SIEMとEDRの違いは、見る範囲と見つけたあとの動きです。EDRはPCやサーバーの中の動きを見て対応を助ける道具で、SIEMは社内の複数の機器のログを集めて分析する仕組みです。少人数の会社は普通、監視サービスを付けたEDRを先に入れ、SIEMは後に回します。
今日やることは、3つの確認です。今のウイルス対策製品がEDRの機能を持っているか、夜間や休日に警告が出たとき誰が受けるか、VPN機器のログが何日残っているか。担当者か保守会社に聞けば、1日で答えがそろいます。
SIEMとEDRは何を見て、何をする？
IPAの組織における内部不正防止ガイドライン第5版は、EDRを次のように説明しています。PCやサーバー上で、ファイルの操作やプログラムの実行、ログオンなどの出来事を記録し、不審な挙動を検知して管理者に通知し、早い対応を助ける製品です。
SIEMは、米国NISTの用語集では多様なログをまとめて記録するプログラムと定義され、いまの製品は分析や検知まで担います。違いを並べると次のようになります。
| 比べる点 |
EDR |
SIEM |
| 見る範囲 |
ソフトを入れたPCとサーバーの中 |
ログを送れる機器全般とクラウド |
| 見るもの |
プログラムの動きなど端末内の出来事 |
複数の機器が出すログ |
| 見つけたあと |
端末の隔離などに進みやすい |
分析と通知が中心。対応は別の仕組みや人 |
| 導入の入口 |
端末ごとにソフトを入れる |
機器ごとにログの送り先を設定する |
対応の範囲は製品によって差があります。Microsoft Sentinelの説明のように、調査や対応までを含めて書くSIEMもあります。比較するときは「SIEMだから」「EDRだから」で判断せず、製品ごとに確かめます。
互いの代わりにならない部分
EDRのソフトを入れられない機器は、EDRからは見えません。VPN機器やファイアウォールが代表です。警察庁の令和7年上半期の情勢報告では、アンケートの回答で、VPNやリモートデスクトップ用の機器からの侵入が感染経路の8割以上でした。
逆にSIEMは、ログに出ないPCの中の細かな動きを、自分で見ることはできません。多くの場合、EDRが出す情報をSIEMに取り込んで組み合わせます。つまり両者は競合というより、順番の問題です。
少人数の会社は、なぜEDRが先なのか？
これは統計で決まる話ではなく、私たちの判断です。理由は3つあります。
見る仕事を外に出しやすい
IPAのサイバーセキュリティお助け隊サービス基準（2.1版）は、端末監視の形として、EDRなどと異常監視サービスの組み合わせを定めています。端末を24時間見守り、重大なインシデントは60分以内を目標に通知する内容です。兼任の担当者しかいない会社でも、この形なら夜間の警告を社内で読まなくて済みます。
費用を見積もりやすい
EDRは台数で価格を出しやすい製品です。お助け隊サービス1類の基準では、端末監視の月額上限は1台2,000円（税抜き）、初期費用の上限は端末数によらず50万円（税抜き）です。SIEMは多くの製品で、取り込むデータ量に価格が連動します。オーストラリア政府のサイバーセキュリティ機関（ASD）の経営者向け指針は、上限がないと費用が大きく膨らむと注意しています。
SIEMは読む人が前提になる
同じ指針は、費用として利用料のほかに専門人材の採用と維持、既存社員の育成を挙げています。ログを集めても、分析結果を読んで判断する人がいなければ役に立ちません。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版の本編には、日本ネットワークセキュリティ協会の調査から引いた建設業の事例が載っています。VPN機器からの侵入でランサムウェアに感染し、約2.5億円以上の損失が出た会社です。再発防止として挙げられているのは、EDRやバックアップ製品、監視サービスの導入でした。1社の例なので一般化はできませんが、順番を考える材料にはなります。
EDRだけで足りない部分はどう補う？
EDRを入れても、ログの保管はなくなりません。MicrosoftはDefender for EndpointのEDRの説明で、監査やログの仕組みとしては意図していないと明記しています。端末上のすべての操作を記録するものではないという説明です。他の製品でも、何をどれだけ残すかを確かめる必要があります。
補い方は2段階に分けられます。
- SIEMを入れる前に、VPN機器、ファイアウォール、認証サーバーのログを別の場所に残す
- 台数や拠点が増え、読む人か外部の体制が整ってから、SIEMで突き合わせを始める
1は、IPAのガイドラインが通信ログや認証ログの取得、保管、改ざん防止、定期的なレビューとして求めている内容です。ツールの選び方はログ監視ツールとSIEMの違いにまとめました。
ネットワークの出入口を見る方法もあります。お助け隊サービスの案内によると、監視の種類はネットワーク監視、端末監視、両者の併用の3つです。ネットワーク監視は外部と社内の間に装置を置き、PC側の設定作業が要りません。端末監視は、PCを社外に持ち出す業務にも対応しやすい形です。
どんな会社ならSIEMが先になる？
少数ですが、順序が逆になる場合もあります。
- すでに全端末にEDRがあり、次に広い範囲を見たい
- 専任者か、契約済みの監視事業者がいて、SIEMの結果を読める
- 取引先の監査でログの突き合わせを求められている
3つ目に関わるのが、SCS評価制度です。検討段階の要求事項の案では、★4の評価基準として、ログの相関分析などでサイバー攻撃の予兆やインシデントの発生を検知できる体制が挙げられていました。目指す段階と最新の基準を確かめてから、SIEMの要否を判断します。
製造業の場合はどこに入れる？
たとえば、事務と設計のPC40台、図面のファイルサーバー1台、外部とつなぐVPNが1本ある部品メーカーの場合です。EDRの対象は、まずこの40台とファイルサーバーになります。
工場の設備を動かすPCは分けて考えます。常駐ソフトを入れると動作や保証に影響するかもしれないので、設備メーカーに確かめてから決めます。入れられない機器は、ネットワークを分ける、通信を監視するといった別の方法で守ります。
この会社の順番を書くと次のようになります。
- VPNと認証のログを残す設定にする
- 事務と設計のPC、サーバーに、監視付きのEDRを入れる
- 工場の設備PCの扱いを設備メーカーと決める
- 拠点や台数が増えたら、SIEMの要否を見直す
製品を比べる前に確かめること
新しく買う前に、今の契約に入っていないかを見ます。たとえばMicrosoft Defender for Businessは、最大300ユーザーの中小企業向けに設計された製品で、機能の一覧にEDRがあり、Microsoft 365 Business Premiumにも含まれます。ただし、機能があることと、誰かが警告を見ていることは別の話です。夜間に誰が受けるかは、契約を確かめても自動では決まりません。
警告を社内で受けないなら、製品の比較と同時に監視の比較が必要です。EDRの製品比較で端末側の製品を、MDR・SOC監視サービスの比較で監視の時間や隔離の代行を確かめられます。監視の外注の考え方はSIEMとSOCの違いで整理しています。
SIEMが視野に入ってきたら、SIEMの製品比較で課金の単位から見ていきます。どの段階の話かを確かめたいときは、セキュリティ運用の考え方に戻って全体を見てください。
