本当に必要なウィルスソフトとは？セキュリティ従事者のおすすめ、選ぶ際に検討するポイントをご紹介

近年のサイバー攻撃の状況から見る、本当に必要なウイルスソフトとは？

無料でも提供されている、いわゆる従来型のパターンマッチングによるウィルス対策ソフト(EPP)でも、ある程度の防御はできるようになっていますが、やはり機能面で不足があります。

近年での脅威の進化は凄まじく、従来型対策ソフトでは対応できない状況が生じており、不正を完全に防ぐことは困難です。加えて「侵入はされるもの」という考え方から「侵入はされても侵害させない」工夫が求められるようにもなっています。

そういったことから最新のウィルス対策ソフトでは、行動予測やAIでの監視、ビッグデータ分析などを活用したNGAV製品が増えており、エンドポイント(PCや端末など)をリアルタイムでモニタリングや分析し、痕跡を調査することで不正侵入の形跡を可視化しながら侵害を食い止めるEDR製品などの、より高度な対応策が実現できる仕組みが主流となっています。このような製品は、旧来型のウィルス対策ソフトでは防げない、マルウェアやランサムウェア対策などに効果が見込めます。

また、EDRのような脅威対策を代行するMDRやSOCなどのサービスも普及しだしています。コスト勘案は重要ですが、情報漏洩が発生した場合は、それ以上の被害が発生する事もあり得ます。守るべき資産の価値や重要度等を考慮し、適切な機能の導入をご検討ください。

用語説明

◆EPP…Endpoint Protection Platform

従来型のアンチウイルス(AV)ソフトウエアの総称です。基本的には、ウィルスファイルのパターンからウィルスを特定する「パターンマッチング型」のアンチウィルスソフトです。従って、パターンに登録されていない未知ウィルスは検出できないという弱点があります。

◆NGAV…次世代型アンチウィルスソフト

従来型のEPPとは異なり、対象の振る舞いから怪しいソフトウエアを検知する「振る舞い検知型」のアンチウィルスソフトです。AI等を活用し、パターンに登録されていないウィルスでも検知できる可能性が高まります。

◆EDR…Endpoint Detection and Response

EDRはDetection and Response(検知と対処)という意味の通り、検知だけでなく対処まで踏み込んだ製品のことを指します。NGAVと同様に対象の振る舞いから怪しいソフトウェアを検知しますが、監視対象のPCやサーバなどのエンドポイントデバイスのログ等を定常的に監視する仕組みとなっていることが多いです。その為、検知した脅威の侵入経路等を分析することも可能であり、対処するための情報が豊富に手に入ります。検知能力も高く、対処のための情報も多いため、導入する企業も増えてきました。一方で、基本的に怪しそうな振る舞いは全て検知するので、検知されたものの中からどれは問題なしで、どれが脅威なのかを学習させたり、豊富な情報を分析する運用側のスキルも必要となります。

◆SOC…Security Operation Center

上記のように、EDRは検知能力が高い一方で、それを運用する側のスキルも必要となります。EDRのような豊富な情報源を分析して、24時間体制で状況を監視する専門部隊が必要となり、その役を担う体制をSOCと呼びます。EDRを本格導入するにはSOCは必須であると考えた方が良いでしょう。

◆MDR…Managed Detection and Response

SOCを自社内で構築することが難しい場合、SOC機能を外部にアウトソースすることになります。EDRに加えてSOCサービスまで含んだようなサービスをMDRと呼ぶことがあります。

予算が限られている中で、ウイルスソフトを選ぶ上でのポイント

　ちょっと話が専門的になってしまいましたが、本題のウィルスソフト選択のポイントに戻ります。守るべき資産の価値や被害の想定をしたうえで出来るだけの対策を取った方が良い訳ですが、予算にも限りがあります。そういった場合の一つの考え方を示します。

　少し感覚的な話になりますが、仮にセキュリティ対策に0～100点まで点数を付けたとした場合に現状が30点だとします。30点を90点に持っていくことは比較的に容易にできます。しかし、90点を100点に持っていくことは非常に大変なことです。潤沢な予算を割いて、十分に外部リソースを活用すればあるいは可能かもしれません。（しかし、いくら対策をしても100点にはならないでしょう）本テーマはウィルスソフトの話ですが、セキュリティの脅威はウィルスだけは無いため、従業員の教育や、事故が起こりにくい環境整備にもきちんと配慮をする必要を考えると、ウィルス対策だけに予算を割く訳にも行きません。

　従って、限られた予算の中でウィルスソフトを選ぶ場合に、以下のような考え方もあると思います。EPPは無償のOS標準EPPを生かす(WindowsならMicrosoft Defender)。筆者としては、きちんとOSのアップデートが出来ていれば、それだけで70点位あげても良いのではと考えています。若干心もとないので、MDR(EDR + SOC)を契約する。それで+10点アップというイメージです。そのサービスの延長でIT資産管理などもベンダに頼ってアドバイスをもらいます。これで+10点。実は、「OSのアップデートをきちんと行う事」そもそもこれが出来ていないことも多いので、IT資産管理はウィルス対策にとって切っても切れないものです。

　MDRのサービス価格はそのサービス内容によって大きく変わります。サービス内容を比較しつつ、身の丈にあったモノをチョイスすると良いでしょう。価格は高いように感じるかもしれませんが、もし自社社員が同じことをやると、どれだけ人件費がかかるのかということを考えると、その妥当性が見えてきます。