EDR製品は、検知率の数字ではなく「誰が通知を見て、誰が端末を止めるのか」という運用の7項目で比べると判断できます。同じ製品でも、見る人がいる会社といない会社では役に立ち方が変わるからです。
今日やることは1つです。「土曜の夜2時に通知が出たら、誰が見て、誰に連絡するか」を紙に書いてください。名前が書けなければ、比べる対象はEDR製品単体ではなく、監視を任せるMDRサービスの比較まで広がります。
この記事は公開情報を整理したものです。私たちが各製品を導入や検証したわけではありません。エンドポイント対策の全体像から読むと、ほかの製品との位置関係も分かります。
なぜ検知率だけで選ぶと困るのか？
EDRの役割は、見つけることで終わりません。MicrosoftのEDRの解説でも、検出のあとに調査と対応が続く仕組みとして説明されています。検知の後の工程を担う人がいないと、通知は積み上がるだけになります。
数字を比べる材料としてよく挙がるのが、MITRE ATT&CK Evaluationsです。これは各社の製品を同じ想定の攻撃で評価する取り組みです。2026年の回からはTotal Evaluation Scoreという総合点が導入されます。それでもMITREは、製品に順位を付けたり勝者を決めたりするものではないとしています。
もう一つ、IPAのSCS評価制度のよくある質問では、要求事項を満たすために、EDRなど特定の製品の導入を求めるものではないと答えています。取引先から対策を求められたときも、製品名をそろえることが目的ではありません。
検知の性能は、公開された評価を見れば足ります。差が出やすいのは、そのあとの運用です。
比べる7項目は？
次の表をそのまま販売店に送り、同じ質問で答えてもらってください。
| 項目 |
販売店に聞くこと |
| 1. 通知を見る人 |
夜間と休日は誰が見ますか。自社と外部の分担は |
| 2. 誤検知の扱い |
業務ソフトが止められたら、誰がどう直しますか |
| 3. 止める権限 |
端末の隔離は自動ですか。誰の許可で動きますか |
| 4. 対象の端末 |
古いOS、サーバー、ネットに出ない端末は入りますか |
| 5. ログの保存 |
何日残りますか。解約後のデータはどうなりますか |
| 6. 更新の配り方 |
一部の端末から順に配れますか |
| 7. 事故のとき |
連絡先と時間、復旧の支援は料金に含まれますか |
1. 通知を見る人
週に何件の通知が出て、そのうち人が判断するものが何件あるかは、会社の環境で変わります。販売店には「私たちと同じ規模なら、1週間にどれくらいの判断が必要になりそうか」と聞いてください。数字で答えられない場合は、試用期間で実際に数えるのが確実です。
夜間に見る人がいないなら、製品の自動対応でどこまで進むか、外部の監視を足せるかが次の論点になります。
2. 誤検知の扱い
誤検知は避けられません。Microsoftの誤検知と検出漏れへの対処の文書にも、どの脅威保護製品でも起こり得るとあります。同じ文書では、アラートの分類や抑制、除外の設定、分析のためのファイルの提出といった手順が示されています。
比べるのは、誤検知の少なさの宣伝ではなく、起きたときの手順です。除外の設定は誰が行い、記録はどこに残るのか。除外を増やしすぎると見える範囲が狭くなるので、見直しの時期まで決めておきます。
たとえば製造業で、生産管理システムや測定器に付属する古い専用ソフトを使っている場合を考えます。こうしたソフトは、普段のオフィスソフトと動きが違うので、判定に引っかかる可能性があります。試用では、事務所のパソコンだけでなく、現場で使うソフトが入った端末も必ず対象に入れてください。
3. 止める権限
端末を隔離すれば被害の広がりは抑えやすくなりますが、その端末の業務も止まります。トレンドマイクロの解説では、EDRは感染したデバイスの隔離など端末中心の対応を自動化するものの、調査や判断には手動での対応が必要になる場合があるとしています。
「事務所のパソコンは自動で隔離、出荷や生産に関わる端末は担当者の判断」のように、端末ごとの扱いを分けられるか聞いてください。誰が許可するのかを社内で先に決めておかないと、外部の監視を頼んでも止める判断ができません。
4. 対象の端末
見積もりの台数に、どの端末が入っているかを確かめます。サーバー、Mac、スマートフォン、インターネットに出ない端末、サポートが切れたOSの端末は、製品によって対応が変わります。入らない端末が残るなら、それは別の方法で守る必要があるので、見積もりとは別の表に書き出します。
端末の一覧が無いと、この比較は進みません。先にIT資産管理ツールの比較を見て、台帳の作り方から決めるのも一つの順番です。
5. ログの保存
事故の調査は、何週間も前までさかのぼることがあります。保存期間の例として、Microsoft Defender for Endpointのデータの保持の説明では、データは180日間保持され、高度なハンティングでは30日間アクセスできるとされています。契約が終わったあとの扱いも同じ文書に書かれています。
このように、保存期間は画面や機能ごとに違うことがあります。「保存期間は何日ですか」だけでなく、「調査の画面で何日前まで見られますか」と聞いてください。
6. 更新の配り方
EDRは端末の深い部分で動くので、更新の不具合が業務に響くことがあります。2024年7月19日には、CrowdStrikeのコンテンツ更新によってWindows端末で障害が起きました。同社の事後の報告には、少数の端末から段階的に配る方式の導入や、顧客が配信を制御できる範囲を広げることが対策として書かれています。
これはどの製品にも関わる論点です。「一部の端末で先に更新できますか。止められない更新はありますか」と聞いてください。
7. 事故のとき
ライセンスの料金に何が含まれているかは、比べにくい部分です。通知の説明、調査の支援、復旧の作業は、それぞれ別料金のことがあります。
警察庁の令和7年の情勢報告によると、ランサムウェアの被害に遭った組織へのアンケートで、復旧に総額1,000万円以上を要した組織は全体の5割を超えています。ライセンスの差額だけで決めず、事故のときに誰が何時間以内に動くのかを書面でもらってください。
価格を比べるのはいつ？
7項目の答えがそろってから比べます。そのときは、1台あたりの月額ではなく、次の3つを足した金額で見ます。
- ライセンスの費用
- 監視や運用を外に頼む費用
- 社内の担当者が使う時間
ウイルス対策とEDRが同じ契約に入るプランもあれば、別契約のものもあります。今入っているウイルス対策の更新時期を確認して、二重払いの期間ができないようにしてください。法人向けセキュリティソフトの比較で、今の製品の位置を確かめられます。EDRの前にある守りの役割は、EPPの役割と更新管理の要点で説明しました。
候補はいくつまで絞る？
試用は2製品か3製品までにするのが現実的です。試す端末は、事務所のパソコン、外に持ち出すノートパソコン、現場のソフトが入った端末を混ぜてください。期間中に数えるのは、通知の件数、人が判断した件数、誤検知の件数と直すのにかかった時間の3つです。
製品を決めたあとで範囲を広げたくなったら、XDRへ切り替える時期の考え方を読んでください。すでにトレンドマイクロの製品を使っている会社は、Apex Oneの製品形態とサポート期限も確認しておくと、更新の判断がしやすくなります。候補の洗い出しは、EDR製品の比較から始められます。
