デセプション（おとり検知）⁠と⁠は⁠？おとり配置型・わな配置型の違いと、EDR・NDRとの違い・選び方

デセプションとは

デセプションは、おとり検知とも呼ぶ製品です。偽のサーバー、ファイル、認証情報を置き、触られたら知らせます。ふだんの利用者が使わないものを見張るので、シグネチャやふるまいの分析とは見つけ方が違います。

比較ページには、自社で開発して自社のブランドで提供し、日本語の公式ページと日本法人を確かめられた4社5製品を載せました。

2つの種類

• おとり配置型は、偽のサーバーや機器、アプリを社内やクラウドに置きます。FortiDeceptorとZscaler Deceptionが当たります
• わな配置型は、端末やIDのまわりに偽の認証情報や接続先を置きます。Proofpoint ShadowとSingularity Identityが当たります

ハニーポット・EDR・NDRとの違い

• ハニーポットは攻撃者を引き寄せる偽のシステムです。デセプションは同じ考え方を、認証情報やファイルまで広げています
• EDRは端末の中の動きを見ます
• NDRは社内を流れる通信の動きを見ます
• デセプションは、おとりに触ったかどうかで見つけます。おとりに触らない攻撃は見つからないので、EDRやNDRの代わりにはしません

選ぶときに見るところ

選ぶときは「どこに置くか」「何を見つけるか」「見つけた後どうするか」の3つを先に決めます。

• 置き方は製品で違います。FortiDeceptor 1000Gはラックマウントの機器で、Zscaler Deceptionはクラウドネイティブです
• Proofpoint Shadowはエージェントなしで入れ、Singularity Identityは同じエージェントのまま足せます
• OTやIoTのデコイを公式に書いているのはFortiDeceptorです
• FortiDeceptorは感染した端末を隔離でき、Zscaler Deceptionは事前に承認した対応を他社ツールでも動かせます

価格の見方

この4社5製品に、公式の価格はありません。FortiDeceptorは機器の台数やVLANの数を、Zscaler DeceptionとSingularity Identityは今の契約を伝えて見積もりを取ります。

入れるときの注意

• おとりは本物の機器や命名に合わせます。似ていないと攻撃者が避けます
• 通知を受ける担当者と、隔離や遮断の手順を先に決めます
• 社内のスキャンでおとりに触ることがあるので、例外の扱いを決めます