EDRとは？アンチウイルスとの違い・XDRとの関係・中小企業の選び方

EDR（Endpoint Detection and Response）とは、PCやサーバーに常駐させたエージェントがプロセスの起動・ファイル操作・レジストリ変更・ネットワーク接続といった挙動を記録し続け、不審な振る舞いの連鎖を検知して、遠隔から端末の隔離やプロセスの停止といった対応を行える仕組みです。既知のマルウェアを実行前に止めるアンチウイルス（EPP）とは、見ているものも、動く時間軸も、必要な運用も異なります。

ランサムウェアの侵入から暗号化までの間に攻撃者がやることの大半は、マルウェアではなくWindows標準のコマンドや正規の管理ツールで行われます。ファイルの良し悪しを見るだけの対策がそこで無力になる一方、EDRは「Wordがなぜか PowerShell を起動し、それが外部と通信した」という連鎖を見ます。ここではその仕組みと限界、XDR・MDR・NDRという周辺用語の関係、そして中小企業が製品と運用体制を選ぶときの判断軸を整理します。

EDRの定義と仕組み：検知・調査・対応

EDRのエージェントは、OSのカーネルに近い層（WindowsならETWやミニフィルタドライバ、macOSならEndpoint Securityフレームワーク、LinuxならauditやeBPF）から、端末上で起きた出来事をテレメトリとして集めます。記録されるのは「どのプロセスが、どの親プロセスから、どんなコマンドラインで起動し、どのファイルに触れ、どこへ通信したか」です。これがクラウド側に送られ、数日から数十日分が保持されます。

検知は、単一のファイルではなく振る舞いの連鎖に対して行われます。たとえば「winword.exe の子として powershell.exe が -EncodedCommand 付きで起動し、続けて lsass.exe のメモリを読み、初めて見る外部IPへ接続した」という並びは、個々の要素はすべて正規の機能でも、組み合わせは攻撃の定石（MITRE ATT&CKで言えば T1059 のコマンド実行、T1003 の資格情報ダンプ）です。製品はこの種の連鎖をルールと機械学習で評価し、深刻度付きのアラートにします。

調査では、アラートの前後に何が起きたかをプロセスツリーとタイムラインで遡れます。「最初のメールの添付ファイルは何か」「他の端末でも同じハッシュが動いたか」を、端末に触らずに管理画面から追えるのがEPPとの決定的な違いです。対応は、ネットワーク隔離（EDRのクラウドとの通信だけを残して他を遮断）、プロセスの強制終了、ファイルの隔離、遠隔シェルでの証拠採取などで、管理者が自宅からでも数分で実行できます。

EPP（アンチウイルス）との違い

執筆時点の主要製品はEPPとEDRを1つのエージェントで提供しており、「EDRを入れるとアンチウイルスが不要になる」のではなく「アンチウイルスにEDRの機能が乗る」形が普通です。したがって比較すべきは「AVかEDRか」ではなく、「防止しかできない製品のままでよいか」です。侵入後の活動が正規ツールで行われる以上、防止だけの製品は「マルウェアは止めたが、攻撃者は止まっていない」状態を作ります。

XDR・MDR・NDRとの関係

略語は「どこまでのデータを相関させるか」と「誰が見るか」の2軸で整理できます。EDRは端点のデータを自社で見る、XDRはID・メール・クラウドまで広げて自社で見る、MDRは見る人をサービスとして買う、という関係です。

導入効果と限界

効果として最も大きいのは「何が起きたかが分かる」ことです。EDRのない環境で不審な挙動が見つかると、選択肢は「再インストールして祈る」しかなく、侵入経路も被害範囲も分からないまま再発します。EDRがあれば、最初の端末・最初のファイル・横展開の範囲を特定でき、隔離を数分で行えるので、暗号化の前に止められる可能性が生まれます。個人情報保護委員会への報告や取引先への説明で「影響範囲」を根拠つきで示せることも、実務上の価値です。

限界は3つあります。第一に、エージェントを入れていない機器は見えません。ランサムウェアの侵入口として多いVPN機器やファイアウォール、私物端末、複合機、古いサーバーはEDRの外側です。第二に、EDRは「見つける」道具であって「直す」道具ではありません。パッチが当たっていない脆弱性は残り続け、そこから何度でも入られます。第三に、アラートは人が見なければ意味がありません。深夜に「重大」のアラートが出ても、翌朝まで誰も見なければ、暗号化は夜のうちに終わります。

攻撃者はEDRの存在を前提に動きます。侵入後にまずやるのがEDRの停止で、ローカル管理者権限でのアンインストール、脆弱な正規ドライバを持ち込んでカーネルからエージェントを止める手口（BYOVD）、いわゆる「EDRキラー」ツールが使われます。導入時に必ず「改ざん防止（Tamper Protection）」を有効にし、一般ユーザーからローカル管理者権限を外し、エージェントが数時間以上通信していない端末を一覧で検知できるようにしてください。「エージェントが静かになった」ことが、最初の兆候であることは珍しくありません。

もう1つ知っておくべきなのは、カーネルに近い層で動くエージェント自体が障害の原因になり得ることです。過去には、エンドポイント製品の更新の不具合が世界規模で端末の起動不能を引き起こした事例があります。更新を段階的に配る「リング」設定を持つ製品を選び、少数の端末で先行させる運用は、セキュリティ製品にも必要です。

選定基準：OS対応・運用体制・価格モデル・MDRの有無

中小企業での推奨は「EDRとMDRをセットで契約する」です。理由は単純で、アラートを24時間見る体制を自社で作るには最低でも交代要員を含めた複数名の専任が必要で、その人件費はMDRの費用を大きく上回るからです。例外は、既にセキュリティ担当が複数名いて、SIEMなどの基盤も運用している組織で、その場合は自社運用でテレメトリを深く使う方が価値が出ます。

運用体制：誰がアラートを見るか

EDR導入の成否は製品より「アラートが出た30分後に誰が何をするか」で決まります。体制は3つの型に分かれ、どれを選ぶにしても「重大アラートは確認前に隔離してよい」という権限を文書で決めておく必要があります。隔離の副作用は「その端末が一時的に使えない」だけで、暗号化の被害とは比較になりません。

自社運用でもMDRでも、月に1回は「中」以下のアラートを棚卸しし、正規の業務ツール（バックアップエージェント、開発ツール、資産管理ツール）が繰り返し検知されているなら除外設定に期限付きで登録します。除外は攻撃者にとっての盲点になるので、パス全体ではなく実行ファイルのハッシュや署名者で絞り、四半期ごとに見直します。検知が本当に機能しているかは、EICARテストファイル（AVの動作確認用）ではなく、正規ツールの悪用を模した攻撃シミュレーション（オープンソースのAtomic Red Teamのようなツール）で確認します。

導入の流れ：PoCから全社展開まで

1. 資産台帳との突き合わせ（1週間）：守る対象を数える。OSごとの台数、サーバー、常時オフラインの端末、管理外の私物端末を把握し、「入れられない機器」の一覧を先に作る。
2. PoC（2〜4週間）：2社程度に絞り、種類の異なる端末20台（一般PC、開発PC、サーバー、経理PC）に入れる。検知モードのみで運用し、アラートの量、誤検知、性能への影響、改ざん防止の実効性を記録する。攻撃シミュレーションで「見えるはずのもの」が見えるかを試す。
3. 体制と手順の確定：MDRを使うか、隔離の事前承認範囲、連絡経路、除外設定の申請手順を文書化する。ここが決まっていないと全社展開後にアラートが放置される。
4. 段階展開（4〜8週間）：MDMから配布し、既存AVを同時に外す。2つのエンジンが同居すると性能低下と誤検知の原因になる。部門ごとに週単位で広げ、展開率を台帳と照合する。
5. 保護モードへの切り替えと改ざん防止の有効化：検知のみから遮断ありに切り替え、Tamper Protectionを全端末で有効にする。ローカル管理者権限の剥奪もこのタイミングで行う。
6. 机上訓練（展開完了後1か月以内）：「金曜21時に経理PCで重大アラート」のシナリオで、誰が隔離し、誰に連絡し、翌朝までに何を判断するかを実際に通す。

展開率は「入れた台数」ではなく「台帳の台数に対する割合」で追ってください。台帳がなければ、EDRの管理画面に出てこない端末の存在に気づけません。IT資産管理の台帳とEDRの端末一覧を月次で突き合わせ、差分を追う運用が、EDRを「入れたつもり」で終わらせないための唯一の方法です。

EDRはゼロトラストの90日プランではDay 31〜60の「端末の状態を測れるようにする」段階に位置し、ランサムウェア対策では「横展開を止める」層を担います。どちらの文脈でも、EDR単体ではなく、MFA・パッチ適用・バックアップと組み合わせて初めて機能します。

よくある質問

EDRとアンチウイルスは両方必要？

役割としては両方必要で、執筆時点の主要製品は1つのエージェントで両方を提供しています。別々の製品を2つ入れる必要はなく、むしろ2つのエンジンの同居は性能低下と誤検知の原因になります。既存のアンチウイルスを残したままEDRだけ追加するのではなく、EPP機能を含むEDR製品に置き換える形が一般的です。

EDRとXDRの違いは？

相関させるデータの範囲が違います。EDRは端末の挙動だけを見ますが、XDRはサインインログ、メール、クラウドサービスの操作ログまで結びつけ、「怪しいサインインの直後にその端末でPowerShellが動いた」といった端末をまたぐ連鎖を1つのアラートにします。Microsoft 365やGoogle Workspaceと同じベンダーの製品なら、追加費用なしでXDR相当の相関が得られる場合があります。

中小企業にEDRは必要ですか？

ランサムウェアの標的は規模で選ばれておらず、防止だけの製品では侵入後の活動が見えないため、必要です。ただし「アラートを見る人」がいなければ効果は出ないので、専任のいない組織はMDRとセットで契約し、隔離の権限を事前に委任してください。費用は端末数・サーバー数・MDRの有無で決まるため、各社の見積もりで3年分の総額を比較します。

まとめ

EDRは端末の挙動を記録し、正規ツールの悪用を含む攻撃の連鎖を検知して、遠隔で隔離まで行える仕組みです。ファイルの良し悪ししか見ないアンチウイルスがすり抜けられる場面を埋めますが、エージェントのない機器は見えず、パッチの代わりにもならず、アラートを見る人がいなければ機能しません。選定では検知の質・改ざん防止・保持期間・MDRの有無を軸にし、体制では「重大アラートは確認前に隔離してよい」を先に決める。展開率は資産台帳と突き合わせ、既存AVは同時に外し、机上訓練で手順を通す。ここまでやって初めて、EDRは「入れた」から「守っている」に変わります。

次に読む

• ランサムウェア対策の実践：バックアップ・権限・初動対応を中小企業向けに整理
• Intuneで始めるWindows端末管理：登録・コンプライアンス・アプリ配布の手順
• ゼロトラストとは？情シスが最初の90日で取り組む実践ステップ