NDR（Network Detection and Response）
NDR(Network Detection and Response)とは
NDR（Network Detection and Response）は、ネットワークトラフィックデータを継続的に監視・分析し、異常な活動や潜在的なセキュリティ脅威を検知・対応するソリューションです。ネットワークトラフィック全体を可視化することで、PC、サーバだけではなく、プリンタやIoTデバイス、従業員が持ち込んだシャドーデバイスなど、ネットワーク上に存在するIT資産を検出し、脅威や攻撃に対して組織がより迅速に対応できるようにします。
NDRの概要
NDRの仕組み
ネットワーク全体を包括的に監視し、異常な活動や潜在的な脅威に対してリアルタイムで検出し、自動的に対応、または軽減する機能で構成されています。高度なサイバー脅威をプロアクティブに防御し、セキュリティインシデントの潜在的な影響を最小限に抑えることを可能にします。
これらの仕組みを実現するために必要なNDRの要素を説明します。
ネットワークトラフィックの復号化
企業や組織では、VPNやTLSなどの技術を使用することが一般化したことにより、ネットワークトラフィックが暗号化され、ネットワーク上の資産間で疑わしい水平移動を検出しても何が含まれているか分からないため復号化します。
テレメトリの収集と保存
IPアドレス、TCPポート、各種プロトコル、ヘッダ、セッション時間などネットワークの状況を示す「テレメトリ」と呼ばれる情報を収集して、データレイクに保存します。
高度な脅威の兆候の検知
収集したテレメトリに対して、セキュリティベンダーの脅威インテリジェンスやMITRE ATT&CKフレームワークを活用し、攻撃者の特徴を照らし合わせることで、疑わしいイベントを検出して管理者に通知します。
プロセスチェーンの可視化
収集したテレメトリをもとに、不審な通信が行われているプロセスをチェーン上に表示することで、展開状況を可視化します。ネットワーク全体の脅威の把握と効率的な根本原因の調査を実現します。
プレイブックによる自動化
インシデントの検知から、調査・対応までの処理を迅速化するために、プレイブックを作成することで脅威の封じ込めやブロックを自動化します。
図1：NDRによるプロセスチェーンの可視化
NDRが求められる背景 – さらなるサイバー攻撃の高度化
図２：昨今のサイバー攻撃の侵入方法
公表されたランサムウェア被害の発生原因をみると、ネットワーク機器の脆弱性が狙われているのが多いことが分かります。
図3：2023年に国内組織が公表したランサムウェア被害のうち、発生原因が公表されている事例
14件における発生原因別割合（公表内容を元にトレンドマイクロが整理）
VPNやファイアウォールなどの機能を持ったネットワーク機器の脆弱性が狙われていることを危惧し、2023年8月に独立行政法人情報処理推進機構（IPA）は、ネットワーク貫通型攻撃に対する注意喚起を公開しました。
ネットワーク機器の場合、その機器を制御するためのファームウェアやOSが搭載されており、Windows OSなどと同じくソフトウェア上の脆弱性が後から発見されるケースがあります（ゼロデイ脆弱性のケースもあり）。
テレワークが浸透したことにより、VPNなどのインターネットとの境界線に設置されたネットワーク機器が普及しました。会社と自宅のネットワーク境界が曖昧になったことで、管理されていない個人デバイスが増え企業へのアタックサーフェスの拡大に一役買ってしまっています。
管理されていない機器に対して脆弱性スキャンを実施することや、ファームウェアのアップデートやパッチの適用はとても困難です。結果、サイバー攻撃者により企業内への侵入を許してしまうことになってしまいます。EDRによるエンドポイントのテレメトリを可視化するだけでは企業内のセキュリティ対策には限界があり、ネットワークレイヤのテレメトリと併せて相関分析することで、攻撃の全体像を可視化し、根本原因の調査や対処が必要なポイントを把握することによって被害を軽減する対策が求められています。
EDR（Endpoint Detection and Response）との違い
EDRとは
NDRを理解するために、EDRについて知っておく必要があります。
EDRとは「Endpoint Detection and Response」の略称で、企業や組織のエンドポイント（パソコン、サーバ、スマートフォンなど）に侵入したマルウェア等の脅威や、まだ脅威とは断定できない不審な挙動を検出し、影響範囲や感染経路の特定、攻撃の全体像の可視化など、迅速な対処を行うことを支援する機能です。
EDRが必要になった理由として、サイバー攻撃の高度化が挙げられます。
EDRが必要になる以前、まず2000年代初頭には、不正なプログラムを添付したメールなどを不特定多数に配信し、それを開いたユーザのPCがマルウェアに感染する「ばらまき型」の攻撃手法が主流でした。その後、企業や組織内部に侵入した後、正規ツールの悪用や、セキュリティ対策製品の検出を回避するファイルレス攻撃を行うなど、組織が侵入や被害に気づきにくい手法に切り替わってきました。さらに2000年代後半から標的型攻撃（APT：Advanced Persistent Threat）も増加しており、エンドポイントへの侵入を事前に防ぐことがますます困難になってきました。
EDRの仕組み
EDRは、脅威が組織のユーザ環境に万が一侵入した場合においても、脅威の侵入を検知し、影響範囲や根本原因を特定して、対処を行うための製品です。エンドポイントのテレメトリを収集し、可視化したうえで、挙動が既存の攻撃者による攻撃の特徴であるのか脅威インテリジェンスと照らし合わせて侵入された脅威を検知します。そして、その後の感染拡大を阻止するために調査や対応を支援する機能を提供します。
図４：EDRによるプロセスチェーンの可視化
NDRとEDRの違い
EDRを利用するためには、エンドポイントへのセキュリティソフトウェアの導入が必要です。一方で、企業のエンドポイントには、スマホやタブレット、IoT（モノのインターネット）機器、VPNやスイッチ、ルータなど様々な通信機器があります。EDR製品やエンドポイントの種類によっては、ソフトウェアを導入できない可能性があります。NDRを導入すればネットワーク全体を監視できるため、EDR未導入のエンドポイントをすり抜けた脅威の検知が可能です。
図５：NDRとEDRの比較
NDRとEDRの組み合わせ
サイバー攻撃が高度化していくにつれて、ネットワークへの侵入を完全に防ぐことは難しくなりました。EDRとNDRの両方を導入することで、ネットワーク全体からエンドポイントに至るまでの包括的な可視性を確保し、脅威の検出と対応の精度を向上させます。
他にもNDRとEDRを併用することで以下のようなメリットが得られます。
NDRとEDRを併用するメリット
迅速な脅威検出と対応:
・エンドポイント、ネットワークの両方の視点から脅威をリアルタイムで検出し、迅速な対応が可能になります。
高度な脅威インテリジェンスの活用:
・NDRとEDRのデータを統合することで、より高度な脅威インテリジェンスを活用し、脅威の検出精度を向上させることができます。例えば、NDRが検出したネットワーク上の異常なトラフィックに対するインテリジェンス情報をEDRと共有し、エンドポイント上での詳細な調査を行うことができます。
コンプライアンスと規制対応の強化:
・多くの規制やコンプライアンス要件では、ネットワークとエンドポイントの両方での監視と対応が求められます。NDRとEDRを組み合わせることで、これらの要件をより効果的に満たすことができ、監査や報告の際にも有利に働きます。
運用効率の向上:
・NDRとEDRを統合することで、セキュリティオペレーションセンター（SOC）の運用効率が向上します。一元化されたダッシュボードやレポート機能を通じて、ネットワークとエンドポイントの両方の状況を一目で把握でき、インシデント対応の迅速化と効率化が図れます。
動画：エンドポイント対策だけでは防げない？ネットワーク対策の重要性
まとめ
NDRは、EDRで補完できないネットワーク全体の異常な活動や潜在的な脅威の検知・可視化をカバーしてくれることを説明しました。いずれも企業内に潜在するあらゆる脅威の検知・対応を実現するXDRを構成する重要な要素です。他にもクラウドサービスやテレワークの普及により、アイデンティティ（ユーザIDや認証情報）が新たな境界となっており、アイデンティティベースの脅威を検出・対応するITDRも重要な要素になっています。
EDR、NDR、ITDRの他にもメールセキュリティ、クラウドセキュリティ、データセキュリティなど様々なレイヤーのデータを一元管理し、SOARや脅威インテリジェンスなど複数のセキュリティツールにより、包括的かつ高度な脅威の検知と対応を実現するプラットフォームがXDRです。その中でもEDRと、メールやクラウドサービスなど含め企業内のネットワークに潜む脅威を検知・対応するNDRが重要と言えます。
NDRについての関連情報
いまさら聞けないNDRの有効性～EDRとはどう違う？
ネットワークセキュリティ対策で注目されているNDR（Network Detection and Response）について、その有効性やEDRとの違いを解説します。
EPP・EDR・XDRの違いを理解する
～サイバーセキュリティの原点回帰～
サイバー攻撃のインシデント調査で、攻撃を可視化し、根本原因を分析する役割を果たすEDR・XDR。本記事では、混同される傾向があるEPP、EDR、XDRの役割や違いを改めて解説します。