バリュエンステクノロジーズ株式会社 様

　バリュエンスグループのシステム開発部門として、グループ内外でソフトウェア開発やAI導入支援を行っているバリュエンステクノロジーズ。社内でさまざまな開発ツールが使用されており、その働き方はリモートワークがメインであることから、同社の情報システム部門では、以前よりクラウドとエンドポイントのセキュリティ対策の強化に乗り出していました。

　その一環として導入したのが、比較的知名度の高いEDRツールです。しかし2020年の導入以降、実際に脅威を検知したのは数回にとどまり、そもそも検知をしているのかわからない状態でした。
バリュエンステクノロジーズのコーポレートIT部に所属する石田健二氏は、当時についてこのように振り返ります。

　「私が着任してから1年のあいだ、脅威を検知したのは1,2回程度でした。そもそもエージェントが動いているかどうかを最終接続時間でしか確認できず、検知機能が正常に働いているのかどうか知るすべもありません。『たぶん守られているだろう』と思いつつも、正直不安でした」

　グループ全体の情報システムを統括する木戸啓太氏も「いざというときに脅威を追跡できないEDRは、入れている意味があまりない」と指摘します。加えて、既存のEDRツールが日本語のサポート対応をしていない点にも不満を感じていたといいます。

　バリュエンステクノロジーズでは、脅威がきちんと検知されていることを認識でき、検知された脅威を端末に直接入って追跡できる。そして必要なサポートを受けやすい、新たなEDRツールを必要としていました。

　EDRの選定と検証にあたり、バリュエンステクノロジーズがパートナーとしたのは東京エレクトロンデバイス（以下、TED）です。「TEDさんには、すでにNetskopeの導入でお世話になっていました。そのつながりで紹介していただいたのがSentinelOneです」（石田氏）

　EDR製品の選定にあたってはSentinelOne以外にもいくつかの検討候補がありました。バリュエンステクノロジーズでは以下の選定基準に基づいて、SentinelOneに絞り込んでいったといいます。

• ログをプロセスレベルで追えること
  既存のEDRツールには、脅威を検知した後の流れに難がありました。検知した対象が何なのか確認しやすいことが新しいツールに求めたポイントです。
• リモートシェルで使えること
  脅威を検知した際に、対象となる端末に直接入って確認できることも重要です。加えて、緊急時にフルコントロール権限を持てるかどうかも重視しました。
• 運用が簡単であること
  マルウェアに関する調査やチューニングになるべく手間がかからない点も重視しました。

SentinelOneは自立型のEDR製品で、AIによる補助運用がしやすい点も魅力的です。また、万が一の際には、復旧まで対応できるので心強く感じています。

　これらの基準に加え「Netskopeと連携できることも大きな魅力でした」と語る石田氏。TED からの提案とサポートを受けて、SentinelOneのPoCから本格導入へと進みました。

　導入の際にTEDから受けたサポートは、SentinelOneについての基本的な説明とUIレベルの質問対応など。SentinelOneの導入プロセスはスムーズ過ぎるくらいだった、と当時を振り返ります。

　「SentinelOneの設定はとてもシンプルで、定例会議などで手取り足取り教えてもらうまでもありませんでした。TEDさんには最初の1か月間、都度相談する形でサポートしてもらいました」（石田氏）

　「各種設定やMDMの配布、除外設定など、運用の部分で質問対応してもらいました。主にPoCから本番運用までをフォローしていただいた形です」（木戸氏）

　現在、バリュエンステクノロジーズでは50台の端末にSentinelOneを導入しています。「現在は端末数がまだ少ないので検知数は多くありませんが、それでもひと月に1,2件ほどの検知があります」と話す石田氏。結果としてEDRツールの移行前より検知数は増えましたが、そのぶん「守られているという安心感がある」と石田氏は語ります。

　すでに導入から1年が経ちましたが、現在までにエンドポイント端末の動きが遅くなったり、挙動がおかしいといった不具合は発生していません。また検知された「脅威」も、ほとんどが過検知だといいます。このようにログを追跡して脅威の正体を確認でき、今後の運用の気付きになることもSentinelOne導入の成果です。

　ちなみにSentinelOneには、標準でSlackとの連携機能が用意されています。「何らかのインシデントを感知したときは、Slackで通知されるように設定しました。検知後にすぐ通知されるため、こちらも素早い対応が可能です」（石田氏）

　今後の運用と展開について、Netskopeとの連携を目指しているという石田氏。

　SentinelOneとNetskopeのそれぞれに深い知見を持つTEDに対しては「引き続き情報提供をお願いしたい」と期待の言葉を語ってくれました。