EDRとは?アンチウイルスとの違いと、入られた後に見つける仕組み

結論: EDR(イーディーアール)は、パソコンやサーバーの動きを記録し、不審な動きを検知して、隔離や調査につなげる仕組みです。**アンチウイルスが「入口で防ぐ」**のに対し、**EDRは「入られた後を見つけて止める」**役割です。ただし、入れただけでは守れず、アラートを見て判断する運用が必要です。

EDRとは

EDRは、Endpoint Detection and Response(エンドポイント・ディテクション・アンド・レスポンス)の略です。直訳すると、**「端末での検知と対応」**です。

エンドポイントとは、ネットワークにつながる端末のことです。パソコンやサーバーなどが含まれます。攻撃は、多くの場合、端末から始まり、そこから社内のほかの場所へ広がります。

アンチウイルスとの違い

攻撃の手口は、毎日のように変わります。すべてを入口で止めるのは難しいため、「入られた後に、早く気づいて止める」という考え方が必要になります。ウイルスの種類は、マルウェアとウイルスの違いで解説しています。

EDRの4つの働き

① 記録

端末で起きた動きを、継続的に記録します。

• どのプログラム(プロセス)が動いたか
• どのファイルが作られた・変更された・消された
• どこと通信したか
• 誰が、いつ、ログインしたか

② 検知

記録した動きの中から、不審なものを見つけます。たとえば、次のようなものです。

• 普段使わない場所から、管理者の権限が使われた
• 文書ソフトから、突然、別のプログラムが起動した
• 短時間に、大量のファイルが書き換えられた

不審な動きがあると、アラートで知らせます。

③ 対応

被害が広がる前に、止めます。

• その端末を、ネットワークから隔離する
• 不審なプログラム(プロセス)を停止する
• 必要に応じて、ファイルを隔離する

④ 調査

いつ、何が、どこまで起きたかを、記録をさかのぼって調べます。原因を特定し、同じ被害を防ぐために役立ちます。記録がないと、「何をされたか分からない」状態になり、被害の範囲を確定できません。

入れただけでは、守れない

EDRで大切なのは、運用です。

判断や対応ができる人がいない場合は、MDR(Managed Detection and Response)という、運用を任せるサービスもあります。

関連する言葉

導入前に確認したいこと

• 対象の端末:パソコン、サーバー、スマートフォンのうち、どこまで守るか。OSに対応しているか
• 運用体制:アラートを、誰が、どの時間帯に見るか。自社で難しければ、MDRを検討する
• 費用:多くは、端末の台数に応じた月額。運用の人件費も含めて考える
• ほかの対策との組み合わせ:アンチウイルス、メールの対策、認証(SSOとは)などと、どう組み合わせるか
• 記録の保管期間:調査に必要な期間、さかのぼれるか

個人の場合は

個人のパソコンでは、EDRは、通常、必要ありません。次の基本を守ることが、現実的な対策です。

• OSとアプリの更新を、すぐに適用する
• 二段階認証を設定する(二段階認証とパスキー)
• 出どころの分からないファイルやリンクを開かない
• 重要なデータは、バックアップを取る

ランサムウェアの被害は、ランサムウェアとはをご覧ください。

まとめ

• EDRは、端末の動きを記録・検知・対応・調査する仕組み
• アンチウイルスは入口で防ぎ、EDRは入られた後を見つけて止める。役割が違い、組み合わせて使う
• 入れただけでは守れない。アラートを判断する運用が必要で、難しければMDRもある
• XDRは、端末以外(メール・ネットワーク・クラウド)にも範囲を広げたもの

関連記事:マルウェアとウイルスの違い、ランサムウェアとは、WAFとは、SSOとは、ゼロトラストとは

あわせて読みたい:IDS・IPSとは