侵害端末の調査に用いる製品
A 社では，プロキシサーバのログから，ある PC が C&C サーバと思われる宛先と通信していたことが分かった。今後同様の事態が起きた際に，その PC でどのプロセスが通信を開始し，そのプロセスがどのファイルから，どの親プロセスによって起動されたかを遡って調べ，他の PC にも同じ痕跡があるかを横断的に確認できるようにしたい。あらかじめ導入しておくものとして，最も適切なものはどれか。
- ア端末から外部へ送信されるデータの内容を検査し，あらかじめ定義した機密情報を含む送信を遮断する DLP 製品
- イ疑わしいファイルを隔離された仮想環境で実行し，その挙動からマルウェアかどうかを判定するサンドボックス製品
- ウPC 上のプロセスの起動，ファイル操作，通信などの挙動を継続的に記録して収集し，不審な挙動の検知と調査を支援する EDR 製品
- エネットワーク上の通信を監視し，既知の攻撃パターンに一致する通信を検知して遮断する IPS 製品
正解と解説を見る
正解 ウ
この問題の基礎知識
- EDR は，端末上のプロセスの起動，ファイル操作，通信などの挙動を継続的に記録・監視し，不審な挙動の検知と事後の調査・対応を支援する製品である。
- DLP は機密情報の不正な送信などの検知・防止，サンドボックスは隔離環境でファイルを動作させてマルウェアかどうかを判定，IPS はネットワーク上の通信を監視して攻撃を検知・遮断する製品である。
- ネットワーク側の製品やログからは，通常，通信した端末までしか分からず，端末内のどのプロセスが通信したかを知るには端末側の記録が必要である。
ア端末から外部へ送信されるデータの内容を検査し，あらかじめ定義した機密情報を含む送信を遮断する DLP 製品
DLP は機密情報の不正な利用や送信の検知・防止を目的とするものであり，端末内のプロセスの起動の経緯やファイル操作の記録を遡って調べる用途には向かない。
イ疑わしいファイルを隔離された仮想環境で実行し，その挙動からマルウェアかどうかを判定するサンドボックス製品
サンドボックスは，提出されたファイルを隔離環境で動作させて判定するものである。各 PC で過去に起きたプロセスの起動やファイル操作を記録するものではない。
ウPC 上のプロセスの起動，ファイル操作，通信などの挙動を継続的に記録して収集し，不審な挙動の検知と調査を支援する EDR 製品正解
EDR は，PC やサーバ内の処理や外部との通信などの挙動を記録・監視するので，通信を開始したプロセスや起動の経緯を遡って調べ，同じ痕跡を他の端末で探すといった調査に適する。
エネットワーク上の通信を監視し，既知の攻撃パターンに一致する通信を検知して遮断する IPS 製品
IPS はネットワークのレベルで通信を監視するものであり，端末内のどのプロセスが通信したかや，そのプロセスの起動の経緯は分からない。
検証用の出典出典照合済み
IPA 情報セキュリティ10大脅威 2025 解説書（組織編） ／ NIST SP 800-215 Guide to a Secure Enterprise Network Landscape ／ NIST CSRC Glossary: sandbox, data loss prevention照合の根拠（6 件）
- ウ（正解）: EDR は端末上のセキュリティのテレメトリデータを収集する
though some visibility is now sought through endpoint detection and response (EDR) solutions that collect security telemetry data on endpoints.
NIST SP 800-215 · 2.1 Limitations of Network Perimeter-based Protections（新しいタブで開きます） - ウ（正解）: EDR は端末内のプロセスの挙動や親子関係を監視する
Implementation: Use Endpoint Detection and Response (EDR) tools to monitor and block processes exhibiting unusual behavior, such as privilege escalation attempts. Use Case: An attacker uses a known vulnerability to spawn a privileged process from a user-level application. The endpoint tool detects the abnormal parent-child process relationship and blocks the action.
MITRE ATT&CK M1040 Behavior Prevention on Endpoint · Suspicious Process Behavior（新しいタブで開きます） - ウ（正解）: EDR はサーバや PC 内の処理や外部との通信の不審な振る舞いを検知する（PDF が 2 段組のため 1 行分のみ引用）
サーバーおよび PC 内の処理や外部との通信
IPA 情報セキュリティ10大脅威 2025 解説書（組織編） · セキュリティ製品を導入する（EDR）（新しいタブで開きます） - ア（誤り）: DLP は情報の不正な利用・送信の検知と防止を目的とする
Data loss prevention capabilities are designed to detect and prevent the unauthorized use and transmission of NSS information.
NIST CSRC Glossary: data loss prevention · Definitions (CNSSI 4009-2022)（新しいタブで開きます） - イ（誤り）: サンドボックスは疑わしいソフトウェアを制限された実行環境で動かすものであり，各 PC の過去の挙動を記録するものではない
A restricted, controlled execution environment that prevents potentially malicious software, such as mobile code, from accessing any system resources except those for which the software is authorized.
NIST CSRC Glossary: sandbox · Definitions (CNSSI 4009-2022)（新しいタブで開きます） - エ（誤り）: IPS は侵入行為を検知して止めるものであり，端末内のプロセスの起動の経緯は記録しない
A system that can detect an intrusive activity and also attempt to stop the activity, ideally before it reaches its targets.
NIST CSRC Glossary: intrusion prevention system · Definitions (NIST SP 800-82r3)（新しいタブで開きます）
NIST SP 800-215 には EDR が端末のテレメトリを収集するという記述（2.1）があるが一文だけなので，プロセスの監視・親子関係の把握は MITRE ATT&CK M1040 で補った。