EDR（Endpoint Detection and Response）とは?

EDR の定義

EDR（Endpoint Detection and Response）は、PC、ノート PC、サーバー、仮想マシン、一部のモバイルデバイスなど、ユーザーが業務で使用したり、システムが稼働したりするエンドポイント上の脅威活動を検知し、対応するセキュリティ技術です。エンドポイントでどのプロセスが実行されたか、どのファイルが作成・変更されたか、どのアカウントがログインしたか、外部アドレスと通信したかを継続的に収集・分析します。

従来のセキュリティツールが既知の悪意のあるファイルの遮断に重点を置いていたのに対し、EDR はエンドポイントで実際に何が起きたかを確認することに重点を置きます。悪意のあるファイルが実行されたかどうかだけでなく、実行後にどのようなコマンドが続き、ほかのデバイスやアカウントへどのように拡散したかを追跡します。

EDR の役割は遮断だけではありません。攻撃の痕跡を確認し、攻撃経路を追跡するとともに、セキュリティチームが感染の疑いがあるデバイスを隔離したり、追加調査を実施したりできるよう支援することが重要です。

EDR が必要な理由

業務環境はエンドポイントに大きく依存しています。従業員はノート PC から社内システムに接続し、サーバーは業務アプリケーションを実行します。リモートワーカーは外部ネットワークから会社のリソースにアクセスします。これらすべての接点が、攻撃者の侵入経路になり得ます。

特に、ランサムウェア、アカウントの窃取、ファイルレス攻撃、リモート管理ツールの悪用などの攻撃は、悪意のあるファイルだけを確認する方法では見逃しやすくなります。攻撃者は正規のツールを悪用したり、認証済みのアカウントでログインしたり、短時間で権限を拡大したりすることもあります。このときセキュリティチームが確認すべきなのは、1 つのファイル名ではなく、一連の振る舞いです。

普段は文書作業しか行わないユーザーの PC で突然大量のファイル変更が発生し、不明な外部アドレスと通信して管理者権限のコマンドが実行された場合、それぞれのイベントを個別に見ることはできません。EDR は、プロセスの実行、ファイルの変更、ネットワーク通信、アカウントの使用履歴を関連付け、攻撃の流れに近い振る舞いを判断できるよう支援します。

つまり、EDR の役割は悪意のあるファイルを見つけることにとどまりません。エンドポイントで発生する振る舞いをコンテキストとして関連付け、セキュリティチームがより迅速に調査・対応できるようにする技術です。

EDR の仕組み

EDR はエンドポイントにエージェントをインストールしてアクティビティデータを収集し、それを分析して脅威かどうかを判断します。検知結果は管理コンソールに送信され、セキュリティチームはアラートを確認して調査を開始したり、対応措置を実行したりします。

1) エンドポイントデータの収集

EDR はエンドポイントで発生するさまざまなアクティビティを記録します。代表的なデータには、プロセスの実行、ファイルの作成・変更・削除、ネットワーク接続、ユーザーのログイン、権限の使用、レジストリの変更、サービスの作成などがあります。

このデータは、インシデント調査における重要な手掛かりになります。セキュリティチームは、どのアカウントがどのデバイスでどのコマンドを実行し、その後どのようなファイルやネットワーク接続が生じたかを確認できます。

2) 振る舞い分析と脅威検知

EDR は収集したデータに基づいて不審な振る舞いを見つけます。既知のマルウェアパターンと比較したり、通常の業務上の振る舞いとは異なる動きを検知したりします。

たとえば、PowerShell が通常とは異なるコマンドで実行され、その後に認証情報へのアクセス試行と外部通信が続いた場合、それぞれは小さなイベントに見えることがあります。しかし、関連付けて見ると、攻撃者が内部偵察や権限昇格を試みる一連の流れである可能性があります。EDR は単一のイベントではなく、振る舞いのコンテキストを確認します。

3) インシデント調査と原因分析

侵害が疑われる場合、セキュリティチームはまず被害範囲を確認する必要があります。どのデバイスが影響を受けたか、攻撃がほかのシステムへ移動したか、アカウント情報が窃取されたかを確認しなければなりません。

EDR は、プロセスツリー、ファイルの変更履歴、ネットワーク接続履歴、ユーザーの振る舞いなどのフォレンジック情報を提供します。同じファイルが複数のデバイスで実行されたか、同じコマンドが繰り返し実行されたか、特定のアカウントが異常に使用されたかも確認できます。

4) 対応と隔離

EDR は検知と調査にとどまらず、対応機能も提供します。感染の疑いがあるデバイスをネットワークから隔離し、悪意のあるプロセスを終了して、不審なファイルを隔離または削除できます。

ただし、自動対応は慎重に設計する必要があります。すべてのアラートを自動的に遮断すると、業務システムが停止する可能性があります。一方、すべての対応を手動で処理すると、攻撃の拡散速度に追い付くことが困難です。既知の悪意のある振る舞いや反復作業は自動化し、業務への影響が大きい措置はアナリストの確認を経るように構成する方法が現実的です。

関連記事

正常ツールに偽装した攻撃、AhnLab EDR はどう検知するのか

EDR の主な機能

EDR の機能は製品によって異なりますが、一般的に次の領域が含まれます。

機能	説明
継続的なモニタリング	エンドポイントのアクティビティを継続的に収集し、異常な振る舞いを検出します。
振る舞いベースの検知	ファイル名やハッシュだけでなく、実行方法とそれに関連する振る舞いを分析します。
インシデント調査	攻撃経路、感染範囲、影響を受けたシステムを追跡します。
脅威ハンティング	セキュリティチームが不審な条件を直接検索し、潜在する脅威を見つけます。
エンドポイントの隔離	感染の疑いがあるデバイスのネットワーク通信を制限します。
対応措置	プロセスの終了、ファイルの隔離、ポリシーの適用などの対応を実行します。
既存ツールとの連携	SIEM、SOAR、XDR、チケットシステムと連携し、運用フローを構築します。

機能の数よりも重要なのは、セキュリティチームが実際に調査できる情報が提供されるかどうかです。アラートが多くてもコンテキストが不足していれば、アナリストは同じインシデントを複数の画面で再確認しなければなりません。EDR は脅威のシグナルを調査可能な形に整理し、対応措置を運用環境に合わせて制御できる必要があります。

EDR は従来のエンドポイントセキュリティと何が違うのか

EDR は AV、EPP、XDR と同じエンドポイントセキュリティ領域にありますが、それぞれが担う役割は異なります。

アンチウイルス（Antivirus、AV）は、主に既知の悪意のあるファイルの検知と遮断に重点を置きます。シグネチャベースの検知やレピュテーション情報を活用することが多く、基本的なマルウェア対策として使用されます。ただし、正規ツールを悪用する攻撃やファイルを使用しない攻撃を AV だけで確認することは困難です。

EPP（Endpoint Protection Platform）は、エンドポイントを事前に保護するためのプラットフォームに近いものです。マルウェア対策、ファイアウォール、デバイス制御、脆弱性防御など、攻撃を実行前に防ぐ機能をまとめて運用します。

EDR は、攻撃が発生した場合や疑われる状況でエンドポイントの振る舞いを分析します。どのプロセスが実行されたか、どのファイルが変更されたか、ほかのデバイスやアカウントへ拡散したかを確認し、調査と対応を支援します。

XDR（Extended Detection and Response）は、EDR よりも広い範囲で脅威を捉えます。エンドポイントだけでなく、メール、ネットワーク、クラウド、アカウント、SaaS のシグナルを関連付けて攻撃の流れを分析します。アンラボの 2026 年エンドポイントセキュリティフレームワークのコンテンツでも、エンドポイントを中心とした攻撃の流れと、ZTNA、XDR ベースの対応戦略を取り上げています。

まとめると、AV と EPP は主に予防に近く、EDR はエンドポイントを中心とした検知と対応に重点を置きます。XDR は複数のセキュリティ領域のシグナルを関連付け、より広いコンテキストで攻撃を把握する方法です。

EDR 導入時に確認すべき基準

EDR はインストールするだけで効果が保証されるツールではありません。実際の成果は、導入後の運用戦略によって異なります。

保護対象と適用範囲の設定

すべてのユーザー PC とサーバーに加え、リモートワーク用デバイス、仮想マシン、クラウドワークロードのどこまでエージェントをインストールするかを確認する必要があります。保護対象から除外されたデバイスが多いほど、検知に空白が生じます。

アラート品質の管理

EDR が過剰に多くのアラートを発生させると、セキュリティチームはかえって重要な脅威を見逃す可能性があります。組織の業務環境に合わせて検知ポリシーを調整し、繰り返し発生する誤検知を減らす必要があります。

対応権限と手順の定義

エンドポイントの隔離、プロセスの終了、ファイルの削除といった措置は、実際の業務に直接影響する可能性があります。そのため、誰がその措置を実行できるか、どのような条件で自動対応を適用するか、例外をどのように処理するかを事前に定義する必要があります。

既存のセキュリティツールとの連携

EDR のアラートを SIEM、SOAR、XDR、チケットシステムと連携すると、調査から対応までの流れをつなぎやすくなります。一方、コンソールが分かれていると、アナリストは同じインシデントを複数の画面で繰り返し確認する必要があり、その過程で対応が遅れる可能性があります。

EDR 運用時の制約

EDR はエンドポイントの脅威対応で重要な役割を果たしますが、すべての問題を解決できるわけではありません。エージェントがインストールされていないデバイスは検知できず、攻撃者が管理者権限を奪取すると、セキュリティツールの停止やログの削除を試みる可能性があります。

また、EDR はエンドポイント内で発生した振る舞いを中心に確認するため、メールアカウントの窃取、クラウドの設定ミス、SaaS 権限の悪用、ネットワーク内でのラテラルムーブメントまでを単独で把握することは困難です。このような攻撃は、XDR、SIEM、IAM、NDR など、ほかのセキュリティシグナルと併せて分析する必要があります。

FAQ

アンラボの EDR

AhnLab EDR は、エンドポイントで発生する脅威活動を検知し、分析と対応を支援するエンドポイント検知・対応ソリューションです。アンラボは、AhnLab EDR が専用コンソールである AhnLab EDR Analyzer を通じて脅威の確認、分析、対応を支援し、脅威のコンテキストを把握できるよう可視化機能を提供すると説明しています。

EDR は単独のツールとして完結させるよりも、EPP、XDR、セキュリティ監視、MDR と併せて運用することで効果が高まります。エンドポイントで確認した振る舞いをほかのセキュリティ領域のシグナルと関連付けることで、攻撃の流れをより広く把握できるためです。