EDRだけで攻撃を止められる時代は終わった

検知された攻撃の79%はマルウェアを使わず、痕跡を端末の外に残す。EDRだけで守れる時代は終わり、複数システムのログを相関するSIEMへの拡張が避けて通れなくなっている。しかしログの集約はアラートの急増と検知ルールの保守という運用の壁を伴い、取り込んだデータで検知できるはずの攻撃技術のうち、実際にルールが整備されているのは平均21%にとどまる。本資料は、EDRからSIEMへ広げる移行点で立ち上がる壁を統計で確かめ、AIが処理し人が判断するAI SOCという運用設計がなぜその移行を成立させるのかを整理する。

Key Findings
01 — 攻撃の79%はマルウェアを使わない。正規の認証情報を悪用して進む攻撃は端末上では正規利用と区別がつきにくく、痕跡は端末の外のログに分散して残る
02 — 検知ルールのカバレッジは平均21%。本番SIEM環境の実測では、データはMITRE ATT&CK技術の90%超を検知できる量があるのに、整備済みルールは平均21%にとどまる
03 — アラートは1日4,484件、67%が未調査。SOCチームが受け取るアラートは1日平均4,484件に達し、67%は調査されないまま放置される
04 — AIの全面活用で対応期間を80日短縮。セキュリティAIと自動化を全面活用する組織は侵害対応の期間を80日短縮し、被害額を平均約190万ドル抑えた

関連する実務記事

ログを集約する基盤の役割は、SIEMの仕組み・機能と選び方で詳しく解説しています。

増加するアラートの一次調査をどう進めるかは、アラートトリアージの自動化をご覧ください。

調査の自動化と人の判断を組み合わせる考え方は、AI SOCの仕組みと従来型SOCとの違いで整理しています。