EDRとは、パソコンやサーバーの動きを記録して監視し、侵入後の不審な動きを見つけて、調査と対応につなげる製品です。Endpoint Detection and Responseの略で、Microsoftは端末の活動を監視して疑わしい動作を検出し、調査と対応を助ける製品と説明しています。
今日やることは、製品を探す前に次の2つを紙に書くことです。1つ目は、会社のパソコンとサーバーの台数、OSの種類です。2つ目は、「夜中に端末を止めてよいか判断する人」の名前です。2つ目が書けない会社は、製品だけを買っても通知が読まれないまま終わるおそれがあります。
ウイルス対策ソフトとEDRは何が違う？
差は、守る時点にあります。ウイルス対策ソフトは入口で止める役、EDRは入られた後に見つける役です。
Microsoftの説明では、ウイルス対策は既知の脅威を特徴で見つけて止めることが中心で、未知の脅威は特定しにくいとされています。EDRは動きの文脈を見て、疑わしい活動を探します。
|
ウイルス対策ソフト |
EDR |
| 主な役目 |
既知の脅威を止める |
侵入後の動きを見つける |
| 見ているもの |
ファイルなどの特徴 |
実行、通信、設定変更の記録 |
| 動いた後 |
駆除や隔離 |
通知、調査、端末の切り離し |
| 人の出番 |
少ない |
通知を読んで判断する人が要る |
表の最後の行が、導入の可否を分けます。トレンドマイクロの解説も、EDRの強みとして発生後に攻撃の流れを追いやすいことを挙げ、その効果は適切に運用されてこそ得られるとしています。
「EDRがあれば防げる」とは言えません
EDRは見つけて対応につなげる製品で、侵入そのものをなくす製品ではありません。ウイルス対策の代わりに入れるものでもありません。更新の適用、IDの管理、バックアップは別に必要です。
なぜ侵入後を見る製品が必要なのか
警察庁の報告を読むと、入口だけ見ていては足りない理由が分かります。令和8年上半期の警察庁の報告では、ランサムウェアの被害報告は123件で、半期として統計開始以降の最多でした。規模別では中小企業が約6割、業種別では製造業が約3割を占めています。
同じ報告は、代表的な流れも示しています。侵入の後、攻撃者は権限の奪取やセキュリティの無効化を試みながら社内を探り、データを盗んでから暗号化し、痕跡を消します。入られてから暗号化までに段階があるので、そのあいだに気づければ被害を抑えられる余地があります。
被害の重さも同じ報告にあります。復旧に総額1,000万円以上かかった組織が全体の6割を占め、1か月未満で復旧できた組織は5割弱にとどまります。IPAの情報セキュリティ10大脅威 2026でも、組織向けの1位は「ランサム攻撃による被害」です。
米国のCISAのランサムウェア対策ガイドは、全資産での許可リスト方式やEDRの利用を対策として挙げています。公的機関の資料に載る程度には、一般的な選択肢になりました。
ただし、侵入経路はEDRの外にある場合が多い点に注意が要ります。同じ警察庁の報告では、被害組織へのアンケートで侵入経路の約5割がVPN機器です。EDRが見るのは端末なので、VPN機器の更新は別の作業として残ります。
導入すべき会社の条件は？
社員数だけでは決まりません。次の5つのうち、当てはまる数で考えます。
- 取引先の図面や仕様、個人情報など、外に出ると困るデータを社内に置いている
- サーバーや生産管理システムが止まると、数日で納期に響く
- 社外からVPNやリモートデスクトップで社内につないでいる
- 取引先からセキュリティ対策の説明を求められている
- 通知を受ける人を決められる、または外部に監視を任せる予算を取れる
最後の項目は必須です。上の4つに当てはまっても、最後が満たせないなら、製品より先に体制を決めます。
取引先の要求については、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）も見ておきます。IPAの案内では、★3・★4は2027年3月の受付開始に向けて準備が進められています。★4は初期侵入の防御だけでなく、被害拡大の防止なども水準に含みます。EDRという製品名で求めるものかどうかは、要求事項を読んで確かめてください。
監視する人がいない会社は、どう導入する？
選択肢は3つあります。分かれ目は「夜間と休日の通知を誰が受けるか」です。
社内の担当者が見る
担当者が日中に通知を確認する形です。費用は抑えられますが、夜間と休日は空きます。総務と兼任の担当者なら、1人に寄せず、不在時の代わりを決めておきます。
通知の見方を学ぶ時間も要ります。Microsoft Defender for Businessは最大300人の中小企業向けで、EDRと調査・修復の自動化を含み、専門知識が無くても使いやすくしたと説明されています。すでにMicrosoft 365 Business Premiumを契約している会社では、契約に含まれています。自動化があっても、最後に判断する人が要らなくなるわけではありません。
監視を専門の会社に任せる
EDRの監視と対応を外部に任せるサービスをMDRと呼びます。中身は会社ごとに差があります。確認項目はMDRの外注範囲の見極め方にまとめました。
公的な基準のあるパッケージを使う
中小企業に向けては、サイバーセキュリティお助け隊サービスがあります。IPAのサービス基準（2.1版）の1類は、次の内容を1つの契約にまとめるよう定めています。
- 相談窓口
- 24時間の異常監視（EDR等を使う端末監視、またはUTM等を使うネットワーク監視）
- 重大な事案の即時通知（60分以内が目標）
- 緊急時の駆け付け支援（少なくとも年1回は費用負担なし。諸経費を除く）
- 簡易サイバー保険
端末監視の場合の価格の上限は、1台あたり月額2,000円（税抜）です。1台から契約できることも基準に入っています。IPAの案内では、デジタル化・AI導入補助金による導入支援制度もあります。使える条件は公募の時期ごとに確かめてください。
製造業の場合、工場のパソコンはどうする？
事務所のパソコンと、工場のパソコンは分けて考えます。
たとえば、受注と図面を扱う事務所のパソコンが30台あり、工場に生産設備とつながった古いWindowsのパソコンが5台ある会社の場合です。事務所の30台は普通に導入の対象になります。工場の5台は、そのまま同じ扱いにはできません。
理由は2つあります。1つ目は対応OSです。Microsoft Defender for Endpointの要件を見ると、古いOSは接続の方法に条件があり、Windows CEのように対象外のものもあります。別の製品でも、対応OSの一覧を見る作業は同じです。2つ目は設備メーカーの保守です。ソフトを追加してよいか、保守の条件に触れないかを、入れる前に設備メーカーへ確認します。
入らない機器を無理に入れる必要はありません。工場のネットワークを事務所から分ける、外とのつなぎ方を絞るといった守り方に切り替えます。
製品を比べるときは何を見る？
機能の数より、次の点を先に確かめます。
- 自社の全OSに対応しているか（サーバーと工場のパソコンを含む）
- 通知が日本語で読めるか、誰に届くか
- 記録をどのくらいの期間残せるか
- 端末の切り離しを遠隔でできるか
- 監視を任せる場合、同じ製品に対応した外注先があるか
既存のウイルス対策ソフトと併用できるか、置き換えになるかも聞きます。この切り分けはEPPとEDRの違いと両方必要な会社の分かれ目で扱いました。端末以外のログまでつなぐ話はXDRが中小企業に要るかの判断基準にあります。
候補を絞るときはEDRの製品比較と、ウイルス対策まで含めて見るエンドポイントセキュリティの製品比較を使えます。監視を任せる前提ならMDRサービスの比較を並べて見てください。端末を守る製品全体の整理はエンドポイントセキュリティのカテゴリにまとめています。
なお、私たちはセキュリティ製品の開発会社ではなく、この記事は各社と公的機関の公開情報をもとに整理したものです。製品の機能と価格は変わるので、契約前に各社の最新の資料で確かめてください。
