EDRを入れても侵入される 405社調査が示す日本企業の「構造的欠陥」

EDRなどの検知ツールへの投資は進んだ。それでも重大インシデント寸前の事案は絶えない。サイバーリーズンが国内405社の成熟度診断とSOC観測データを突き合わせたところ、攻撃者が狙う共通の「死角」が浮かんだ。

[松林沙来，ITmedia]

　セキュリティベンダーのサイバーリーズンは2026年8月28日、国内405社を対象にした「セキュリティ成熟度ベンチマーク診断」の結果と、同社のセキュリティ監視組織であるグローバルSOC（GSOC）が2026年上半期に観測したインシデントの分析結果を発表した。同社は両調査の結果を、日本企業のセキュリティ課題が「ツール導入の問題」から「組織とプロセスの問題」へ移行したことを示すものと位置付けている。

　成熟度診断は、米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク（CSF）2.0」を評価軸に、「統治」「特定」「防御」「検知」「対応」「復旧」の6機能ごとの対策状況を5段階で数値化するものだ。調査の結果、端末上の不審な挙動を検知して対処するEDR（Endpoint Detection and Response）などのツールが担う「検知」のスコアは平均2.86、「防御」は平均2.56と、対策製品の導入は一定の水準に達していた。

　それでも攻撃者は、対策製品を導入した企業への侵入に成功している。両調査が共通して指し示した根本原因は何か。

検知ができていでも侵入されるのはなぜか

　両調査が共通して示した根本原因は、自社の資産やアタックサーフェス（攻撃対象領域）を把握する「特定」の弱さだ。成熟度診断では「特定」のスコアが平均1.99と、6機能の中で最も低かった。

　EDRや次世代アンチウイルスを導入して「守っているつもり」でも、守るべき対象そのものを把握できていない。サイバーリーズンはこの状態を、攻撃者の方が企業より資産を把握している「非対称性」と表現する。攻撃者にとっては、企業が認識していない資産こそが攻撃しやすい入口になる。

「検知」「防御」に対して「特定」のスコアが低い（出典：サイバーリーズンの発表資料）

　GSOCが2026年1月から7月に、EDRなどのログを常時監視して対応を支援するMDR（Managed Detection and Response）サービスの国内顧客環境で観測した、重大な被害に至る恐れのあった事案の根本原因は次の通りだ。

根本原因	割合
EDRを導入済みでありながら、一部のEDR未導入端末が攻撃された	25.0％
外部公開サーバーの脆弱（ぜいじゃく）性を突かれた	25.0％
ネットワーク機器経由（VPNなど）	16.7％
遠隔管理ツール	16.7％
フィッシング	8.3％
その他	8.3％

　脆弱性を突かれた実例では、国内の情報通信業の企業で、外部公開していたMicrosoftのコラボレーションソフト「SharePoint Server」の脆弱性が悪用された。脆弱性の公開報告から数日後の侵入だった。このサーバはファイアウォールやWAFなど多層のネットワーク防御で保護されたDMZ（DeMilitarized Zone）で稼働していたが、サーバ自体のパッチは未適用だった。

　未管理端末の実例では、国内の製造業で、セキュリティ対策ソフトが入っていない「野良端末」を踏み台に、攻撃者がRDP接続で社内の他の端末へ侵入を広げた。脆弱性を持つ正規のドライバを持ち込んで特権の奪取を試みる「BYOVD（Bring Your Own Vulnerable Driver）攻撃」も確認された。正規のドライバを悪用するため、一般的なセキュリティ製品では検知しにくい手法だ。

　GSOCが現場で見た「死角」の背景は、主に次の3つに整理される。

1. IT資産管理の把握漏れ：部署が独自に購入した端末、開発やテスト用に立ち上げられ放置された「野良サーバ」、M&A先や海外子会社の端末など、管理者が存在自体を知らないケース
2. 技術面や契約面の制約：計測器や医療機器、POSレジなどで動くレガシーOSや、サードパーティ製ソフトを入れるとベンダーサポート対象外になる専門機器など、リスクを把握していても対策を導入できないケース
3. 外部や委託先の持ち込み端末：業務委託先や保守ベンダーが持ち込む作業用PCなど、社内ネットワークに接続されるが自社の管理権限の外にあるケース

サイバーリーズンの渡邊弘実氏（グローバルSOC シニアマネージャー）（筆者撮影）

　脆弱性を放置できる猶予も消滅しつつある。同社の渡邊弘実氏（グローバルSOC シニアマネージャー）は、最先端のAIモデル（フロンティアAI）が脆弱性の発見と悪用の速度を変えたと指摘する。公開されたパッチの差分をAIで解析することで、高度な技術を持たない攻撃者でも侵入手順を数時間で再現できるようになったという。

　「フロンティアAIによって脆弱性の解析から攻撃コード作成までの時間が数分〜数時間まで短縮された今、パッチ公開から侵入試行までの猶予は事実上なくなりつつある。資産の棚卸しと積極的なアップデート推進、および定期的なセキュリティ診断や侵入テストによる『死角の洗い出し』を、平時のうちに実施してもらいたい」（渡邊氏）

「見えない分断」と「レベル2の壁」

　組織の内側にも課題が残る。「特定」のスコアを回答者の所属部門別に見ると、事業現場部門は平均2.57、情報システム部門は平均1.86で、0.71ポイントの開きがあった。実態を把握する情報システム部門ほど自社を厳しく評価しており、同社はこの差を、現場の対策の進展ではなく両部門の認識のずれと分析する。事業現場部門の楽観視によって、情報システム部門が抱くリスクが経営層に正しく認識されない「見えない分断」が生じているという。

　インシデント対応の態勢では、全体の51.6％が「レベル2（属人化）」に滞留していた。基本的な対策は実施しているが、運用が手動で担当者個人に依存する段階だ。「対応」のスコアは平均2.04、「復旧」は平均2.16と低く、検知後の封じ込めや復旧の手順が個人のスキルに委ねられている。

サイバーリーズンの有賀正和氏（執行役員 セールス・エンジニアリング統括本部）（筆者撮影）

　同社の有賀正和氏（執行役員 セールス・エンジニアリング統括本部）は、調査結果を次のように総括した。

　「守る道具はそろえたが、守るべき対象を把握できていないという非対称な状態にある。この分断がある限り、情報システム部門の危機感は経営層に届かない。次の一手は新しい製品の導入ではなく、資産の可視化と、有事に誰が何を判断するかを定めた組織的なプロセスの整備だ」（有賀氏）