シマンテックは9月19日、「Symantec EDR Cloud」に関する説明会を開催した。同製品は、エージェントレス／クラウド型のEDR（Endpoint Detection and Response：エンドポイントでの検出と対応）を行うもので、10月からパートナーを通じた国内での展開を本格させるという。
同製品は、2017年に国内提供が開始されていた。8月29日に日立システムズとセキュアブレインが、「最新型ウイルスへの対策として、導入負荷の低いエージェントレス型製品と監視を組み合わせたサービスを提供する」と発表したことを受けて、今回は改めて製品概要を説明した形となる。同社の製品ラインナップでは、クライアントPCなどのセキュリティ対策を担う企業向けの「Symantec Endpoint Protection（SEP）」にEDRの機能が含まれている。このため、既にSEPを導入しているユーザー企業では、EDRを追加導入する必要はないという。
シマンテック セールスエンジニアリング本部エバンジェリストの高岡隆佳氏
セールスエンジニアリング本部 エバンジェリストの高岡隆佳氏は、製品の役割分担について説明し、「脅威の侵入を防ぐエンドポイントセキュリティ（SEP）」と「脅威の侵入に対処するEDR」という大まかな違いを明確にした。その上で、「それぞれ必要だが、個別にエージェントをインストールするのは負担が重い」とのユーザー側の事情を挙げ、この点に対応する意味からSEPにEDR機能を盛り込んだという。一方、Symantec EDR Cloudは他社のエンドポイントセキュリティ製品を導入している企業などを対象に、エージェントレスによる負担のないソリューションとの位置付けだとした。
エージェントレス型のEDRでクライアント端末の情報を収集できるのは、Windows Active Directory（AD）に参加しているWindowsクライアントのみで、ADの機能を使った情報収集を行う。この際、クライアント端末から直接、“生の情報”がインターネットに送出されるのを避けるために、同社ではオンプレミス環境にデータ収集用の「Data Vaultサーバ」を設置し、Data VaultサーバがLAN内のADに参加しているクライアント端末の情報を収集した上で、EDR Cloud環境に情報を送信する構成としている。
なお、対象クライアント以外のエンドポイント（ワークグループで運用するWindows端末やMac、Linuxなど）は、エージェントレス型では対応ができないため、専用のエージェント「Collector Service Agent（CSA）」をインストールする必要がある。
セキュリティ脅威に関する分析面での特徴は、「ニューラルネットワーク（いわゆる人工知能型の機械学習）の活用による例外の検出」をうたう。高岡氏は、競合製品などがマルウェアに特化した分析を行うのに対し、Symantec EDR CloudではAD経由でOSなどが管理する一般的な機器の稼働状況についての情報も収集できることから、これを分析することで通常は発生しない例外値を検出することで、通常と異なる挙動を的確に発見できると説明する。
ただ、ユーザー企業の規模や業種業態によって、対応すべき脅威に差があると想定されるため、Symantec EDR Cloudではユーザーからの収集情報を個別に扱い、ユーザー企業ごとに独自の学習パターンを生成する。この結果、ユーザー企業ごとに最適化された脅威対応が可能になるという。
日立システムズやセキュアブレインが展開するクラウド型EDRサービスの仕組み
なお、日立システムズのサービスは、同社のグループ企業であるセキュアブレインのセキュリティアナリストによる監視サービスを組み合わせて提供する。社内にセキュリティ担当者を配置することが困難な企業での導入を想定しており、10月1日に始める。最小で500ライセンスからの導入となっている。
