ランサムウェア対策にEDRは効くのか？止められる所と残る弱い所を解説

EDRはランサムウェア攻撃の途中の動きを見つけて止める助けになりますが、入れただけでは足りません。入口の機器、無効化、夜間の監視、復旧の4つ⁠に弱い所が残ります。

今日やることは3つ⁠の確認です。検知したときに自動で止める設定か通知だけか。夜間と週末の警告を誰が受けるか。EDRが入っていない機器はどれか。この3つ⁠の答えが、自社のEDRで止まる範囲をほぼ決めます。

EDRとは何をするもの？

EDR（Endpoint Detection and Response）とは、サーバーやパソコンの処理や通信の不審な振る舞いを検知し、迅速な対応を可能にする仕組みです。この説明はIPAの教訓集（2026年9月）⁠に載っています。

教訓集は、OS標準のツールなど正規のものを悪用する手法もあり、マルウェアの検知を前提とするウイルス対策ソフトだけで全部を見つけるのは難しいと書いています。そのため、EDRをウイルス対策ソフトを補う対策と位置づけています。

警察庁のランサムウェア被害防止対策のページも、セキュリティ製品の導入を有効としています。侵入されても不審な挙動を検知して遮断すれば、暗号化や情報窃取を防げる可能性があるという趣旨です。ただし、導入するだけでなく最新に保って適切に運用することが要る、と続きます。

攻撃のどの段階で効く？

警察庁の令和8年上半期の報告⁠が示す攻撃の流れに、EDRの見え方を重ねると次のようになります。右の2列⁠は公的資料をもとに私たちが整理したもので、実際の範囲は製品と設定で変わります。

狙いたいのは2段目です。同じ報告は、攻撃者が内部を探索してから暗号化に進むと説明しています。米CISAなどの勧告も、EDRは各端末のふだんの接続とそうでない接続を把握できるので、横への移動の検知に役立つとしています。この段階で気づければ、暗号化の前に手を打てる可能性があります。

反対に、最初の侵入はEDRの守備範囲の外になることがあります。警察庁の被害組織アンケートでは、侵入経路の約5割⁠がVPN機器です。この入口はEDRを入れる前に点検してください。

検知しても止まらないのはどんなとき？

設定が通知だけなら、誰かが止めるまで進み続けます。教訓集のコラムは、EDRには検知したら自動で止めるモードのほかに、警告を出して止めるかどうかを人に判断させるモードがあると説明しています。後者では、利用者が停止を選ぶまで不審な動きが続き、被害が広がることになります。

自動停止にすれば解決、とも言えません。通知のモードは誤検知による業務への負担に配慮したものです。止まっては困るサーバーをどう扱うかを決めたうえで、対象ごとに設定を選びます。導入の時に入れた設定のままになっていないか、管理画面で確かめてください。

攻撃者はEDRを止めに来る？

止めに来る場合があります。教訓集は、攻撃者の活動にはウイルス対策ソフトやEDRを含む対策の無効化もあり得るとしています。CISAなどの勧告（2025年11月更新）にも、ある攻撃グループがEDRをアンインストールして検知を避けたという記述があります。

正規のツールを悪用された場合も、検知をすり抜ける可能性があります。そこで教訓集は、攻撃の検知がなくてもログを定期的に確かめることを挙げています。見るのは、次のような変化です。

• 管理画面に出ていたはずの端末が、連絡なしに消えていないか
• 防御の機能を切る操作の記録がないか
• 夜間や休日に、管理者アカウントの見慣れない利用がないか

この点検は月に1回でも始められます。担当者が時間を取れないなら、ログを見る作業ごと外部に頼む方法があります。

監視する人がいないとどうなる？

警告は、受ける人がいて初めて役に立ちます。教訓集には、暗号化を検知して管理者宛てに警告メールが出ていたのに、週末の深夜でタイムリーに受け取れなかった例があります。同じ箇所で、検知だけでなく常時対応できる監視と運用の体制が必要だとしています。

専門の担当者がいない会社の選択肢は、大きく3つです。

外部委託の違いはMDRとSOC監視サービスの比較で見られます。中小企業向けには、IPAが案内するサイバーセキュリティお助け隊サービス⁠もあります。ネットワーク監視、EDR等による端末監視、両者の併用から選ぶ仕組みで、サービス一覧と価格表が公開されています。

外に任せても、社内の判断がなくなるわけではありません。隔離で止まる業務の相談や、最終的な判断の相手は社内に必要です。誰が電話を受けるかは1枚⁠の連絡表の作り方⁠で決めておきます。

EDRが入らない機器はどうする？

対象の外に残る機器を一覧にします。教訓集が被害拡大の要因に挙げたものの中には、アップデートしていないNASがあります。海外拠点についても、本社にはEDRがあるのに拠点にはなく、被害が広がりやすい差が出ると指摘しています。

製造業で加えて考えたいのが工場の端末です。たとえば、週末はラインを止める部品工場で、成形機につながる制御用パソコンにも入れるか検討する場合です。IPAの導入手引書（2023年6月）⁠は⁠、端末にソフトを入れる方式では、既存アプリの不具合や通信の遅れが起きる可能性を挙げています。制御用パソコンは設備メーカーの保守条件を先に確かめ、影響を許容できないなら通信を見る方式を検討します。

事務所の端末、サーバー、工場の端末、VPN機器、NASを1枚⁠の表に並べ、EDRがある、別の対策で守る、未対応、の3つ⁠で印を付けます。未対応の行が次の投資の順番です。

EDRがあっても残る対策は？

EDRは入口の更新と認証、そして復旧の代わりにはなりません。警察庁のページは、VPN機器の更新、認証情報の管理、権限の最小化を別の対策として挙げています。教訓集も、被害の多くは基本的な対策ができていないことに起因するとしています。

最後に頼るのはバックアップです。攻撃者は内部探索でバックアップも物色します。警察庁は、バックアップを暗号化されないよう、なるべくこまめに取得してネットワークから切り離し、オフラインで保存するなどの備えを勧めています。方式は法人向けバックアップの比較で確かめられます。

被害が起きたときの調査にもEDRの記録は使えます。ただ、調査と復旧を頼む会社は別に要ることが多いので、復旧業者に確かめる質問⁠も見ておいてください。

取引先からEDRを求められたら？

求められるのは製品名より、見ている体制かもしれません。教訓集には、メールやEDIを再開するならEDRやSOCを導入するよう、取引先から強い要望があった組織が複数あったと書かれています。要請を受けたら、製品の有無だけでなく、誰が警告を受けるかまで説明できるようにしておきます。

製品を比べるときに何を聞く？

EDRの製品比較⁠や見積もりでは、次の6点⁠を聞きます。

1. 自社のOS、サーバー、古い端末に対応していますか
2. 検知時の動きは、自動停止と通知のどちらを選べますか。対象ごとに変えられますか
3. 夜間と週末の警告は誰が受けますか。別料金ですか
4. 端末からの無効化やアンインストールを防ぐ設定はありますか
5. 記録はどれくらいの期間残りますか。被害時に調査会社へ渡せますか
6. 端末の隔離で業務が止まったとき、誰が戻しますか

どの資料から読むか迷うときは公的資料の読む順番⁠、ほかの対策はランサムウェア対策のカテゴリ⁠を見てください。