EDRだけでは守れない理由――「カバレッジ100%」の神話とLiving off the Land攻撃という死角

迎健太

MITRE Engenuityの「100%検知」は本当か。第三者実測データとLotL攻撃の手口から、EDR単体の構造的な限界を読み解く。

EDRを入れたのに、なぜ侵入は止まらないのか

「うちはEDRを導入している。だから既知・未知含めて主要な脅威は検知できているはずだ」——多くのセキュリティ担当者がそう考えている。実際、CrowdStrikeやCybereasonといった主要EDRベンダーは、第三者評価機関MITRE Engenuityの「ATT&CK Evaluations」において「100%検知・100%可視性を達成」というプレスリリースを繰り返し出してきた。導入コストと運用負荷を天秤にかけたとき、この「100%」という数字はEDR単体で守り切れるという安心材料になりやすい。

しかし米CISA・NSA・FBIが2024年2月に共同発表した警告文書は、この安心感に冷や水を浴びせる内容だった。中国系APTグループVolt Typhoonが、米重要インフラに侵入し「少なくとも5年間」検知されずに潜伏していたと報告されたのだ(勧告AA24-038A)。EDRが広く普及した環境下で、なぜこれほど長期の潜伏が可能だったのか。答えの鍵は「Living off the Land(LotL)」という攻撃手法にある。

「100%」の中身――単一シナリオという前提

まず押さえておくべきは、ベンダーが発表する「100%」の意味だ。MITRE Engenuityの評価は、特定の脅威グループ(例:Cybereasonの2022年評価では実在の攻撃グループの挙動を再現)の攻撃チェーンをエミュレートした「1つのシナリオ」に対する検知率であり、Cybereason自身も発表文中で「9つの攻撃シーケンス・109の攻撃挙動が対象」と明記している。

一方でMITRE ATT&CKフレームワーク全体は14タクティクス・191テクニックに及ぶ広大なマトリクスだ。1つのシナリオが通るのは、そのごく一部の経路にすぎない。つまり「100%」は嘘でも誇張でもなく、正しく理解すれば「特定シナリオに対する100%」であり、「ATT&CK全体に対する100%」ではない。この違いを混同しないことが、通説を正しく相対化する第一歩になる。

LotL攻撃はなぜEDRの死角を突けるのか

LotL攻撃が悪質なのは、PowerShell・WMI・certutil・PsExecといった、Microsoft署名済みの正規管理ツールだけで攻撃チェーンを完結させる点にある。攻撃者はマルウェアの実行ファイルを一切ドロップしない。EDRの検知ロジックの多くはシグネチャベースの照合や既知IOC(侵害指標)との突合に依存しており、そもそも「悪意あるファイル」が存在しなければ照合対象がない。

さらに厄介なのは、PowerShellやWMIを「業務影響を理由に遮断できない」という運用上の制約だ。これらは情シス部門やシステム管理者が日常的に使う正規ツールでもある。EDRベンダー自身もこの限界を認めており、Vectra AIなど検知ベンダーの技術解説でも「LotLはエンドポイント単体では正常なプロセス実行にしか見えない」ことが繰り返し指摘されている。CISA/NSA/FBIの共同文書(2024年2月)やAA23-144A(2023年5月)も、まさにこの手口を重要インフラへの攻撃実態として警告している。

第三者実測が示す「穴」の大きさ

ベンダーの公称値とは別に、第三者研究による実測データも存在する。USENIX Security 2024で発表されたVirkud et al.の研究"How does Endpoint Detection use the MITRE ATT&CK Framework?"は、商用製品がATT&CK全マトリクスに対して実際にどれだけのルールを実装しているかを独自に測定した。

結果は、OSSのSigmaHQが79%と最も高く、Carbon Black(EDR)55%、Splunk(SIEM)52%、Elastic(SIEM)48%という実測値だった。さらに、誤検知の多い低・中重要度ルールを除外し、高リスクのルールのみで再計測すると、Splunkは52%→25%、Elasticは48%→26%と実質半減する。ATT&CKテクニック191件のうち53件(27.7%)は、調査対象のどの製品にもルールが実装されていなかった。

ここで注意したいのは、この実測値とベンダーの公称値は「測定対象が違うだけ」だということだ。公称値は特定シナリオへの検知率、実測値はATT&CK全体に対するルール実装のカバレッジであり、両者を単純比較して「ベンダーが嘘をついている」と結論づけるのは誤りである。また、Virkud et al.自身が論文内で「ATT&CKカバレッジは検知製品の実力を測る指標としては不適切」と釘を刺している点も見逃せない。この研究が測定したのは「ルールが存在するか」であって、「実際の攻撃を検知できるか」を直接測ったものではない。カバレッジの数字が高くても実防御力を保証しないし、低くても即座に無防備を意味しない。数字の性質を正確に理解した上で使う必要がある。

「ログを増やせば解決」でもない

ここまでの議論から「EDRだけでは不十分だから、ログを集めて相関分析すればいい」という結論に飛びつきたくなるが、それも短絡的だ。Vectra AIの調査では、組織は1日平均2,992件ものアラートを受け取り、そのうち63%が未対応のまま放置されているという結果が出ている。USENIX 2022の研究でも、検知アラートの誤検知率の高さ("99% False Positives")が指摘されている。

つまりログ基盤を導入しただけでは、アラートの洪水に担当者が溺れる「高価なゴミ箱」になりかねない。重要なのは、ログを溜める箱ではなく、どのユースケースをどう相関させ、何を異常と判定するかという設計と、その判定を人手に頼らず継続的に回すロジックである。

ジンテーゼ:エンドポイント単位という設計思想の限界

ここまでの通説とその反証を踏まえると見えてくるのは、「EDRという製品が劣っている」のではなく、「エンドポイント単位で異常を判定する」という設計思想そのものに構造的な限界があるという構図だ。LotL攻撃は、1台のエンドポイント上だけを見れば「正常なプロセス実行」にしか見えない。しかし複数のエンドポイント・複数のログソース(認証ログ、ネットワークログなど)を横断して突き合わせれば、話は変わる。

例えば、普段PowerShellを使わない経理部門の端末から深夜にPowerShellが実行された、あるいは深夜のcertutilによる不審なダウンロード直後に別端末へのPsExecによる横展開が発生した——これらは単体のログでは見過ごされがちだが、時系列とソースを横断して相関させれば「異常な組み合わせ」として浮かび上がる。必要なのは「EDRを捨てる」ことではない。EDRはエンドポイントを守る第一層として引き続き必要であり、それ自体は必要条件である。ただし、それだけでは十分条件を満たさない。EDR・ネットワーク・認証ログなどを横断して相関分析できるログ基盤を、EDRの上位レイヤーに置く発想への転換が求められている。

ヤグラが提供する選択肢

ヤグラは、この相関分析の基盤となる低廉なDataLake型SIEMを自社で保有している。高額な既存SIEM製品を新たに導入しなくても、EDR・ネットワーク・認証ログなどを横断して蓄積・相関分析できる環境を用意できるのは、この基盤を自社開発・自社運用しているからだ。

加えて、前述の「ログを増やしただけではアラート疲れを招く」という課題に対しては、AI SOCによる自動調査を組み合わせている。ルールに合致したアラートをそのまま担当者に投げるのではなく、AIが関連ログを横断して一次調査を行い、対応の優先度を絞り込んだ状態で人に引き渡す構成だ。Gartnerが2025年10月のレポート"Innovation Insight: AI SOC Agents"で述べているように、AI SOCの核心は完全な自動化ではなく「増強(オーグメンテーション)」にある。人手による最終判断を残しつつ、疲弊させない仕組みを組み込むことが、ログ基盤を「高価なゴミ箱」にしないための要諦になる。

結論

EDRの「100%検知」という発表は嘘ではない。ただし、それは特定シナリオに対する数字であり、ATT&CK全体のカバレッジではない。第三者実測ではコマーシャル製品のカバレッジは48〜55%にとどまり、LotL攻撃はまさにこの「穴」——正規ツールを使い、マルウェアを一切ドロップしない攻撃——を突いてくる。

だからといってEDRが不要になるわけではない。第一層としてのEDRは引き続き必要であり、その上に「複数のログソースを横断して相関を見る」レイヤーを重ねることで初めて、LotL攻撃のような「単体では正常に見える異常」を捉えられるようになる。SIEM未導入、あるいは導入コストに悩んでいる企業ほど、この上位レイヤーの設計を先送りにしがちだが、EDRのカバレッジ神話に安住し続けることこそが、最も避けるべきリスクである。