サンドボックスとEDRとは？

サンドボックスとEDRの意味

サンドボックスは隔離環境で検体を実行し、挙動から悪性かを判定する仕組み。EDR（Endpoint Detection and Response）は端末上の操作を継続的に記録し、侵入後の不審な連鎖を検知して隔離・調査までを担う。侵入前提の設計を支える技術。

サンドボックスとEDRの具体例

添付ファイルを仮想環境で開き、外部通信やレジストリ変更が起きれば遮断する。すり抜けた場合もEDRが「文書アプリがPowerShellを起動し外部へ接続した」という親子関係を記録しており、端末をネットワークから隔離しつつ影響範囲を追跡できる。

サンドボックスとEDRは試験でどう引っ掛けられる？

サンドボックスは万能ではなく、実行を遅延させる・仮想環境を検知して動かないといった回避手法がある。またEDRは検知と対応が主目的で、感染を未然に防ぐEPP（従来型の防御）とは役割が異なる点を区別する。

サンドボックスとEDRと関連する用語

• マルウェア検知手法（パターンマッチング・ビヘイビア法）
• ランサムウェアと二重脅迫
• ハニーポット

サンドボックスとEDRが出た過去問

• サンドボックスの仕組みに関する記述のうち，適切なものはどれか。

  正解：プログラムの影響がシステム全体に及ばないように，プログラムが実行できる機能やアクセスできるリソースを制限して動作させる。

  要点：サンドボックスは実行を隔離し影響を封じ込める

  サンドボックスは、プログラムを隔離した環境で動かし、利用できる機能やアクセスできる資源を制限する仕組みです。不審なプログラムを実行しても、その影響がシステム全体に及ばないため、未知のマルウェアの挙動解析にも使われます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

  正解：マルウェアの感染や発病によって生じるデータの読込みの動作,書込みの動作,通信などを監視して,マルウェアを検出する。

  要点：ビヘイビア法は実際の挙動を監視して未知の脅威も検出

  ビヘイビア法（動的ヒューリスティック法）は、検査対象を実際に動作させて、ファイルの読み書きや通信、レジストリ操作といった振る舞いを監視し、マルウェア特有の挙動を見つけたら検出する手法である。パターンファイルに登録のない未知のマルウェアにも対応できる反面、正当なプログラムを誤検知する可能性がある。サンドボックス上で実行して観察する方式もこれに含まれる。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）