Aurora Endpoint Security 安全な展開プラクティス

注: この情報は、Aurora Endpoint Defense および Aurora Protect にのみ関連します。

エグゼクティブサマリー

Arctic Wolf® Aurora Endpoint Defense は、運用上のリスクを最小限に抑え、影響範囲を限定し、Windows、macOS、Linux 環境全体で予測可能かつ監査可能な変更を支援するように設計された安全な展開プラクティスに従います。

本レポートでは、Arctic Wolf の展開モデルを、Microsoft Defender for Endpoint の安全な展開に関するガイダンスと整合させています。同ガイダンスでは、更新の配信をソフトウェアおよびドライバの更新と、セキュリティインテリジェンスおよび検知ロジックの更新という 2 つの主要なカテゴリに分けています。

Aurora Endpoint Defense は、顧客への影響を低減するため、段階的なリリース検証、地域別のロールアウト制御、テレメトリ監視、サポートケースとの相関分析、およびリリース停止の仕組みを採用しています。顧客の展開ポリシーでは、タイミング、スケジュール設定、バージョンの導入、変更管理との整合を引き続き管理します。Aurora および Next Generation Anti-Virus（NGAV）の展開モデルが管理された自動更新へと移行しつつある中、本レポートでは、現在のお客様向けの制御機能と移行を支える管理された保護措置の両方について説明します。

1.目的および適用範囲

本書では、Arctic Wolf が Aurora Endpoint Defense（Aurora Protect および Aurora Focus を含む）を提供、更新、監視、封じ込め、復旧するために使用する安全な展開プラクティスについて説明します。

これらのプラクティスは以下を目的としています。

運用上のリスクを最小限に抑える
変更のロールアウト中の影響範囲を限定する
予測可能かつ監査可能な展開を支援する
エンタープライズの変更管理プロセスに整合させる
Microsoft Virus Initiative（MVI）のレジリエンシーに関する要件を満たす

これらの安全な展開プラクティス（SDP）は次に適用されます。

Windows
macOS
Linux

SDP の対象範囲：

エンドポイントエージェント
カーネルドライバ、システム拡張機能、保護されたサービスコンポーネント
脅威インテリジェンスのコンテンツ、検知ロジック、振る舞いモデル、ポリシーの更新
クラウドベースのオーケストレーション
顧客および Arctic Wolf の運用の制御

2.製品アーキテクチャと更新タイプ

Aurora Endpoint Defense は、Aurora Protect および Aurora Focus を通じて提供される連携したエンドポイント保護機能および検知機能で構成されています。

2.1 Aurora Protect

Aurora Protect は、プロアクティブな脅威の防止およびエンドポイントの保護を提供します。振る舞い分析およびその他の検知手法を使用して、悪意のあるペイロードが実行される前にブロックし、エンドポイントの露出を低減します。

中核となる保護機能には以下があります。

悪意のあるファイルおよびペイロードに対する実行前の防止
スクリプトベースの脅威の検知と防止
プロセスの注入と悪意のある挙動の検知
デバイス制御の適用
ポリシーベースの防止および封じ込め制御
サポートされる場合の、Windows の Anti-Malware Protected Process Light（AM-PPL）および Early Launch Anti-Malware（ELAM）を含むプラットフォーム保護

2.2 Aurora Focus

Aurora Focus は、テレメトリ、検知、調査、対応の機能を提供します。Aurora Protect と連携し、保護、テレメトリ、対応のワークフロー間の互換性を維持するため、文書化された最低バージョンの依存関係に従います。

2.3 更新カテゴリ

Arctic Wolf は、安全な展開の制御を次の 2 つの更新カテゴリに分けています。

ソフトウェアおよびドライバの更新 — カーネルモードまたは保護されたサービスのコンポーネントに影響を与える可能性があるエージェント、ドライバ、サービス、インストーラ、プラットフォームコンポーネントの更新。
セキュリティインテリジェンスおよび検知機能の更新 — より高い頻度で更新される場合があり、通常はユーザーモードまたはクラウド提供の検知経路に適用される脅威インテリジェンスのコンテンツ、検知ロジック、モデルの更新、ポリシーコンテンツ。

2.4 オペレーティングシステム別の実装の詳細


プラットフォーム	実装の詳細
Windows	実行前の適用、テレメトリ収集、対応ワークフローに対する完全なエージェントサポート。 Windows の実装には、AM-PPL および ELAM の保護機能を含めることができます（サポートされている場合）。.NET Framework の依存関係は、互換性要件の一部として文書化されて検証されます。
macOS	最新の macOS バージョンでは、Apple の Endpoint Security フレームワークおよびシステム拡張機能を使用します。旧バージョンの macOS では、カーネル拡張機能を使用する場合があります。該当する場合、.NET 関連の依存関係およびプラットフォーム要件が文書化されます。
Linux	Linux の適用機能では、実行中のカーネルに適合するカーネルドライバを使用します。カーネルのアップグレードには、互換性のあるドライバのサポートが必要です。ランタイムおよびフレームワークの依存関係を含む互換性の要件は文書化されています。

3.ソフトウェアおよびドライバの更新

3.1 ソフトウェアおよびドライバの更新に関する Arctic Wolf の SDP

Arctic Wolf は、広範な提供を開始する前に、ソフトウェアおよびドライバの更新に対して段階的なリリース制御を適用します。これらの更新には、エンドポイントエージェント、ドライバ、保護されたサービス、インストーラ、プラットフォームコンポーネントが含まれます。

Arctic Wolf リリースに関する統制には以下が含まれます。

エンジニアリングによる検証およびリリースの準備状況のレビュー
サポート対象のオペレーティングシステム全体の互換性の検証
文書化された最低バージョンの依存関係の確認：Aurora Protectおよび Aurora Focus
クラウドインフラ全体にわたる地域別のロールアウトの順序設定
展開の成功、エンドポイントの健全性、サポートケースとの相関関係に関するテレメトリ監視
品質、安定性、または互換性に関するシグナルから封じ込めが必要と判断される場合に、リリースを停止できる機能

3.2 地域別のロールアウトの順序

Arctic Wolf は、クラウドインフラ内で地域ベースの段階的ロールアウトモデルを使用します。更新は一度に 1 つの Amazon Web Services（AWS） Pod に展開され、前の地域での検証が完了した後にのみ、次の段階へ進みます。

アジア太平洋地域（APAC）南東部
ラテンアメリカ
欧州・中東・アフリカ（EMEA）
北米
米国政府
アジア太平洋地域（APAC）北東部（日本）

この順序により、影響範囲を限定して、より広範な展開を行う前に異常を早期に検出できます。

3.3 ソフトウェアおよびドライバ更新に関する顧客の SDP

展開ポリシー、スケジューリング、変更管理ワークフローを通じて、Aurora Endpoint Defense の更新を社内の安全な展開プラクティスに合わせることができます。

お客様が管理できる項目には以下が含まれます。

現在の展開モデルでサポートされている場合のバージョン選択
展開のタイミングとメンテナンスの時間帯
デバイスグループ、拠点、地域、または業務上の重要度に基づくロールアウトのスケジューリング
導入前の広範な変更管理の承認
ロールアウトを拡大する前の初期展開リングの監視

3.4 ソフトウェアおよびドライバの更新に関する封じ込めと復旧

ソフトウェアまたはドライバの更新で、予期しない品質、安定性、または互換性に関する兆候が見られた場合、Arctic Wolf は追加の展開を停止してリリースを封じ込め、エンジニアリング部門およびサポート部門が調査を行うことができます。


機能	Arctic Wolf 実装
停止	Arctic Wolf は、追加の導入を防止するため、影響を受けるバージョンをクラウド上で利用できない状態にする、または一時停止することができます。
アップデータの自己復旧	サポートされている場合、アップデータは失敗したアップグレードから復旧し、エンドポイントを安定した稼働状態に戻すことができます。
バージョンの復元	展開モデルで必要とされる場合、以前に検証済みのバージョンをアクティブなリリース経路として復元できます。
お客様による対応	Arctic Wolf のサポートと連携し、利用可能なコンソールコントロール、展開ポリシー、メンテナンスの時間帯を使用して、影響を受けるデバイスを管理できます。

4.セキュリティインテリジェンスおよび検知機能の更新

4.1 セキュリティインテリジェンスおよび検知機能の更新に関する Arctic Wolf の SDP

Arctic Wolf は、新たに出現する脅威に対してエンドポイントの保護体制を最新の状態に保つため、脅威のインテリジェンス、検知ロジック、振る舞いモデル、ポリシーコンテンツを提供します。これらの更新は、ソフトウェアおよびドライバの更新よりも高い頻度でリリースされる場合があり、運用上のリスクを低減するために個別に管理されます。

セキュリティインテリジェンスおよび検知機能の更新は、カーネルモードのコンポーネントに対する不要な変更を回避するように設計されています。この分離によって、頻繁な検知機能の更新がオペレーティングシステムの安定性に影響を及ぼすリスクを抑えます。

配信メカニズムには以下があります。

クラウドから配信される検知機能およびポリシーの更新
エージェントが取り込む脅威のインテリジェンスおよび検知コンテンツ
防止、検知、対応のワークフロー向けのモデルおよびロジックの更新
導入されている場合のオフラインまたはエアギャップ環境向けの Centroid ベースの検知コンテンツ配信

ロールアウトの前および実施中に、Arctic Wolf はテレメトリおよび運用上のシグナルを監視し、品質、パフォーマンス、または誤検知に関する異常を検出します。

4.2 セキュリティインテリジェンスおよび検知機能の更新に関する顧客向け SDP

ポリシー、グループ化、運用ガバナンスの制御を通じて、検知コンテンツの導入を管理できます。

顧客向けの制御には以下を含めることができます。

代表的なデバイスグループを通じたポリシー変更の段階的な適用
重要システムに対する異なる更新頻度の適用（サポートされる場合）
高リスク環境に対するメンテナンスの時間帯または展開リングの使用
ポリシー導入の対象を拡大する前に行うアラート、誤検知、エンドポイントの健全性の監視
調査、封じ込め、チューニングに関する Arctic Wolf サポートとの連携

4.3 セキュリティインテリジェンスおよび検知機能の更新に関する封じ込めと復旧

検知機能の更新によって予期しない動作が発生した場合、Arctic Wolf は、問題の種類に応じて、クラウド側での封じ込め、検知機能のチューニング、ポリシーの更新、またはコンテンツの撤回で対応することができます。


問題の種類	封じ込め対応
誤検知または検知機能のリグレッション	検知ロジックを調整する、影響を受けたシグナルを抑制する、または修正済みコンテンツを公開します。
パフォーマンス異常	ロールアウトを一時停止し、影響範囲を限定して、テレメトリを調査したうえで修正済みコンテンツを公開します。
オフラインコンテンツの問題	Centroid 経由で配信されるコンテンツパッケージを更新するか、サポート対象のオフライン配信経路を通じて代替コンテンツを提供するように調整します。
顧客独自の運用の影響	お客様と連携し、ポリシーをチューニングする、適用範囲を調整する、または検証後に段階的な再導入を行います。

5. 監視、テレメトリ、運用の監督

エンジニアリング部門とサポート部門が展開の進行状況および運用の健全性を共同で監視します。

主な監視項目は次のとおりです。

展開の成功率および完了率
エージェントのバージョン導入状況
エンドポイントの健全性と運用テレメトリ
パフォーマンス、信頼性、互換性に関するシグナル
検知品質および誤検知に関するシグナル
サポートケースとの相関関係

運用ダッシュボード、テレメトリクエリ、オンコールのエンジニアリングレビューで、リリースに関する判断を支援します。 Arctic Wolf は、ロールアウトを次の段階へ進める前、または封じ込めを開始する前に健全性を検証します。

6. 顧客に対する透明性と変更の予測可能性

Aurora Endpoint Defense は、リリース、ポリシー、展開の制御を可視化することで、お客様に対する透明性を支援します。

主な原則は次のとおりです。

リリースの提供状況およびバージョンの明確な可視性
文書化された展開の動作と互換性の要件
顧客のニーズに沿ったスケジュール設定とガバナンスの制御
監査可能な変更履歴
問題発生時のサポート支援による封じ込めと調査

これらのプラクティスは、エンタープライズの変更管理プロセスを支援し、予期しないエンドポイントへの影響を低減します。

7. Microsoft の SDP（安全な展開プラクティス）への準拠


Microsoft SDP の原則	Arctic Wolf 実装
更新タイプの分離	Arctic Wolf は、ソフトウェアおよびドライバの更新をセキュリティインテリジェンスおよび検知機能の更新から分離します。
段階的またはリングベースのロールアウト	Arctic Wolf は、検証ゲートを設けてクラウド Pod 全体で地域ごとに段階的なロールアウトを実施します。
露出の低減	一度に 1 つの Pod のみを展開することで、ロールアウトの初期段階における影響範囲を抑えます。
展開拡大前の監視	エンジニアリング部門およびサポート部門が、テレメトリ、ダッシュボード、運用の健全性、検知品質、サポートケースとの相関関係を確認します。
展開を停止する機能	Arctic Wolf は、追加の導入を防止するため、影響を受けたリリースの提供を一時停止または削除できます。
失敗した更新からの復旧	アップデーターは失敗したアップグレードから復旧し、ダウングレードを行うことなく安定した動作を復元できます。
顧客向け SDP のコントロール	ポリシー、スケジュール設定、メンテナンスの時間帯、デバイスのグループ化、変更管理ワークフローを使用して、お客様がロールアウトを管理できます。
予測可能性と監査能力	リリース、展開の統制、サポートプロセスは、企業の監査および変更管理に関する期待に沿ったものです。

参照：Microsoft Defender for Endpoint の安全な展開プラクティス関する戦略