EDRとは？機能や効果、製品を選ぶ上でのポイントをご紹介

EDRとは？

EDRは、PCやスマートフォンなどの端末（エンドポイント）に対するサイバー攻撃を迅速に検知し対応するためのセキュリティ対策です。
従来のウィルス対策ソフトでは対応が難しかった未知の攻撃にも対応できる可能性をもっているのが特徴です。EDRは、攻撃の早期段階から侵入後まで、継続的に攻撃兆候を察知し、迅速な対応を可能にする総合的なセキュリティソリューションです。

ここではEDRの仕組みと機能について、それぞれ解説します。

EDRの仕組み

EDRは、エンドポイントに導入する監視ソフトウェアです。ソフトウェアの役割は、デバイスの使用状況や通信内容の継続的な監視と、ログの収集です。収集されたログは分析され、不審な挙動が検知されたら管理者に対してアラートを出します。

リアルタイムの監視機能により、サイバー攻撃の兆候を早期に検知し、迅速な対応が可能です。また、EDRはログデータを継続的に蓄積しますので、攻撃後の分析にも役立てられます。

従来型のウイルス対策ソフトとの違い

従来のウイルス対策ソフトは主にマルウェア（ウイルス）を検知し、感染させないことに重点を置いています。一方、EDRは感染拡大を抑止し早期対応を行うための包括的なセキュリティを提供し、攻撃の早期検知と迅速な対応、そして感染時の被害最小化を目的としています。

違いを表にまとめました。

EDRの機能

EDRには、ログを蓄積して、分析結果を通知、不審な挙動や攻撃に対して適切に対処する機能が備わっています。ただし、製品によって提供される機能は異なります。以下で紹介するのは、代表的な機能の一部です。

これらの機能により、EDRはエンドポイントの脅威を総合的に管理し、攻撃に対する防御性能を高めています。製品によっては、さらに高度な分析機能や運用オプションが提供されているため、導入の際には各製品の特徴を比較して検討するのがおすすめです。

EDRとEPPやNGAVとの違い

EDRと似たセキュリティソリューションに、EPP（Endpoint Protection Platform）やNGAV（Next Generation Antivirus）があります。それぞれの違いを理解すると、自社のケースにあったセキュリティ対策が選択できるようになります。EDRとEPP、NGAVの違いについてみていきましょう。

EPP

EPPは、Endpoint Protection Platformの略で、エンドポイントに対するマルウェア攻撃を未然に防ぐセキュリティ対策です。従来型のアンチウイルスもEPPの一部に含まれており、ウイルスやマルウェアの感染を防ぐことを主な目的としています。しかし、EPPでは防ぎきれない攻撃や未知の脅威に対しては対応が難しく、侵入されてしまった場合の検知や対策がEDRと比較して不足していると言えるでしょう。

NGAV

NGAVは、EPPの一種として分類されます。EPPと比較して、マルウェアのパターン情報ベースではなく、マルウェアの不正な動作や挙動、ふるまいをAIや機械学習を用いて分析し脅威を検知する仕組みが追加されています。このため、未知の攻撃や巧妙な手口への対応可能性を高めています。一方でNGAVは侵入を防ぐことが主な目的となるため、侵入後の対策についてはEDRと比較すると不足していると考えられます。

EDRで得られる3つの効果

EDRはエンドポイントのセキュリティ強化に役立つソリューションです。その主な効果を3つ紹介します。

効果1. 未知の脅威の検知と対応

従来のEPPは、主に既知のマルウェアやウイルスの感染を防ぐための対策です。そのため、未知の攻撃であった場合には、完全に防ぎきれない恐れがあります。EDRの強みは、EPPが対応できない未知の攻撃やすり抜けた脅威を、侵入の試みの段階から検知し、侵入後も継続的に監視できることです。

効果2.サイバー攻撃被害の最小化

EDRは、攻撃の早期検知により、迅速な対応を可能にします。加えて、検知された脅威に対しては、自動でネットワークからの隔離やプロセスの停止が行われます。これにより、被害が拡大する前に対策が講じられ、ビジネスへの影響を最小限に抑えることにつながります。

効果3.侵入経路と被害範囲の特定

EDRは、攻撃がどのように行われたのか、その経路と被害範囲を特定できます。どのデバイスが侵害されたのか、どの範囲に被害が広がっているのかを把握できるため、適切な対策を講じられます。

EDRが必要とされる背景

近年、サイバー攻撃の手口が高度化し、多様化する中で、EDRの必要性がますます高まっています。ここでは、EDRが必要とされる背景について、3つのポイントに分けて解説します。

外部からの不正アクセス増加

2023年の警察庁・総務省・経済産業省による「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」では、年々不正アクセスの件数が増加していることが報告されています。

出典：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況

特に、インターネットを介した外部からの不正アクセスが増えているため、企業や組織はセキュリティ対策が欠かせません。従来のウイルス対策ソフトに加えて、増加するセキュリティリスクに対応する手段のニーズが高まっています。

高度化するサイバー攻撃と新しい手口の増加

サイバー攻撃は年々巧妙化しており、新しい攻撃手法も次々と登場しています。従来の対策では不十分な可能性もあり、多層的なセキュリティ対策が必要です。

従来のウイルス対策ソフトでは既知の脅威に対しては対策できます。ただし、攻撃手法も進化を続けており、未知の手口も次々と現れ日々企業はそのリスクに晒されています。ウイルスを介することなく、ネットワーク内に攻撃者が侵入することで攻撃を実行する侵入型の攻撃には対応できません。EDRは異常や不審な動きを感知することで、未知の脅威に対する対策を前提としており有効な一施策となるといえるでしょう。

リモートワークの増加によるセキュリティ管理の複雑化

リモートワークの普及に伴い、社外での業務や自宅のデバイスを利用する機会が増えました。その結果、企業のセキュリティ管理が一層複雑化しています。

端末やソフトウェア、ネットワークが乱立することにより、管理が行き届かず結果として攻撃者が活用できる脆弱性が放置されるリスクが増えました。こうした背景によって、エンドポイントごとにリアルタイムで脅威を監視・対応できるEDRを活用する企業が増えています。

EDRと他のセキュリティ対策の連携

サイバー攻撃が高度化する中、どんなに強固なセキュリティ対策を講じても、すべての攻撃を防ぐことはできません。セキュリティ対策では、多層防御という考え方が重要です。多層防御とは、侵入を防ぐだけでなく、侵入された後の被害を最小限に抑えるために対策を複数組み合わせることを指します。

EDRは、EPPだけでなく、他のセキュリティツールとも連携できます。例えば、ASM（Attack Surface Management）は、ネットワークにさらされている自社の脆弱性を継続的に監視し、攻撃者が侵入できる隙を減らすためのプロセスです。自社の攻撃面をコントロールし、そもそも攻撃のターゲットにされづらい環境に更新しつづけるアプローチができます。ASMと組み合わせることで、EDRの運用上課題になる過検知や誤検知の削減が期待できるでしょう。

それぞれのセキュリティツールには異なる役割があります。適切に組み合わせると、多様な攻撃手法から防御できる体制が構築されるでしょう。

EDRの選定ポイント

EDRの導入を検討する際には、さまざまな要素を比較検討する必要があります。ここでは、選定時に押さえておくべきポイントを5つ解説します。

検知能力を確認する

EDRの重要な機能のひとつは、攻撃を検知する能力です。製品によっては、AI（人工知能）を活用して高度なパターン分析や異常検知を行うものもあります。自社に必要な機能と予算に合わせて最適な機能を持ち合わせたものを選定しましょう。

分析精度は十分か確認する

検知だけでなく、攻撃の詳細をリアルタイムで分析する精度も大切です。製品によっては、攻撃の進行状況や影響範囲をすぐに特定できるものもあります。

例えば、EDR製品には、サイバー攻撃が発生した際に、感染経路や原因、影響範囲を自動的に調査してくれる機能が備わっているものがあります。リアルタイム分析機能の有無や攻撃の調査方式を確認し、迅速な対応ができるかどうかを考慮して選びましょう。

自社の予算にあった商品か

EDRの導入コストについても確認する必要があります。EDRでは、基本的にエンドポイントの数に比例して費用がかかります。そのため、対象となるパソコンやサーバーなどのデバイスが多いほど費用もかかります。対象数によっては非常に高額になるでしょう。

必要な対策レベルと予算に合わせて適切なサービス選定が求められます。また、企業によってはIT導入補助金などの対象になるため活用していきましょう。

自社の環境にフィットするか

EDR製品の対応OSやシステム環境は製品によって異なります。自社のシステム環境に適しているかを確認しておかなければなりません。また、EDRはデバイスのログを大量に収集して分析するため、システムに負荷がかかることがあります。過検知・誤検知に対するチューニングを適切に行い、適切な運用が可能な状態にしましょう。

運用体制はどうなっているか

EDRの運用には、専門知識が必要です。特によくある失敗は、過検知・誤検知により業務が逼迫してしまうことです。それが煩わしくなり、検知を止めてしまう企業例もあります。運用に耐えうる環境の構築や、運用サポートを活用した体制構築を検討し、高い効果を得られるようにしておきましょう。

まとめ

EDRは、サイバー攻撃の高度化・多様化に対応するために生まれたエンドポイントセキュリティ対策です。EPPでは防げない脅威の検知、被害の最小化、侵入経路・被害範囲の特定、原因究明などが挙げられます。近年増加の一途をたどるサイバー攻撃、その高度化、リモートワークによるセキュリティ管理の複雑化といった背景から、EDRの必要性はますます高まっているといえます。

ただし、EDRは導入コストや運用の複雑さから、慎重に検討する必要があります。自社のニーズに合わせて最適な製品を選び、効果的なセキュリティ対策を実現しましょう。