ITDRとは？ID脅威の検知・対応の種類とEDR・IDaaSとの違い、選び方

ITDRとは

IDの動きと設定を見続けて、盗まれた認証情報の悪用やラテラルムーブメントを見つける製品です。ID脅威の検知・対応、Identity Threat Detection and Responseとも呼ばれます。

ITDRの比較ページは、自社で開発・提供し、日本語の公式ページと日本法人を確かめた会社の製品を対象にしています。

選び方

選ぶときは「見るID基盤」「見つけた後の動き」「導入の形」の3つを先に決めます。

方式の違い

端末エージェント型は、端末で動くエージェントからIDの動きを見ます。

• CrowdStrike Falcon Identity Protection は、Falconセンサーで振る舞いの異常を見つけます
• Singularity Identity は、デコイと認証情報を置いて偵察をあぶり出します
• Zscaler Identity Protection は、Zscaler Client Connectorに組み込まれています

セキュリティ基盤型は、同じメーカーの基盤でほかの情報と合わせて見ます。

• Microsoft Defender for Identity は、Defenderポータルで調べて対処します
• TrendAI Vision One Identity Security は、セキュリティレイヤ横断でイベントを関連付けます
• Tenable One Identity Exposure は、エージェントなしでADとEntra IDを監視します

ID基盤連携型は、ID基盤とつないだりログを分析したりして異常を見ます。

• Okta Identity Threat Protection は、ログイン後のセッションを見続けます
• IBM Verify Identity Protection は、ネットワーク・ログやクラウド・トラフィックを分析します
• Proofpoint Identity Protection は、エージェントなしで罠を置きます
• Sophos ITDR は、Microsoft Entra IDのテナントを監視します

見つけた後の動きを確かめる

検知の通知で終わるのか、その場で止めるのかは製品で分かれます。

• Singularity Identity は、侵害されたIDの無効化とパスワード変更の強制を案内しています
• TrendAI Vision One Identity Security は、アカウントのロックと強制サインアウトを案内しています
• Okta Identity Threat Protection は、セッションの終了を案内しています
• Proofpoint Identity Protection は、有害な変更をワンクリックで元に戻せます

導入の前に確かめること

• 見るID基盤に、自社のADと使っているIDaaSが入っているかを見ます
• 掲載の製品に公開価格はないので、IDの数をそろえて見積もりを取ります
• データの置き場所に決まりがあるなら、契約前に各社へ確かめます