サンドボックスとEDRとは？

サンドボックスとEDRの意味

サンドボックスは隔離環境で検体を実行し、挙動から悪性かを判定する仕組み。EDR（Endpoint Detection and Response）は端末上の操作を継続的に記録し、侵入後の不審な連鎖を検知して隔離・調査までを担う。侵入前提の設計を支える技術。

サンドボックスとEDRの具体例

添付ファイルを仮想環境で開き、外部通信やレジストリ変更が起きれば遮断する。すり抜けた場合もEDRが「文書アプリがPowerShellを起動し外部へ接続した」という親子関係を記録しており、端末をネットワークから隔離しつつ影響範囲を追跡できる。

サンドボックスとEDRは試験でどう引っ掛けられる？

サンドボックスは万能ではなく、実行を遅延させる・仮想環境を検知して動かないといった回避手法がある。またEDRは検知と対応が主目的で、感染を未然に防ぐEPP（従来型の防御）とは役割が異なる点を区別する。

サンドボックスとEDRと関連する用語

• マルウェア検知手法
• ランサムウェアと二重脅迫
• ハニーポット

サンドボックスとEDRが出た過去問

• ウイルス検出におけるビヘイビア法に分類されるものはどれか。

  正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。

  要点：ビヘイビア法は実行時の挙動を監視して検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：サンドボックス上で検体を実行し，その動作や外部との通信を観測する。

  要点：動的解析は検体を実際に動かして挙動を観測する

  動的解析は、検体を実際に実行させてその挙動を観測する手法で、隔離されたサンドボックス環境でファイル操作やレジストリ変更、外部との通信を記録する。コードを読んで機能を調べる静的解析や、ハッシュ値による既知検体の照合とは区別される。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は隔離環境で実行し挙動を観測する手法

  動的解析は、マルウェアを実際に隔離環境で実行し、ファイル操作やレジストリ変更、外部通信などの挙動を観測して機能を把握する手法である。実行せずにコードやハッシュ値を調べる静的解析と対になる考え方で、難読化された検体でも実際の振る舞いをつかめる利点がある。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は実行して挙動を観測、静的解析は実行しない

  動的解析とは、検体を実際に実行させてその振る舞いを観測する手法であり、隔離されたサンドボックス上で行うのが一般的である。ファイル操作やレジストリ変更、外部との通信先などが直接分かるため、難読化された検体でも実挙動を把握できる。これに対し、実行せずにコードや特徴を調べるのが静的解析である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問29（IPA）

• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情報セキュリティに対する取組が必要であると…

  正解：（三）,（四）

  要点：最新化には自動適用ツールと非標準ソフトの排除が要る

  評価が不完全なのはOSと標準ソフトではなく、実態が把握できていない非標準ソフトである。したがって、全PCへ修正プログラムを自動適用できるIT資産管理ツールを導入して更新漏れをなくすことと、非標準ソフトの導入を禁止して既存分を強制的に削除することの二つが有効な追加対策になる。EDRやSIEMは侵害の検知・分析の仕組みであり、ソフトウェアを最新に保つ対策ではない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問51（IPA）