MDRとMSSPの比較

マネージド検知対応（MDR）とマネージドセキュリティサービスプロバイダ（MSSP）は、いずれもセキュリティチームの能力を拡張できますが、解決する運用上の課題は異なります。通常、その違いは誰が警告を調査するのか、誰が対応を担当するのか、そしてプロバイダがどの程度のセキュリティインフラストラクチャを管理するのかという点にあります。

両者を比較している組織では、次のような実践的な疑問への回答を必要としているかもしれません。

• ファイアウォール、ログ監視、セキュリティデバイス、コンプライアンス報告の管理にサポートが必要ですか？
• 不審なアクティビティを調査し、脅威の封じ込めを支援するために専門家は必要ですか？
• 警告に迅速に対応できる社内チームはありますか？
• 警告ノイズの削減、対応の改善、それとも日常的なセキュリティ運用の負荷軽減を目指していますか？

監視された警告は解決された脅威とは異なるため、この区別は重要です。MSSPはチームに対応が必要な事象を通知する場合がありますが、MDRプロバイダは一般的に、アクティビティの検証、コンテキストの調査、封じ込めや修正プロジェクトのサポートを行うことが期待されます。

MDRとMSSPの仕組み

MDRは、セキュリティテクノロジー、人間の専門知識、24時間体制の監視を組み合わせたサービスベースのモデルです。組織が脅威を検知し、疑わしい行動を調査し、インシデントが拡大する前に対応できるように設計されています。

MDRの仕組み

MDRチームは、エンドポイント、ユーザー、ネットワーク、クラウド環境、IDシステムなどのソースからのセキュリティテレメトリを監視します。検知が発生すると、アナリストはアクティビティを確認し、それが悪質かどうかを検証した上で、適切な対応を決定します。

MDRには通常、脅威ハンティング、警告トリアージ、インシデント調査、対応に関するガイダンス、修正プロジェクトのサポートが含まれます。多くのプログラムで、MDRは警告をセキュリティチームが対応できる意思決定に変換することで、検知テクノロジーと行動の間のギャップを埋めるのに役立ちます。

MSSPの仕組み

MSSPは、組織によるセキュリティインフラストラクチャの管理および監視を支援します。これには、ファイアウォール、侵入検知および防止システム（IDPS）、脆弱性管理スキャナー、SIEMプラットフォーム、エンドポイントセキュリティツール、ログ、コンプライアンスレポート、その他のセキュリティコントロールが含まれます。

MSSPは多くの場合、MDRプロバイダよりも幅広いサービスを提供します。ツールの設定、警告の監視、リソースの提供、顧客の内部チームへのエスカレーションなどを手伝うことができます。MSSPが個別の対応サービスも提供していない限り、その後は内部チームが問題の調査、封じ込め、修復を行います。

MDRとMSSPの主な違い

MDRとMSSPを比較する最も簡単な方法は、各モデルが提供するよう設計されている成果に注目することです。

重複は確かにあります。一部のMSSPはMDR サービスを提供し、 MDR また一部のプロバイダは検知スタックの一部を管理していますが、これらのサービス名称は同義ではありません。MDRサービスが通常、調査や対応により深く踏み込むのに対し、MSSPは一般的にツールや運用の管理をより幅広く行います。

MDRとMSSPの比較：事例とユースケース

能動的な脅威への対応が必要な人員が限られたITチーム

小規模または中規模の組織では、専任のセキュリティ オペレーションセンター（SOC）や24時間365日のアナリスト対応体制を整備できない場合があります。そのような場合、MDRを利用すれば、組織が社内で完全なSOCを構築しなくても、継続的な監視、調査、対応のサポートを提供できます。

これは、チームが警告を受信しても、それが実際の攻撃者行動を示しているかどうかを判断する時間や専門知識が不足している場合に特に役立ちます。

規制対象の組織は監視とレポートを必要としています。

規制対象の業界にある組織では、ログ監視、セキュリティデバイス、レポート作成、コンプライアンスワークフローの管理に関するサポートが必要になる場合があります。MSSPは、環境全体にわたるセキュリティ制御の維持、アクティビティの監視、および運用サポートの提供を支援します。

このモデルは、エスカレーションされた警告を調査し、修正プロジェクトを調整できる担当者が組織にまだいる場合に最も効果を発揮します。

成熟したSOCにはさらなる検知能力が必要

社内SOCにはすでにアナリスト、プロセス、ツールがある場合でも、警告のボリューム、時間外の対応、または専門的な脅威ハンティングに苦慮することがあります。MDRは、外部の検知および対応能力を追加することで、そのチームを補完できます。

この場合、MDRはSOCに取って代わるものではありません。特定の調査および対応ワークフローを処理することで、SOCをサポートします。

成長を続ける組織には両方が必要

一部の組織では、両方のモデルを使用しています。例えば、MSSPはファイアウォール、コンプライアンスレポート、ログ管理を管理し、MDRプロバイダは脅威検知、調査、対応を担当します。

重要なのは、所有権を明確に定義することです。インシデントが発生した場合、組織は誰が警告を検証し、誰がSDLCを伝達し、誰が脅威を封じ込め、誰が修正プロジェクトを確認するのかを把握しておく必要があります。

セキュリティ運用におけるMDRとMSSPの位置付け

MDRとMSSPは関連する複数のセキュリティ用語と位置づけが近いため、比較すると混乱しやすくなります。

• セキュリティ情報とイベント管理システム（SIEM）は、ログを収集して分析します。MDRサービスとMSSPサービスの両方をサポートできますが、それ自体はマネージドサービスではなく、テクノロジーカテゴリです。
• エンドポイントディテクションレスポンス（EDR）は、エンドポイントの可視性、検知、対応アクションに焦点を当てています。MDRプロバイダは多くの場合、より広範な調査の一環としてエンドポイントテレメトリを使用します。
• 拡張検知対応（XDR）は、エンドポイント、クラウド、ネットワーク、IDなど、複数のデータソース全体で検知を拡張します。アナリストがそのテレメトリを使用して調査や対応を行うことで、MDRはXDRデータを実運用化できます。

ツールはデータを収集して分析しますが、サービスは誰がその作業を管理するかを定義します。MDRプロバイダは、顧客に代わって脅威を検知し、対応します。MSSPは、マネージドセキュリティ運用とインフラストラクチャのサポートに焦点を広く当てます。