6月4日のセッション2には、台湾発のサイバーセキュリティー企業であるTeamT5の横田智成氏が登壇。講演「EDR導入後の次の提案：侵害評価と脅威ハンティング」にて、既存のセキュリティー対策を導入した後にも残る課題と、その補完策を示した。


　近年、多くの企業でEDRやMDRの導入が進む一方、正規ツールやOS標準機能の悪用、EDRの回避、ログ欠損を狙うなど、攻撃者は手口を巧妙化させている。さらにクラウドやテレワークの普及、組織の多層化でIT環境が複雑化し、全端末の均一な監視は困難になっている。横田氏は「アラートがないことは、安全の証明ではない。未検知イコール未侵害ではない」と指摘し、「潜伏する脅威を能動的に探すアプローチが重要」と強調する。

　この課題への対応策として提示したのが、侵害評価・脅威ハンティングプラットフォーム「ThreatSonar」だ。特徴は、EDRを置き換えるのではなく、EDRだけでは十分な判断や可視化が難しい場面・領域をThreatSonarが補完する点にある。EDRは常時監視とリアルタイム検知に優れている一方、アラートが発生していない環境における侵害有無を判断することが難しい場合もある。ThreatSonarは、メモリー上に残る不審なコードや実行痕跡を分析する「メモリフォレンジック」と、TeamT5の脅威リサーチ成果や脅威インテリジェンスを反映した検出・分析機能による「インテリジェンス駆動型の脅威ハンティング」を組み合わせ、こうした課題を補完する。実行ファイル形式で展開でき、閉域網など既存の運用基盤が届きにくい領域にも対応できる。

　ユースケースとして、「有事の迅速スクリーニング」と「平時の定期診断」を紹介した。インシデント発生が疑われる有事には、影響を受けた端末や調査対象を迅速に特定する必要があるが、全端末を詳細にフォレンジック調査することは、時間とコストの面で現実的ではない。そこでThreatSonarを用いれば、広範囲の端末をスキャンして詳細調査の対象を絞り込むファストフォレンジックが実現できる。一方で平時は、EDRでは検知されていない潜伏脅威の有無を確認する定期診断として活用可能だ。これにより、環境変化や新たな攻撃手法を踏まえ、侵害の可能性や潜伏脅威の有無を継続的に確認できる。

　横田氏は、パートナー企業によるThreatSonarを活用したサービス展開についても触れた。ThreatSonarは、スキャンから分析、レポート提供までのサービスプロセスを標準化しやすく、スポット型の侵害評価サービスや定期診断サービスに組み込むことができる。例えば、既存のEDRやMDR、SIEM／SOCサービスを提供する事業者がメニューとして追加すれば、EDR導入だけでなく、その後の侵害確認までサービスとして提供することが可能になる。同社では、製品提供に加えて、パートナーの既存商材と組み合わせたサービスの立ち上げや高度化も支援しており、より高度なセキュリティー支援を顧客に提供できるとアピールした。