セキュリティ
シミュレーションと現実の乖離を埋める：商用EDRを対象とした自律サイバー防御評価フレームワークの提案
2026/10/26
商用EDRと自律防御エージェントの間にある「現実の壁」
エンドポイント検出・応答（EDR）製品は近年、オペレーターが手動で設定するルールセットから、ベンダー独自の自律AIコンポーネントを含む複合システムへと急速に進化している。Gartner 2025年版エンドポイント保護プラットフォームのマジック・クアドラントで上位に位置するMicrosoft、CrowdStrike、SentinelOne、Palo Alto、Trend Micro、Sophosの6社は合計で企業市場の57.7%を占めると報告されている。
このような現代の商用EDRを「防御ツール」として使う自律防御エージェントは、もはや受動的なルールエンジンを調整しているわけではない。ベンダー固有の判断を行うブラックボックス型の自律システムと協調・競合しながら動作することになる。
Horizon3のKerri PrinosとLilianne Brushは、こうした現実を踏まえ、商用EDRを対象とした自律サイバー防御エージェントの評価フレームワークとして初となるものを論文で提案している。
評価フレームワークの設計
著者らが構築したフレームワークは、クローズドループ型の自動評価パイプラインである。大きく4フェーズ（Preflight・Setup・Loop・Teardown）で構成される実験コントローラーが中心に置かれ、モデル非依存の「プロポーザー」層が評価対象の防御エージェントをラップする設計になっている。
実環境として採用したのは Game of Active Directory（GOAD）ラボ だ。Azureクラウド上に展開された8ホスト構成（Windowsが7台、Linuxが1台）で、2つのActive Directoryフォレスト（sevenkingdoms.localとessos.local）が外部トラストで接続されている。Microsoft SQL Server、IIS、Exchange、ADCS（Active Directory証明書サービス）、SMBなど、現実の企業環境を模したサービスが各ドメインに配置されており、クロスドメインの資格情報窃取やトラスト横断攻撃を自律攻撃者に実行させられる構成になっている。
自律攻撃者にはHorizon3自社製の商用ペネトレーションテストプラットフォーム NodeZero を採用。防御側のEDRにはまず Microsoft Defender XDR を用い、同フレームワークを CrowdStrike Falcon および SentinelOne Singularity にも展開することで、知見の汎用性を検証した。
防御エージェントのLLMバックボーンとして Claude Sonnet 4.6 と Cisco Foundation-Sec-8B の2種類を用いたサンプルベンチマークが実施された。
実環境評価から得られた3つの教訓
著者らはシミュレーションやOSS製EDRを用いた評価では表面化しない、以下の3つの知見を報告している。
1. 商用EDRのテレメトリはSOCアナリスト向けに設計されている
Microsoft Defender XDRなどの商用EDRが出力するテレメトリは、セキュリティオペレーションセンター（SOC）のアナリストがインシデントを調査・対応するためのワークフローを前提に設計されている。そのため、個別ポリシーの有効性を機械的に測定する用途には適していない と著者らは指摘する。自律防御エージェントがEDRテレメトリをフィードバック信号として活用しようとすると、このミスマッチが評価精度を著しく低下させる。
2. ポリシーごとの帰属分析が不可欠
商用EDRには、オペレーターが設定するルールベースのポリシーとは別に、ベンダーが管理する自律コンポーネントが存在する。Microsoft Defender XDRの場合、Automated Investigation and Response（AIR）やAutomatic Attack Disruptionがその代表例だ。後者はユーザーアカウントの封じ込めやホストの隔離を自律的に行うが、なぜ特定のユーザーやホストが封じ込められたのかをオペレーターは知ることができない と報告されている。
防御エージェントの行動とEDR自身の自律行動を分離するためのポリシー単位の帰属分析（per-policy attribution）がなければ、エージェントの評価は意味をなさないと著者らは主張する。
3. EDRの動作はラン間で変動する
実験を繰り返すと、EDRの検出・封じ込め行動はラン間で一貫していないことが確認されたという。特にContainedUserイベントに代表される封じ込め動作が蓄積・変動することで、同一構成でも攻撃結果が異なる。これはシミュレーション環境や再現性を前提とするオープンソースEDRでは見えてこない現象であると著者らは述べている。
なぜ今これが重要か
先行研究との対比も重要だ。DreadnodeのオープンソースフレームワークやMayoral-Vilchesらのダイナミックサイバーレンジは、いずれもWazuhやVelociraptorといったオープンソースEDRを使用している。これらはルールベースかつオペレーター駆動であり、商用製品が持つ自律応答層を持たない。したがって、既存のサイバージムは企業が実際に導入している商用EDRの複雑な挙動を評価する手段を提供できていないと指摘されている。
論文ではMicrosoft Defender for Endpoint（MDE）の設定空間の広大さも強調されている。ベースラインポリシー設定だけで100以上あり、各設定が2択だとしても2の100乗、すなわち約1.26×10の30乗という組み合わせが存在する。さらにMicrosoftは新ポリシーを監査モードで30日間運用してからブロックモードへ移行することを推奨しており、企業が安全に導入できるポリシー更新の頻度には現実的な上限があることも示されている。
まとめ
本論文は、自律サイバー防御エージェントの評価が商用EDRの現実に追いついていないという「シミュレーションと現実の乖離（sim-to-real gap）」を実験的に示し、その橋渡しとなる評価手法を初めて体系化した点で意義深い。商用EDRがエンタープライズセキュリティの中核を担う現在、自律防御エージェントの開発・評価においてこの枠組みが参照基準となる可能性がある。