MDR(Managed Detection and Response)
MDR(Managed Detection and Response)とは
MDR（Managed Detection and Response）とは、サイバー攻撃の兆候を監視し、脅威を発見した際に対処を行うSOCを支援するアウトソーシングサービスです。サービスの中核としてXDR（Extended Detection and Response）やSIEM（Security Information and Event Management）が用いられます。
MDRのメリット
巧妙化するサイバー攻撃へ対応するには、侵入を事前に防ぐ対策だけではなく、侵入後にサイバー攻撃の兆候を迅速に把握し、対処することが求められます。ネットワークやシステムの監視とログ分析から、サイバー攻撃やインシデントの発生を把握する組織（部署・チーム）であるSOC（Security Operation Center）は、サイバー攻撃をより迅速に把握し、対処することが求められます。
しかし、サイバー攻撃の兆候をとらえて対応するためには専門的なスキルが必要なことや、サイバー攻撃に備えて24時間365日体制での対応が必要なことから、セキュリティを専門とする会社にアウトソーシングすることがあります。このようなサービスをMDR（Managed Detection and Response）と呼びます。
MDRは、様々なカバー範囲があります。セキュリティ対策製品の管理画面を用いて、マルウェアの感染や、不正サイトへのアクセスなど、既知の脅威を中心に監視しているものもあれば、その組織に特化した標的型攻撃など、正規ツールを悪用するような高度なサイバー攻撃も含め監視することもあります。検知と初期対応の作業をアウトソーシングすることで、自組織の担当者は対応後の方針検討など優先度の高い業務にリソースを割くことができます。
MDRの主な機能・サービス
MDRが提供する主な機能・サービスは主に次の5つです。
・24時間365日の監視・運用
・脅威の検知・通知
・脅威の隔離
・脅威の調査・分析
・脅威の対処や封じ込めの実施
24時間365日の監視・運用
MDRは、ネットワークや機器を24時間365日、監視します。自組織で一日中監視・運用を行うことは難しいですが、MDRのサービスを活用することで、セキュリティ人材の不足の問題を解消することができます。また24時間体制での監視により自組織での対応が難しい休日や深夜の時間帯でも脅威を検知し、調査、対応することができます。
脅威の検知・通知
ネットワークやIT機器内で不審な挙動・異常を検知したら、まずはMDRサービス側で重要度・危険性を分析します。緊急性の高いイベントのみをアラートとして通知します。
脅威の隔離
感染が拡大しないように、脅威が検知された端末をネットワークから隔離します。
脅威の調査・分析
対処すべきインシデントの優先順位付けや根本原因分析、被害範囲がどの程度に及んでいるかを、収集したログ情報を元に調査・分析します。
脅威の対処や封じ込めの実施
インシデントの収束に向けて、脅威の封じ込め、根絶の支援を行うと共に、システムを元の状態に復旧します。また今後同様のサイバー攻撃が行われた際の対処も支援します。
MDRの2つのサービスタイプ
セミマネージドタイプ
セミマネージドタイプは、24時間365日体制の監視で、脅威の検知・通知まで行います。脅威検知後、脅威の隔離や復旧作業は自組織で行う必要があります。セミマネージドタイプは自組織にセキュリティ人材はいるものの、24時間365日の監視・運用体制を設けることが困難な組織で有用です。
フルマネージドタイプ
フルマネージドタイプは、脅威の検知だけでなく脅威検知後の隔離・復旧作業まで対応するサービスタイプです。フルマネージドタイプであればセキュリティの専門知識やスキルが不足する組織であっても高い水準のセキュリティ体制を構築できます。
| MDRサービス内容 | セミマネージドタイプ | フルマネージドタイプ |
|---|---|---|
| 検知～分析、報告 | サービス提供事業者 | サービス提供事業者 |
| 脅威の隔離、封じ込め、復旧 | 自組織 | サービス提供事業者 |
MDRとMSSの違い
MDRと一緒に引き合いに出されることが多いのが、MSS（Managed Security Service）です。プロバイダーが提供するサービスの傾向を見ると、MDRは、主に脅威検知/対応をサービスの中核に位置づけて構築されているケースが多く見られます。一方、MSSはセキュリティ製品の監視や、ハードウェア保守などを中心に提供するケースが多くみられます。
ただし、MDR提供事業者によってサービスの提供範囲が異なるため、MDRと同様のサービスを提供するMSS提供事業者もあります。
MDRとMXDRの違い
MDRは、EDRを中心としたサービスが多い中、NDR（Network Detection and Response）を中核としたマネージドNDR（MNDR）と呼ばれるものもあります。MNDRは、ネットワーク機器やネットワークセキュリティ製品などの状況をリアルタイムで把握し、脅威の検知から対応までつなげるアウトソーシングサービスです。EDRを中心としたサービスが多いMDRと比較して、ネットワーク上のテレメトリやログから脅威を検知・対応する点に違いがあります。
最近ではXDR（Extend Detection and Response）をサービスの中核としたMXDR（マネージドXDR）も登場しています。XDRはエンドポイント、ネットワークだけでなく、メール、サーバ、クラウドワークロード等の複数レイヤーからテレメトリを収集・相関分析を行い、EDR単体よりも精度高く、サイバー攻撃の予兆を検知することが可能です。Detection & Responseの考え方では、センサー範囲は広ければ広いほどテレメトリが充実し、脅威検知に役立ちます。
図：MDRとMSSの関係性（お互いの境界はあいまいになりつつある）
動画：XDRの必要性～あるSOCマネージャーの悩み
関連資料：EDR/XDRの基本
EPP/EDR/XDRの違い、EDR/XDRの必要性・選定基準など、導入検討にあたって必要な基礎知識をご紹介します。
ウェビナーによる解説
MDRについての関連情報
サイバーセキュリティの原点回帰：EPP・EDR・XDRの違いを理解する
サイバー攻撃のインシデント調査で、攻撃を可視化し、根本原因を分析する役割を果たすEDR・XDR。本記事では、混同される傾向があるEPP、EDR、XDRの役割や違いを改めて解説します。