EDRとは？必要性・仕組み・EPPやXDRとの違い・導入のポイント
| 執筆者： | ニュートン・コンサルティング 編集部 |
次々と新たなマルウェアが開発され、標的型攻撃などサイバー攻撃の巧妙化も後を絶ちません。従来の境界型防御では万全とは言えず、ゼロトラストを前提としたセキュリティが求められています。PCやスマートフォンなどの端末でも同様で、EDRはマルウェアへの感染や侵入、それにつながる不審な挙動を検知し、スムーズな対応により被害拡大を防ぐ点で有効な手段となります。
本記事ではEDRについて、概要、類似するプロダクトとの違い、メリットと注意点などをまとめています。
1. EDRとは
EDR（Endpoint Detection and Response）は、端末上の不審な挙動を検知し、対応を支援するセキュリティ製品の一つです。端末上のソフトウェアの挙動についてログを監視し、マルウェア感染などのインシデントを検知します。製品によっては、自動的に対処する機能を持つものもあります。
EDRの監視対象とする端末は、PC、サーバー、スマートフォン、タブレットなどの各種のコンピュータで、ソフトウェアの挙動を記録したログを監視します。ログはサーバーに集積されるため、組織全体の端末の情報を一元的に管理しやすくなります。
また、EDRは常時稼働しており、リアルタイムにインシデントを検知することができます。端末上で検知すると、サーバーへの連携および管理者への通知を行い、迅速な対応を実現します。また、ネットワーク切断、プロセス停止などの設定をしておくことで自動的な対処が可能な製品もあります。
EDRは、既知の脅威だけでなく、機械学習などを用いた未知のマルウェアも検知できる場合があります。従来型のマルウェアのパターン検知では防げない新たな脅威にも対応できる点が特徴です。
EDRが必要とされる理由
端末はコンピュータネットワークを構成する要素であり、攻撃の起点となりやすい外部との接点でもあります。ネットワーク全体のセキュリティ確保が必要なため、EDRなどによる端末でのセキュリティ対策が必須となります。また、EDRはエンドポイントを狙うサイバー攻撃への備えとしても有効な対策です。標的型攻撃メールを端緒とするマルウェア、ランサムウェアといった脅威に対して、被害拡大の防止に役立ちます。
クラウドやリモート接続によりネットワークの境界が曖昧になったため、あらゆる通信・アクセスを信用しないゼロトラストがセキュリティ対策の前提となっています。ソフトウェアの挙動を監視することでいつ侵入してくるかわからないマルウェアをいち早く検知し、被害拡大を防げることもEDRが求められる理由の一つです。
2. EDRとEPP・XDR・NDRとの違い
EDRと類似・近似するセキュリティソリューションとしてEPP、XDR、NDRなどが挙げられます。以下では、それぞれの概要とEDRの違いを説明します。
EPP（Endpoint Protection Platform）は、端末のマルウェア感染や不審な挙動を防ぐソフトウェア製品で、アンチウイルス機能などを含みます。また、次世代型アンチウイルスソフト（NGAV）と呼ばれる、EPPの機能を拡張した製品もあります。EPPやNGAVは、主に端末上でマルウェアの実行を“防ぐ”機能を持ちます。一方でEDRは、侵入後も含めて端末上の不審な挙動を監視し、検知・対応を支援する点がEPPとの大きな違いです。
XDR（Extended Detection and Response）は、端末、ネットワーク、クラウドなどのログを統合し、相関分析により脅威の検知と対処を行うセキュリティソリューションです。セキュリティインシデントを検知することができる点ではEDRと同様で、大きな違いはカバー範囲とそれに伴う複雑さとなります。
NDR（Network Detection and Response）はネットワーク上の通信における脅威の検知・対応を支援するソリューションです。EDRは端末上が監視対象である点が違いといえます。
組織のセキュリティは包括的な対策が必要となるため、EDRと組み合わせて多層的に守ることが重要です。なお、XDRにはEDR、NDRの機能を含む場合も多くあります。
3. EDRのメリットと注意点
EDRを導入することにより、組織内の端末から収集した脅威の検知情報を統合できるため、サイバー脅威の影響範囲が特定しやすい点が一つのメリットです。情報の集約、分析および可視化により、対応を適切かつ迅速に行うことができます。
また、製品によっては検知後の対処までを実施できるため、被害を最小限に抑えられます。EPPなどで防げなかった脅威に対して、検知や対応を補完できる点もメリットです。
EDRによりインシデント情報を一元的に管理することができる点もメリットの一つです。組織全体での状況把握、対処をスムーズにすることが可能となるだけでなく、テレワーク環境下の端末もセキュリティ監視対象にでき、組織全体の状況の可視化につながります。
これらのメリットは、組織においてセキュリティインシデント発生時の事業復旧を早め、事業継続を実現する点でも有用な手段となります。
導入・運用時に包括的なセキュリティ対策を実現するためには、EDRだけでなく他のソリューションとの組み合わせが必要です。端末にとどまらず、多層防御を検討し、その一環として考えましょう。また、EDRを効果的に運用するには、インシデント情報の分析や対処について一定のスキルが求められます。アラート分析や対処判断を行うための体制と人材の確保が必要なことにも留意しましょう。
EDRと他ソリューションとの組み合わせが必要な理由
EDRを他のソリューションと組み合わせて利用すべき理由には、下記が挙げられます。
一つは、EDRはあくまで端末上の挙動を監視するのみで、その領域外（ネットワーク機器やクラウド基盤など）の挙動は検知できないため、「侵入経路」や「横断的な攻撃シナリオ」が見えず攻撃の全体が把握できないことです。
また、EDRは初期侵入前、侵入未遂の段階での検知が弱く「なぜ侵入されたのか」が分からず再発防止策が曖昧になりやすい点も理由となります。
さらにEDRは挙動ベース検知のためアラートが頻発し、見逃しリスクが増大する点も、他の製品と組み合わせが求められる理由の一つといえます。
4. まとめ：エンドポイントへの攻撃を検知・対応するEDR
EDRはエンドポイント（端末）上の不審な挙動やサイバー脅威の兆候を検知し、対応を支援する仕組みです。ゼロトラストの考え方に基づいたセキュリティの構築において、エンドポイント防御を補強する重要な役割を果たします。
インシデントの自動通知や一元管理などにより、組織のセキュリティへの対応を早めることができるため、事業継続においても重要なソリューションです。
