【入門編】ネットワークベースのEDR(NDR: Network Detection and Response)による異常トラフィック分析 – サイバーセキュリティとプライバシー保護実践ガイド

ネットワークの「健康診断」を自動化せよ！NDRがランサムウェアを未然に防ぐ仕組み

こんにちは！ネットワークとセキュリティの深淵を日々探求しているライターです。

皆さんは「EDR（Endpoint Detection and Response）」という言葉を聞いたことはありますか？PCの端末にエージェントという監視役を常駐させ、怪しい動きを捕まえる技術です。でも、今の高度な脅威は「エージェントが入っていないサーバー」や「隠密に動くIoT機器」の隙を突いてきます。

そこで今、現場のプロたちが熱い視線を送っているのが「NDR（Network Detection and Response）」です。今回は、この技術を「郵便配達」に例えて、なぜこれが最強の防波堤になるのかを紐解いていきましょう。一歩ずつ、一緒に見ていきましょうね！

—

そもそも「NDR」って何？郵便配達で例えてみよう

ネットワークの世界を、巨大な物流センターと郵便配達に例えてみます。

パケット（封筒）: データが目的地に届くための小さな封筒です。
宛先・差出人: 封筒の表に書かれた IPアドレス です。
中身: どんな情報が書かれているか（通信の内容）。

従来のセキュリティ対策は、この「封筒の中身」をいちいち開封して検査するようなものでした。でも、膨大な郵便物を一つずつ開けていたら、物流はパンクしてしまいますよね。

NDRは違います。NDRは「封筒の厚み」「配送ルートの不自然さ」「特定の時間帯に届く異常な量の郵便」という「メタデータ（通信の統計情報）」だけを観察します。

「あれ？さっきまで社内の経理部からしか届かなかった郵便が、今は深夜に人事部のPCから、しかも海外の怪しい配送拠点に向けて大量に送られているぞ？」

このように、「誰が、いつ、どこへ、どれくらいの量を送ったか」というパターンを機械学習で見抜くのがNDRの真骨頂なんです。

—

ランサムウェアは「ネットワークの足跡」を隠せない

ランサムウェアが社内に侵入すると、彼らは必ず「仲間を増やそう」とします。これを「横展開（ラテラルムーブメント）」と呼びます。

例えば、攻撃者は社内のネットワークを走り回り、SMB（ファイル共有の仕組み）を使って他のPCを探し回ります。これは、郵便配達員が突然、部署中の机を一つ一つ覗き込んで「ここに大事な書類はあるか？」と聞き回っているようなもの。非常に不自然ですよね。

NDRは、この「不自然な徘徊」をネットワークの交通整理の観点から即座に見抜きます。

—

現場で使える！ネットワーク分析の第一歩

実際にネットワークの異常を検知するための、簡単な考え方を見てみましょう。例えば、Linuxサーバーで通信量を監視するシンプルなスクリプト（Python例）のイメージです。

# ネットワークの通信量を監視する疑似コード
import time

def monitor_traffic(packet_data):
    # 異常検知の閾値（例えば、1分間に1000件以上の接続要求）
    THRESHOLD = 1000
    
    # 送信先IPごとのカウントを記録
    connection_count = count_connections_by_destination(packet_data)
    
    for ip, count in connection_count.items():
        if count > THRESHOLD:
            print(f"【警告】{ip} への異常な接続を検知しました！スキャン行為の可能性があります。")
            # ここで遮断コマンドを発行する処理などを繋げます

# 実際の実務では、これをフローデータ（NetFlow等）で解析します

※実務では、このような自作スクリプトではなく、Zeek や Suricata といったオープンソースのネットワーク監視ツールを組み合わせて、SIEM（ログ統合管理）で可視化するのが一般的です。

—

初学者が今すぐ意識すべき「防御の視点」

NDRを導入する前でも、ネットワークエンジニアの卵として意識しておきたいポイントが3つあります。

1. 「いつも通り」を知る: 自分のネットワークで、どの端末が、どのサーバーと、どの時間帯に通信するのが「普通」なのかを把握してください。異常は「普通」を知っている人しか気づけません。
2. Flow データの重要性: 全ての通信の中身を見るのは大変です。まずは NetFlow や IPFIX といった「誰と誰が通信したか」のログを保存する習慣をつけましょう。
3. セグメンテーション: 郵便を部署ごとに仕分けるように、ネットワークも VLAN 等で細かく区切りましょう。これで攻撃者が横展開する難易度がグッと上がります。

—

まとめ：ネットワークは嘘をつかない

エンドポイントのOSがどれだけアップデートされても、ネットワークの通信パターンには必ず「攻撃者の痕跡」が残ります。パケットは、誰が何をしようとしているのか、その動機までをも雄弁に物語るのです。

NDRという「ネットワークの守護神」を味方につければ、見えない脅威を恐れる必要はありません。まずはネットワーク上の「いつもと違う動き」に敏感になることから始めてみてください。

これからも、現場の泥臭い知見を皆さんと共有していきますね。次回の記事でも、もっと深い「防御の極意」に触れていきましょう！