EDRとは？ウイルス対策ソフトとの違いと中小企業での導入の考え方
EDRとは
EDR（Endpoint Detection and Response）は、PC・サーバーなどのエンドポイント（端末）における不審な動きを検知し、対応するセキュリティ製品です。
従来のウイルス対策ソフト（EPP）は「既知のマルウェアのパターンに一致するファイルをブロックする」仕組みでした。EDRは「端末上の挙動を常時監視し、不審な動きをリアルタイムに検知・対応する」仕組みです。
ウイルス対策ソフト（EPP）との違い
EPPは「既知の脅威」をブロックするのに対し、EDRは「未知の脅威」や「ファイルレス攻撃」（マルウェアファイルを使わない攻撃）も検知できます。
例えば、正規のPowerShellを悪用してデータを外部に送信する攻撃は、EPPでは検知できません。EDRは「PowerShellが通常と異なるパターンで大量のデータを外部送信している」という挙動を検知し、アラートを発します。
EPP・EDR・XDR・MDRの整理
用語が混同されやすいため、先に整理します。EDRとMDRは対立する選択肢ではありません。
| 略語 | 何をするか | 誰が運用するか |
|---|---|---|
| EPP | 既知のマルウェアをブロックする | 自社（ほぼ自動） |
| EDR | 端末の挙動を記録・検知し、隔離などの対応を可能にする | 自社（アラートを見る人が要る） |
| XDR | EDRの範囲をメール・ID・クラウドまで広げる | 自社 |
| MDR | EDR/XDRの監視と初動対応を代行するサービス | 外部の事業者 |
EDRは「製品」、MDRは「運用サービス」です。 EDRを導入したうえで、その監視を自社でやるか外部に任せるかがMDRの選択になります。
EPPを置き換えるものでもありません。 既知の脅威はEPPが自動でブロックし、そこをすり抜けた挙動をEDRが捉える、という重ね方をします。
中小企業にEDRが必要な理由
ランサムウェア攻撃の手法が高度化し、EPPだけでは防御が困難になっています。攻撃者は正規のツール（PowerShell、WMI等）を悪用し、EPPの検知を回避します。EDRがなければ、侵入されていることに気づかないまま被害が拡大します。
主要なEDR製品
Microsoft Defender for Business はM365 Business Premiumに含まれているため、追加費用なしで利用できます。中小企業には最もコストパフォーマンスの高い選択肢です。CrowdStrike Falcon Go は高い検知精度で知られ、中小企業向けプランも提供しています。SentinelOne Singularity はAIベースの自動対応機能が強みです。
Microsoft Defender for Business を使う場合の前提
- ライセンスに含まれていても、自動では有効になりません。 各端末を管理画面に登録する（オンボーディングする）作業が必要です。「ライセンスがあるから守られている」という誤解が最も多く見られます
- サーバーを対象にするには別のライセンスが必要です。PCだけ保護してサーバーが対象外、という状態になりがちです
- 管理画面で**「オンボード済み端末数」と実際の台数が一致しているか**を必ず確認してください
EDRで実際にできること
検知だけの製品ではありません。インシデント発生時に効くのは、次の2つです。
1. 端末をネットワークから隔離する（遠隔で）
管理画面から対象端末を隔離できます。現地に行ってLANケーブルを抜く必要がありません。 拠点が複数ある企業や、テレワーク中の端末では、この差が封じ込めの速さを決めます。隔離中も管理画面からの調査は継続できるため、証拠を残したまま拡大を止められます。
2. 何が起きたかを後から追える
「いつ、どのプロセスが、どのファイルに触れ、どこと通信したか」が記録されています。インシデント対応で最も時間がかかる侵入経路の特定が、ログのない環境と比べて大幅に短縮されます。
この記録には保持期間があります。 製品やライセンスによって異なるため、自社の保持期間を確認してください。侵入から発覚まで数ヶ月かかることがあるため、保持期間が短いと、肝心の時期の記録が残っていない事態が起こります。
導入を判断する順序
EDRは有効ですが、先にやるべきことが残っている状態で導入しても効果は限定的です。次の順で確認してください。
- 多要素認証は全員に有効になっているか — 侵害の入口として最も多いのはアカウントです。追加費用なしで対処できます
- VPN機器などの更新プログラムは適用されているか — ランサムウェアの最大の侵入経路です
- バックアップから実際に戻せるか — 被害を受けた後の復旧手段
- その上でEDR — 侵入されることを前提とした検知と対応
すでにM365 Business Premium を契約しているなら、順序に関係なく有効化してください。 追加費用がかからないため、判断の必要がありません。
EDR導入時の注意点
EDRは導入するだけでは不十分です。アラートが発生した際に適切に対応する運用体制が必要です。自社でセキュリティアナリストを置けない場合は、MDR（Managed Detection and Response）サービスとセットで導入するか、情シスアウトソーシングに運用を委託してください。
「誰が、いつ見るか」を決めないと機能しない
EDRの価値は検知にありますが、検知したアラートに人が反応して初めて意味を持ちます。 導入後によくある状態が次です。
- アラートの通知先が、誰も開いていない管理者用アドレスになっている
- アラートは届いているが、内容の判断ができず放置されている
- 誤検知が多く、通知を見なくなった
対策として、導入時に次を決めてください。
- 通知先を、実際に見る担当者の個人アドレスにする（複数名）
- 深夜・休日に検知した場合の扱いを決める（翌営業日で良いのか、即時対応が要るのか）
- 重大なアラートが出たときの初動を手順化する（端末の隔離、上長への連絡）
- 除外設定の申請ルートを決める（業務ツールが誤検知される場合に、その場の判断で除外しない）
24時間365日の監視を自社で行うのは、中小企業では現実的ではありません。 夜間・休日をカバーする必要があるなら、MDRか外部委託を前提に予算を組んでください。
導入時に起きやすい実務上の問題
- 既存のウイルス対策ソフトとの競合 — 2製品を同時に常駐させると、動作が不安定になったり、性能が落ちたりします。切り替えの順序を決めて実施してください
- 業務システムの誤検知 — 独自に作られた業務ツールや、古い基幹システムのプログラムが検知されることがあります。先行導入する端末を数台決めて、1〜2週間様子を見ると本番展開が安全です
- 端末の動作が重くなる懸念 — 事前に、実際に使っている端末で確認してください。特に古い端末やメモリの少ない端末で影響が出ます
まとめ
- EDRはEPPの上位版ではなく、重ねて使うもの。既知はEPP、すり抜けた挙動をEDRが捉える
- EDRは製品、MDRは運用サービス。対立する選択肢ではない
- Defender for Business はライセンスがあっても自動では有効にならない。端末の登録作業が要る
- サーバーは別ライセンス。PCだけ保護されている状態になりやすい
- 管理画面でオンボード済み台数と実台数の一致を確認する
- 検知しても人が反応しなければ意味がない。通知先を実際に見る担当者にする
- 夜間・休日の扱い、重大アラート時の初動、除外設定の申請ルートを導入時に決める
- 24時間監視を自社で行うのは非現実的。必要ならMDRか外部委託を前提に予算化する
- 導入時は既存EPPとの競合・業務システムの誤検知・端末の負荷を数台で先行確認する
- 実務で効くのは遠隔での端末隔離と侵入経路を追える記録。現地に行かずに封じ込められる
- 記録の保持期間を確認する。発覚まで数ヶ月かかると、肝心の時期の記録が残っていない
- 導入順序はMFA → 公開機器の更新 → バックアップ → EDR。ただし Business Premium なら即有効化する
導入後の運用体制についてはインシデント対応の実務手順、検知した後の組織的な動き方はインシデント対応体制と報告義務を参照してください。
情シス365では、EDRの導入から運用監視まで月額料金内でサポートしています。