、認証基盤、クラウド、SaaSなど複数領域の情報を扱うサービスもあります。脅威を見つけた後も、通知と助言までを行うサービス、顧客の承認を得て端末隔離などを行うサービス、事前に合意した条件で自動的に封じ込めるサービスなど、提供形態には違いがあります。
MDRは、セキュリティ製品による検知に加え、専門家による分析や初動対応を継続的に提供するサービスです。監視対象や対応範囲はサービスによって異なるため、自社の運用体制に合わせた選定が重要です。
MDRが必要とされる背景
境界で侵入を防ぐ対策は、現在も重要です。一方で、正規の認証情報を悪用する攻撃や、許可された通信を装う攻撃まで、入口対策だけで防ぎ切ることは困難です。IPAが公開する「プラクティス・ナビ」では、サイバーセキュリティ経営ガイドラインの実践に向けた考え方や事例が紹介されています*1。
NIST SP 800-61 Rev.3でも、大量のイベントから重要な事象を絞り込み、複数の情報源を関連付けて分析することの重要性が示されています。アラートには正常な活動も含まれるため、攻撃の兆候を見極めるには専門知識と経験が必要です。
EDRやSIEMを導入しても、それだけで監視・対応が完結するわけではありません。アラートの真偽を確かめ、影響範囲と緊急度を判断し、端末隔離やアカウント無効化などの措置を安全に実行する運用が必要です。人材や勤務体制を自社だけで確保しにくい企業にとって、MDRはこの運用ギャップを補う選択肢になります。
MDRの主な役割
セキュリティ情報を継続的に監視する
MDRでは、契約で定めたセキュリティ製品やシステムから情報を収集し、攻撃の兆候を監視します。対象はEDRのアラートだけとは限りません。サービスによっては、ファイアウォール、認証基盤、クラウド、SaaS、ネットワークセンサー、サーバーログなども分析対象になります。複数の情報を時系列で関連付けることで、一つの製品では重要度が低く見える事象から、攻撃の進行を捉えられる場合があります。
アラートを分析し、対応の優先度を判断する
セキュリティ製品が検知した事象のすべてがインシデントとは限りません。MDRの分析では、端末やユーザー、通信先、発生時刻、過去の関連イベントなどを確認し、誤検知の可能性や想定される影響を評価します。単にアラートを転送するのではなく、何が起きている可能性があり、どの対応を優先すべきかを整理することが、MDRの価値の一つです。
初動対応と封じ込めを支援する
対応範囲はサービス契約によって異なりますが、感染が疑われる端末の隔離、不正なアカウントの無効化、悪性通信の遮断といった初動対応を、助言、自動処理、事業者による操作などの形で支援するMDRもあります。重要なのは、緊急時に誰が何を判断し、どの条件で事業者が操作できるのかを事前に決めておくことです。強い遮断措置は被害拡大を抑える一方、正常な業務を止める可能性もあるため、権限と連絡経路を曖昧にしてはいけません。
検知ルールと運用を継続的に改善する
業務システムや利用者の行動、脅威の手口は変化します。運用開始時に検知設定を整えても、誤検知が多い状態や、必要なログが欠けた状態を放置すれば、監視の実効性は下がります。検知結果を踏まえたチューニング、監視対象の見直し、対応手順の更新まで継続できるかは、MDRサービスを選ぶ際の重要な確認事項です。
MDR・EDR・SOCの違い
MDR、EDR、SOC（Security Operations Center）は、いずれもサイバー攻撃の検知や対応に関係しますが、それぞれ役割が異なります。
EDRは端末の脅威を検知・調査・対応する技術、SOCはセキュリティ監視・分析を担う組織や機能、MDRは専門家による監視・分析・対応を提供するサービスです。
| 比較項目 | MDR | EDR | SOC |
|---|---|---|---|
| 位置付け | 運用サービス | 技術・製品 | 組織・機能 |
| 主な役割 | 監視・分析・対応の提供 | 端末の脅威検知・調査・対応支援 | セキュリティ監視・分析 |
| 主な対象 | 契約により異なる | PC・サーバーなど | 運用設計により異なる |
| 運用主体 | 外部専門家と利用企業 | 自社または外部事業者 | 自社または外部事業者 |
これらは必ずしも別々に利用するものではありません。例えば、EDRで検知した脅威をSOCが分析し、その監視・対応業務をMDRサービスとして外部委託することもできます。監視対象や対応範囲はサービスや運用体制によって異なるため、それぞれの役割を理解した上で組み合わせることが重要です。
MDR・EDR・SOCは、いずれか一つを選ぶ関係ではありません。EDRで検知した脅威をSOCが分析し、その監視・対応業務をMDRサービスとして外部委託するなど、相互に組み合わせて活用できます。
【関連記事】
- 「EDRとは？仕組みや主な機能、導入後の運用課題を解説」
- 「SOCとは？役割や仕組み、CSIRTとの違いと運用体制を解説」
- 「MDRとEDRの違いとは？役割・監視範囲と導入時の選び方」
MDRを導入するメリット
MDRを導入する主なメリットは、専門家による継続的な監視・分析を活用できること、社内担当者の運用負担を軽減できること、検知した脅威を迅速な初動対応につなげやすくなることです。夜間や休日を含む監視体制を自社で整えるには、複数人の要員、交代勤務、教育、手順整備が必要です。MDRを利用すれば、社内の担当者はすべてのアラートを一から確認するのではなく、事業者が分析した重要度の高い事象に集中できます。
また、複数のセキュリティ情報を横断して分析できるサービスであれば、端末だけ、ネットワークだけといった個別最適から脱しやすくなります。インシデントの可能性が高い事象について、状況説明と推奨対応が併せて示されれば、社内の意思決定も進めやすくなります。
ただし、MDRを導入しても、企業側の責任がなくなるわけではありません。NIST SP 800-61 Rev.3は、外部事業者へ対応を委託する場合も、情報の流れ、役割分担、事業者が組織に代わって実行できる措置と制限を契約で明確にするよう求めています。事業停止の判断、顧客や取引先への連絡、法務・広報対応、復旧の優先順位などは、自社の業務を理解する人が決める必要があります。
MDRサービスを選ぶときの確認ポイント
最初に確認すべきなのは、何を監視したいかです。端末のマルウェア対策が主目的なのか、認証情報の悪用、クラウド上の不審な操作、ネットワーク内の横展開まで捉えたいのかによって、必要なログとサービスは変わります。既存のEDRやファイアウォールを継続利用する場合は、その製品との連携可否も確認が必要です。
次に、検知後のサービス内容を具体化します。「24時間365日対応」と記載されていても、常時行うのが自動監視なのか、専門家による分析なのか、通知なのか、封じ込め操作なのかは同じとは限りません。通知基準、分析結果の提供時間、連絡方法、端末隔離や通信遮断の実行条件、解除手順、追加調査の範囲を確認することが大切です。
さらに、導入時のログ設計と運用開始後のチューニング、月次報告、インシデント発生時のフォレンジックや復旧支援の範囲も比較します。MDR事業者は顧客環境への接続権限や機密性の高いログを扱う場合があるため、事業者自身のセキュリティ管理、データの保管場所、アクセス制御、監査方法も選定条件になります。
BBSecのG‑MDR®で監視・分析・初動対応を支援
BBSecの「G-MDR®」は、専門エンジニアによる24時間365日の監視・分析と、脅威の検知から初動対応までを支援するセキュリティ運用サービスです。OpenXDRを活用し、対応可能な複数のセキュリティ製品やサービスから得られる情報を相関分析することで、個別のアラートだけでは把握しにくい攻撃の兆候を捉えます。
導入時には監視対象やログ収集方法、役割分担を整理し、運用開始後は脅威の分析・通知に加え、事前に合意した条件に基づく初動封じ込めを支援します。既存のEDRを活用しながら、認証基盤やネットワーク、SaaSなどへ監視範囲を広げる構成も検討できます。具体的な連携製品や対応範囲は、導入環境や契約内容によって異なります。
セキュリティ監視・初動対応の強化をご検討の企業様へ
EDRなどのセキュリティ製品を導入していても、アラートの分析や夜間・休日の対応に課題はありませんか？
G-MDR®について詳しく見る
※外部サイトへリンクします。
まとめ
MDRとは、セキュリティ製品から得られる情報を専門家が監視・分析し、脅威への対応を支援するサービスです。EDRはエンドポイントを守る技術、SOCは監視・分析を担う体制、MDRはそれらを活用した検知・対応業務を外部から提供するサービスという整理が基本になります。
導入時は、名称だけで判断せず、監視対象、対応時間、分析内容、封じ込めの権限、社内との役割分担を確認することが重要です。MDRを自社のインシデント対応体制に組み込み、検知した事象を実際の対応へつなげられる状態をつくることが、被害拡大を抑える近道です。
MDRに関するよくある質問
▼ MDRは何の略ですかCSIRTの役割や企業に求められるインシデント対応体制については、関連記事「インシデント対応体制とは？CSIRTの役割と企業が整えるべき運用のポイント」もご覧ください。
▼ MDRはどのような企業に向いていますか【参考情報】
- 独立行政法人情報処理推進機構（IPA）「指示5 サイバーセキュリティリスクに効果的に対応する仕組みの構築」https://www.ipa.go.jp/security/economics/practices_navi/practice213.html
- 独立行政法人情報処理推進機構（IPA）「プラクティス5-2 サイバーセキュリティ対策において委託すべき範囲の明確化とその管理」https://www.ipa.go.jp/security/economics/practices_navi/practice215.html
- National Institute of Standards and Technology（NIST）「NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile」（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf）
- Canadian Centre for Cyber Security「Choosing the best cyber security solution for your organization – ITSM.10.023」（https://www.cyber.gc.ca/en/guidance/choosing-best-cyber-security-solution-your-organization-itsm10023）
- 日本セキュリティオペレーション事業者協議会（ISOG-J）「マネージドセキュリティサービス（MSS）選定ガイドライン Ver.2.0」（https://isog-j.org/output/2020/MSS-Guideline_v200.html）
編集責任：木下
ウェビナー開催のお知らせ
最新情報はこちら
