EDRとは、かんたんに言うと、パソコンやサーバーの動きを見守り、怪しい動きを見つけたときの調査や対応を助ける仕組みです。
一般的なウイルス対策ソフトは、危険なファイルが入るのを防ぐことを得意としています。EDRは、入り込まれた可能性がある場合に、異常を見つけて被害を抑えるためにも使われます。
この記事では、セキュリティ分野のEDRとは何かを初心者向けに解説します。仕組みや機能、必要性、EPP・MDR・XDRとの違いも、やさしい言葉で説明します。
関連するIT用語をまとめて確認したい方は、IT用語一覧もあわせてご覧ください。
EDRとは？端末の異常を見つけて対応を助ける仕組み
EDRとは、パソコンやサーバーなどの端末を見守り、いつもと違う動きを見つけるためのセキュリティ対策です。
ここでいう端末とは、会社や学校などで使うパソコンや、Webサイトや社内システムを動かすサーバーなどを指します。製品によっては、スマートフォンなども対象になります。
サーバーとは、Webサイトや社内システムを動かし、ほかのパソコンへ情報を届けるコンピューターです。
EDRは、端末の中で動いたプログラムや、ファイルの変更などを記録します。プログラムとは、パソコンに処理をさせるための命令をまとめたものです。
怪しい動きを見つけた場合は、担当者に知らせたり、問題が疑われる端末を社内のネットワークから切り離したりできます。
ネットワークとは、パソコンやサーバーをつなぎ、情報をやり取りできるようにした仕組みです。
EDRは何の略？正式名称と読み方
EDRは「Endpoint Detection and Response」の略です。読み方は「イーディーアール」です。
Endpointは、ネットワークにつながるパソコンやサーバーなどの端末を意味します。
Detectionは、怪しい動きを見つけることです。Responseは、問題を調べたり、被害を抑えたりすることを意味します。
日本語では「端末の異常を見つけて対応する仕組み」と考えると分かりやすいでしょう。
EDRが必要とされる理由
セキュリティ対策では、危険なものを端末に入れないことが大切です。しかし、すべての攻撃を入り込む前に防ぐことは簡単ではありません。
この記事でいう攻撃とは、パソコンの情報を盗んだり、システムを使えなくしたりする不正な操作です。
ここでいう侵入とは、攻撃者や不正なプログラムが、許可なくパソコンやサーバーの中へ入り込むことです。
新しい攻撃をすぐに見分けられない場合がある
従来のウイルス対策ソフトは、すでに知られているウイルスの特徴を使って、危険なものを見つける方法が中心でした。
しかし、まだ広く知られていない攻撃や、本来は安全なソフトを悪用した攻撃では、危険だと判断できない場合があります。
気付かれにくい攻撃がある
攻撃者が端末に入り込んでも、すぐに目立つ問題を起こすとは限りません。
少しずつ情報を集めたり、別の端末へ移ったりすることがあります。EDRは、このような不自然な動きを見つけるために使われます。
問題の広がりを早く抑える必要がある
異常が起きた端末を使い続けると、社内のほかの端末へ問題が広がる可能性があります。
EDRで早く異常に気付き、端末をネットワークから切り離せば、問題が広がるのを抑えやすくなります。
EDRの仕組み
EDRは、端末の動きを記録し、その記録から怪しい行動を見つけます。
製品によって細かな違いはありますが、基本的には次のような流れで動きます。
パソコンやサーバーの動きを記録する
EDRは、端末で動いたプログラムや、作成・変更されたファイルなどの情報を集めます。
どのWebサイトや外部のコンピューターと情報をやり取りしたかを記録する製品もあります。
記録した情報から怪しい動きを見つける
集めた記録を調べ、通常とは異なる動きがないかを確認します。
たとえば、多くのファイルが短時間で書き換えられた場合や、普段は使われない機能が急に動いた場合などです。
担当者へ知らせる
怪しい動きが見つかると、EDRは専用の管理画面に警告を表示します。
管理画面とは、担当者が複数の端末の状態をまとめて確認するための画面です。
担当者は、表示された内容や端末の記録を確認し、本当に問題が起きているかを判断します。
問題が疑われる端末を隔離する
問題が疑われる端末を、社内ネットワークから切り離せる製品もあります。
これを端末の隔離といいます。隔離すると、社内のほかの端末とは通信できなくなります。
製品によっては、原因の調査や、端末を安全に使える状態へ戻す作業に必要な通信だけを許可できます。
EDRの主な機能とできること
EDRには、怪しい動きを見つけるだけでなく、原因の調査や被害を抑えるための機能があります。
端末の動きを監視する
EDRは、パソコンやサーバーの中で、どのようなプログラムが動いたかを監視します。
監視とは、利用者の画面を常に見続けることではありません。主に、プログラムの動きやファイルの変更などを記録することです。
記録する内容は、EDR製品や会社の設定によって異なります。
不審な動きを見つける
EDRは、いつもとは異なる動きや、攻撃によく見られる動きを見つけます。
このように、異常の可能性がある動きを見つけることを検知といいます。
端末をネットワークから隔離する
感染が疑われる端末を、社内のネットワークから切り離します。
ほかの端末との通信を止めることで、問題が広がるのを抑えやすくなります。
攻撃の原因や流れを調査する
いつ、どのファイルから問題が始まり、どのような動きが起きたのかを調べます。
どのパソコンやファイルに問題が広がったかを確認し、必要な対応を決めるためにも役立ちます。
問題のある動きを止める
危険と判断したプログラムを停止したり、問題のあるファイルを隔離したりできる製品もあります。
ただし、どこまで自動で対応できるかは、製品や設定によって異なります。
EDRを身近な例で考えると
EDRは、防犯カメラと警備員を組み合わせた仕組みに似ています。
建物の入り口に鍵をかけるだけでは、誰かが中へ入ったあとに何が起きたかは分かりません。
防犯カメラがあれば、建物の中で起きたことを記録できます。さらに警備員が映像を確認すれば、不審な動きに気付き、問題が広がる前に対応できます。
ITのEDRも同じように、端末の動きを記録し、怪しい動きを見つけて対応を助けます。
ただし、実際に記録するのは映像ではありません。プログラムやファイルなどの動きを記録します。
EDRとウイルス対策ソフトの違い
EDRとウイルス対策ソフトは、どちらも端末を守るために使われます。ただし、得意とする役割が異なります。
| 比較する項目 | ウイルス対策ソフト | EDR |
|---|---|---|
| 主な役割 | 危険なファイルが入るのを防ぐ | 端末の異常を見つけて対応を助ける |
| 得意な場面 | 危険なファイルの侵入や実行を防ぐ | 入り込まれたあとの怪しい動きを見つける |
| 端末の記録 | 製品によって異なる | 端末の動きを詳しく記録する |
| 問題発生後の調査 | できる範囲が限られる場合がある | 原因や広がった範囲を調べやすい |
ウイルス対策ソフトが建物の鍵だとすれば、EDRは建物の中を見守る防犯カメラや警備員に近い役割です。
どちらか一方だけを使うとは限りません。会社では、入り込む前に防ぐ対策と、入り込まれたあとに備える対策を組み合わせることがあります。
なお、最近のセキュリティ製品には、ウイルス対策とEDRの機能をまとめたものもあります。そのため、製品によっては機能が重なる場合があります。
EDRとEPPの違い
EPPは「Endpoint Protection Platform」の略です。パソコンやサーバーへ攻撃が入り込むのを防ぐための仕組みです。
EPPは、危険なファイルを止めるなど、攻撃が入る前の対策を得意としています。
EDRは、入り込まれた可能性がある場合に、異常を見つけて調査や対応を助けます。
| 項目 | EPP | EDR |
|---|---|---|
| 主な目的 | 攻撃が入るのを防ぐ | 入り込まれたあとの異常を見つける |
| 主な機能 | 危険なファイルの実行を防ぐ | 動きを記録し、異常を見つけて対応する |
| 使われ方 | EDRと組み合わせることがある | EPPと組み合わせることがある |
初心者向けには、EPPは「入り込む前に防ぐ仕組み」、EDRは「入り込まれたあとも見つけて対応する仕組み」と考えると分かりやすいでしょう。
ただし、実際の製品では、EPPとEDRの機能が重なることがあります。怪しい動きを自動で止めるなど、防御と対応の両方を行う製品もあります。
最近では、EPPとEDRの両方の機能を一つにまとめた製品も増えています。
EDRとMDRの違い
MDRは「Managed Detection and Response」の略です。
セキュリティの監視や調査、対応を、専門の会社や担当者に任せるサービスです。
EDRは、端末を監視するための製品や仕組みです。MDRは、EDRなどの製品を使い、専門家が監視や対応を行うサービスです。
| 項目 | EDR | MDR |
|---|---|---|
| 種類 | 製品や仕組み | 専門家によるサービス |
| 主な役割 | 端末の動きを記録し、異常を見つける | 通知を確認し、調査や対応を支援する |
| 主な対象 | パソコンやサーバーなどの端末 | 端末のほか、メールやネットワークなどを含む場合がある |
| 向いている組織 | 社内に通知を確認できる担当者がいる | 社内の担当者が少ない |
EDRを導入しても、通知を確認する人がいなければ、十分に活用できない場合があります。
社内に専門の担当者が少ない企業では、MDRを利用することがあります。
なお、MDRが見る範囲はサービスによって異なります。EDRだけでなく、メール、ネットワーク、クラウドなどをまとめて監視する場合もあります。
EDRとXDRの違い
XDRは「Extended Detection and Response」の略です。
パソコンだけでなく、メールやネットワークなどの情報もまとめて調べる仕組みです。
EDRは、主にパソコンやサーバーなどの端末を見守ります。XDRは、より広い範囲の情報を組み合わせて異常を見つけます。
| 項目 | EDR | XDR |
|---|---|---|
| 主な対象 | パソコンやサーバー | 端末、メール、ネットワークなど |
| 確認する範囲 | 端末を中心に確認する | 複数の場所をまとめて確認する |
| 特徴 | 端末の動きを詳しく調べる | 端末やメールなどの情報をまとめて調べる |
XDRがEDRより必ず優れているという意味ではありません。
企業の規模や管理する範囲によって、必要な仕組みは異なります。
EDRを導入するメリット
怪しい動きに早く気付きやすくなる
EDRは、端末の動きを継続して記録します。
そのため、人が一台ずつ確認するよりも、異常に気付きやすくなります。
問題の広がりを抑えやすくなる
異常が疑われる端末を早く隔離すれば、ほかの端末へ問題が広がるのを抑えやすくなります。
原因や影響した範囲を調べやすい
端末の記録が残っているため、問題が始まった時間や原因を調べやすくなります。
どの端末やファイルに問題が広がったかを確認し、必要な対応を決めるためにも役立ちます。
ランサムウェア対策の一つになる
ランサムウェアとは、ファイルを使えない状態にして、元に戻す条件として金銭などを要求する不正なプログラムです。
EDRは、多くのファイルが短時間で変更されるなど、不自然な動きを見つけるために使われます。
ただし、EDRだけですべてのランサムウェアを防げるわけではありません。データのバックアップやソフトの更新など、ほかの対策も必要です。
EDRを導入するデメリットと注意点
導入や運用に費用がかかる
EDRの利用料金は、端末の台数や製品の機能によって異なります。
製品の費用だけでなく、通知の確認や設定を行うための人や時間も必要です。
ここでいう運用とは、EDRの通知を確認し、設定を見直し、必要な対応を続けることです。
通知を確認して判断する人が必要になる
EDRが怪しい動きを見つけても、それだけで問題がすべて解決するとは限りません。
通知された内容を確認し、隔離や調査などの対応を判断する必要があります。
正常な動きを異常と判断する場合がある
安全なプログラムの動きを、EDRが危険だと判断することがあります。
このように、安全な動きを誤って危険と判断することを誤検知といいます。
誤検知が多い場合は、設定を見直す必要があります。
端末に負担がかかる場合がある
EDRは端末の動きを監視するため、パソコンの処理に一定の負担がかかります。
ただし、負担の大きさは製品や端末の性能、設定によって異なります。
EDRだけですべての攻撃を防げるわけではない
EDRは、セキュリティ対策の一つです。導入するだけで、すべての危険を防げるわけではありません。
ソフトの更新、データのバックアップ、パスワードの管理、利用者への教育なども大切です。
EDRが使われる場面
会社で使うパソコンの管理
社員が使うパソコンにEDRを導入し、怪しい動きがないかを見守ります。
在宅勤務や外出先で使うパソコンの管理に利用されることもあります。
サーバーを狙った攻撃への対策
会社のサービスや業務を支えるサーバーにも、EDRが使われます。
サーバーに問題が起きると影響が大きくなりやすいため、早い発見と対応が重要です。
ランサムウェアへの備え
ファイルの大量変更などを見つけ、問題が広がる前に端末を隔離する目的で使われます。
問題が起きたあとの調査
端末の記録を確認し、いつ、どこから問題が始まったのかを調べます。
同じ問題をくり返さないための対策を考えるときにも役立ちます。
EDRが必要になりやすい企業や組織
EDRは、すべての会社に同じ形で必要になるわけではありません。
特に、次のような企業や組織では、導入を検討する価値があります。
- 多くのパソコンやサーバーを使っている
- 個人情報や重要な業務情報を扱っている
- システムが止まると大きな影響が出る
- 社外に持ち出すパソコンが多い
- 在宅勤務を行っている
- 問題が起きたあとの調査に備えたい
社内にセキュリティの担当者が少ない場合は、EDRだけでなく、MDRなどの支援サービスを組み合わせる方法もあります。
EDRについて初心者が間違えやすい点
EDRはウイルス対策ソフトとまったく同じではない
どちらも端末を守るものですが、中心となる役割は同じではありません。
ウイルス対策ソフトは、危険なものが入るのを防ぐ役割を得意としています。EDRは、入り込まれたあとの発見や調査、対応も助けます。
ただし、現在の製品では両方の機能が重なることもあります。
EPPは侵入前、EDRは侵入後だけとは限らない
初心者向けには、EPPは侵入前、EDRは侵入後と説明されることが多くあります。
ただし、実際の製品では、EDRが怪しい動きを自動で止める場合もあります。EPPとEDRが一つの製品にまとまっていることもあります。
EDRを入れるだけで安全になるわけではない
EDRの通知を確認し、必要な対応を行う体制が必要です。
導入後の設定や運用方法も重要になります。
EDRは攻撃を必ず自動で止めるわけではない
製品や設定によっては、怪しい動きを通知するだけの場合もあります。
どこまで自動で対応するかは、導入する製品の機能を確認する必要があります。
MDRはEDRだけを運用するサービスとは限らない
MDRは、EDRの通知を確認するだけのサービスではありません。
サービスによっては、メール、ネットワーク、クラウドなどもまとめて監視し、調査や対応を支援します。
EDRにはセキュリティ以外の意味もある
EDRは、自動車に搭載されるイベントデータレコーダーを指す場合もあります。
イベントデータレコーダーは、事故の前後に車の速度やブレーキの状態などを記録する装置です。
この記事で説明しているEDRは、パソコンやサーバーを守るセキュリティ分野のEDRです。
EDRに関するよくある質問
EDRは個人のパソコンにも必要ですか？
一般的な個人利用では、WindowsやmacOSなどのOSを最新の状態に保つことが基本です。
OSとは、パソコンを動かすための基本ソフトです。
信頼できるウイルス対策機能を使い、必要な更新を続けることも大切です。EDRは、多くの端末を管理する企業や組織で使われることが多い仕組みです。
EDRだけでウイルス対策は十分ですか？
EDRだけですべての攻撃に対応できるわけではありません。
危険なものが入るのを防ぐ対策、データのバックアップ、ソフトの更新、パスワード管理などを組み合わせることが大切です。
EDRはランサムウェアにも効果がありますか？
EDRは、ランサムウェアに見られる不自然な動きを見つけ、端末を隔離するために役立ちます。
ただし、すべてのランサムウェアを必ず防げるわけではありません。
EDRとウイルス対策ソフトは併用できますか？
併用できる製品は多くあります。また、両方の機能を一つにまとめた製品もあります。
ただし、製品の組み合わせによっては動作に影響する場合があります。提供元の案内を確認することが大切です。
EDRを導入するとパソコンが重くなりますか？
端末を監視するため、一定の負担がかかる場合があります。
実際の影響は、EDR製品の種類、設定、パソコンの性能によって異なります。
EDRの監視は人が行うのですか？
端末の記録や異常の検知は、EDRが自動で行います。
ただし、通知内容の確認や対応の判断には、人の作業が必要になることがあります。
EDRとMDRはどちらを選べばよいですか？
EDRは端末を監視するための製品や仕組みで、MDRは専門家による監視や対応のサービスです。
社内でEDRを運用できる場合は、EDRを中心に利用できます。担当者が少ない場合は、MDRを組み合わせる方法があります。
EDRとXDRはどちらが優れていますか？
どちらが必ず優れているとは限りません。
端末を中心に詳しく見たい場合はEDRが適しています。メールやネットワークなどもまとめて確認したい場合は、XDRが合うことがあります。
まとめ｜EDRとは端末の異常を見つけて対応を助ける仕組み
EDRとは、パソコンやサーバーの動きを記録し、怪しい動きを見つけて、調査や対応を助けるセキュリティの仕組みです。
ウイルス対策ソフトやEPPは、危険なものが入るのを防ぐ役割を得意としています。EDRは、入り込まれたあとの発見や調査にも役立ちます。
ただし、現在の製品では、EPPとEDRの機能が重なることもあります。両方の機能を一つにまとめた製品もあります。
MDRは、EDRなどを使って専門家が監視や対応を行うサービスです。端末だけでなく、メールやネットワークなどを対象にする場合もあります。
EDRを導入すると、異常への早い気付きや、端末の隔離、原因の調査がしやすくなります。
ただし、EDRだけですべての攻撃を防げるわけではありません。通知を確認する体制や、ほかのセキュリティ対策との組み合わせも考えることが大切です。