XDRとは、端末に加えてメール、ID、クラウド、ネットワークなどの情報をつなぎ、脅威の検知と対応を1か所で行う仕組みです。Extended Detection and Responseの略で、Microsoftもトレンドマイクロも、複数の領域のデータを集めて関連付ける点を中心に説明しています。
今日やることは、自社に「いま、通知を出している製品」を書き出すことです。ウイルス対策ソフト、メールの保護、UTM、Microsoft 365やGoogle Workspaceの管理画面などです。通知の出どころが2つ以下、または通知を誰も見ていないなら、この記事の結論は「XDRはまだ早い」になります。
EDRだけでは足りないのはどんな場面？
EDRは端末を見るのが仕事です。Microsoftの説明でも、EDRの欠点としてネットワーク、クラウドの作業環境、IDの全体までは見えないことが挙げられています。困るのは、攻撃の主な動きが端末の外にある場面です。EDRそのものの位置づけはEDRの役割の解説を見てください。
足りなくなる場面は、次の4つです。
IDとパスワードで入られたとき
正しいIDで社内やクラウドに入られると、端末側に怪しいファイルが残らない場合があります。ログイン履歴の異常を見るには、IDの情報が要ります。
メールから始まったとき
Microsoftは、フィッシングメール、侵害されたアカウント、端末の異常な動きが同じ攻撃の一部として結び付く例を挙げています。別々の画面で見ていると、3件の小さな通知に見えます。
クラウドのデータが狙われたとき
端末を経由せずに、クラウド上のファイルが持ち出されるとEDRの視野の外です。図面や見積もりをクラウドで共有している会社では、ここが効いてきます。
入口がネットワーク機器のとき
令和8年上半期の警察庁の報告では、ランサムウェア被害組織へのアンケートで侵入経路の約5割がVPN機器でした。同じ報告は、攻撃者がログや使ったツールの痕跡を消すことにも触れています。端末の記録だけでは入口の様子が分からないことがあり、機器のログを別の場所に残す意味はそこにあります。
XDRの利点は何か、何ではないのか
一番の利点は、通知の数が減ることよりも、関連する通知が1つの出来事にまとまることです。兼任の担当者にとっては、どれから見るかを迷わずに済む点が大きいはずです。
Microsoftの説明では、関連する通知を結び付けてノイズを減らし、端末の切り離しや侵害されたアカウントの無効化までを自動の流れで補うとされています。トレンドマイクロの説明でも、メール、端末、サーバー、クラウド、ネットワークのデータを相関分析する点が中心です。
ここで2つ、差し引いて読みます。
1つ目は、これらはメーカー自身の説明だという点です。Microsoftは中小企業での導入が広がっていると書いていますが、数字は示されていません。効果の大きさは、自社の環境でないと分かりません。
2つ目は、XDRという言葉の定義がそろっていない点です。トレンドマイクロは、この言葉が2018年に初めて登場し、定義も変化してきたと説明しています。同じXDRでも、自社の製品群だけをつなぐものと、他社の製品のログまで受けるものがあります。Microsoft Defender XDRは端末、ID、メール、アプリケーションを対象としています。製品の比較では、名前より「どのログをつなげるか」を見ます。
XDRを入れても、見る人の問題は残ります
画面が1つになっても、判断する人は要ります。監視する人がいない会社では、XDRの前にMDRで任せられる範囲を確かめるほうが先です。
SIEMとは何が違う？
SIEMは組織全体のログを集めて分析する仕組みです。Microsoftの説明では、ログ管理、相関、継続的な監視に加え、監査や規制対応の報告にも使うものとされています。
|
EDR |
XDR |
SIEM |
| 見る範囲 |
端末 |
端末＋メール、IDなど |
組織全体のログ |
| 主な目的 |
端末の検知と対応 |
領域をまたぐ検知と対応 |
ログの集約と分析、監査 |
| 運用の重さ |
中 |
中〜大 |
大 |
運用の重さの欄は、私たちが整理のために置いた目安で、統計ではありません。ログを残すことだけが目的なら、SIEMの前にログ管理の製品比較で足りるかを見ます。
中小企業でまだ不要な条件は？
次のどれかに当てはまるなら、XDRは後回しでかまいません。
- 通知を見る担当者が決まっていない
- パソコンとサーバーの一覧が無い
- メールとクラウドのログインに多要素認証を入れていない
- VPN機器やサーバーの更新の担当が決まっていない
- バックアップから戻す試験をしたことがない
- EDRを入れていない、または入れたばかりで通知の見方に慣れていない
この段階で必要なのは、中小企業の情報セキュリティ対策ガイドライン（第4.0版）に沿って基本を固めることです。付録の自社診断とインシデント対応の手引きから入れば、優先順位が見えてきます。
検討する意味がある条件は？
次の条件が3つ以上そろってきたら、比較を始める時期です。
- メール、ID、ファイルをクラウドに置き、端末の外での業務が多い
- EDRを入れ、通知を見る担当か外注先が決まっている
- 通知の出どころが増え、別々の画面を見て回るのが負担になっている
- 同じメーカーの製品ですでに多くをそろえている
- 取引先から、ログの保管や事故時の報告を強く求められている
4つ目は費用に直結します。たとえばMicrosoft 365 Business Premiumには、Defender for Businessに加えてDefender for Office 365 Plan 1が含まれます。端末とメールの守りが同じ会社の製品でそろう形です。そういう契約なら、新しく買う前に、いまの契約で何が見えているかを確かめるのが先です。
製造業の場合はどう考える？
たとえば、複数の工場と営業所があり、図面をクラウドで取引先と共有している機械部品メーカーの場合です。事務所ではメールとクラウドの利用が多く、IDを起点にした不審な動きを端末と合わせて見る価値があります。XDRの検討に向く部分です。
工場の設備のネットワークは別の話です。一般のXDRが対象にする端末、メール、IDとは性質が違い、対応OSの制約もあります。工場の機器の見張りは別の話として分け、XDRで全部をまとめようとしないほうが整理しやすくなります。
比べるときに聞くこと
- 今ある製品のログを、そのまま受けられるか
- 他社のファイアウォールやVPN機器のログに対応しているか。追加の費用はあるか
- ログの保存期間はどのくらいか
- 自動で切り離す範囲を、会社で決められるか
- 監視まで頼める外注先があるか
他社製品まで見る外注には、規模の条件が付く場合があります。Microsoft Defender Experts MDRのPlan 2は他社のログも対象にしますが、Microsoft Sentinelと最低1,500席が必要です。
入口の製品から考え直したいときはEPPとEDRの違いと分かれ目に戻ると整理できます。比較の材料にはXDRの製品比較とEDRの製品比較を、ログの集約まで考えるならSIEMの製品比較を使えます。端末を守る製品の全体像はエンドポイントセキュリティのカテゴリにまとめています。
ここで触れた各社の機能は公開資料に書かれた内容で、私たちが製品を試したものではありません。契約前に最新の資料で確かめてください。
