LANSCOPE サイバープロテクションブログ

セキュリティ

EDRとは？なぜ必要？ウイルスソフト（EPP）との違いや機能・選び方をわかりやすく解説

EDR（Endpoint Detection and Response）とは？
EDRは、ウイルス対策ソフト（EPP）と何が違うのか？
EDRで脅威に対応する、主な流れ（仕組み）
なぜ、組織のセキュリティ対策に「EDR」が必要なのか？
EDRの市場規模は右肩上がりで成長
EDRとNDR・XDRの違い
失敗しない、EDR選びのポイント
運用コストが少ないEDR「CylanceOPTICS」とは
まとめ

この記事を読めば、セキュリティソリューション「EDR」に関する概要や機能を、網羅的にわかりやすく理解することができます。

EDRとは、企業や組織の所有する

PC
サーバー
スマートフォン
プリンター

といった「エンドポイント」内にて、悪質なマルウェアや脅威を検知し、サイバー攻撃の早期対応を実現するための、セキュリティソリューションです。

※エンドポイント…通信ネットワークに接続された、末端端末や機器のこと

万一、PCにウイルスが侵入した場合も、EDRであれば侵入後のウイルスを発見し、速やかにセキュリティ担当者へ通知が飛び、隔離・駆除・復旧を行うことができます。

▼「EDR」について知っておきたいポイント

近年の高度なサイバー攻撃対策には、EDRの導入が必要不可欠である
ウイルス対策ソフト（EPP）で防御しきれなかった攻撃を、カバーするのが「EDR」である
「EDRの市場規模」は、右肩上がりで増加している
EDR製品を選ぶ際は、検知精度・使用できる機能・操作性などを網羅的に判断する
EDRの自社運用が厳しい場合、運用代行サービスが付属する製品（MDR）を選ぶと良い

本記事では「EDR」に関する主な機能や重要性、選定ポイントまで、知っておきたい情報をわかりやすくお伝えします。

また、エムオーテックス（MOTEX）では、情シス1,000名を対象とした「EDRの利用実態調査」を実施しました。EDR導入率など、役立つ情報をまとめています。ぜひご活用ください。

EDR（Endpoint Detection and Response）とは？

改めて、EDR（Endpoint Detection and Respons）とは、エンドポイント（PCやスマートフォンなどの端末）における不正な活動を速やかに検知・セキュリティ監視者へ通知し、サイバー攻撃の侵入にいち早く対処するための、セキュリティーソリューションを指します。

「エンドポイント」のセキュリティ対策は、大きく以下の2種類にわけられます。

1．攻撃の侵入を「ブロック」する役割（EPP、ウイルス対策ソフト）
2．侵入した攻撃を検知し、駆除などの対応をする役割（EDR）

▼EDRの検知～復旧の流れ EDRの脅威検知から復旧までの流れの図

サイバー攻撃の「侵入後」対策であるEDRを、「侵入前」対策のEPPと組み合わせることで、強力なエンドポイントセキュリティの体制を構築できます。

▼EDR活用の例

とある組織の従業員が、Webサイトより「無料のファイル」をダウンロードした。そのファイルにはマルウェア（ウイルス等）が仕掛けられており、知らず知らずのうちに、PCがマルウェアへ感染してしまった。

しかし組織では「EDR」を導入していたため、侵入したマルウェアの異常な挙動を、EDR機能で検知し担当者へ通知。速やかに隔離対応を行えたので、被害を最小限に出来た。

EDRは、ウイルス対策ソフト（EPP）と何が違うのか？

皆さんがよく連想する、セキュリティツールと言えば「ウイルス対策ソフト」ではないでしょうか？

今回テーマとなる「EDR」と、「ウイルス対策ソフト（=EPP）」は、共にエンドポイントセキュリティに分類されるソリューションです。

EDRと、ウイルス対策ソフト（=EPP）の明確な違いは、それぞれの「守る対象範囲」にあります。

ウイルス対策ソフト（=EPP）は、外部から仕掛けられた攻撃やマルウェアを、内部に侵入させないよう、防御するのが役割です。

一方のEDRは、エンドポイントに侵入した後の脅威を検知し、被害が最小限に収まるよう、駆除や隔離などの対応を行うのが主な機能となります。

両者の詳しい違いについては、以下の記事もご参考ください。

EDRで脅威に対応する、主な流れ（仕組み）

EDRでは、エンドポイントに侵入した「マルウェア」等の脅威に対し、次の4つのステップにて対応を行えます。

1．検出（検知）
2．封じ込め

3．調査
4．復旧

EDRの脅威検知から復旧までの流れの図

1．検知：EDRは、エンドポイントのログを収集し、サーバで解析して、マルウェアや不審な挙動を検出。検出した脅威は、アラートにて管理者へ通知されます。

2．封じ込め：感染したエンドポイントは、ネットワークから切り離し、マルウェアの拡散を阻止・EDRを使えば、遠隔でエンドポイントを隔離することもできます。

3．調査：収集したログから、マルウェアの種類や侵入経路、影響範囲を調査・特定します。

4．復旧：感染したファイルやアプリケーションを削除し、マルウェアの駆除を実施。元通りの状態へ復旧します。

なぜ、組織のセキュリティ対策に「EDR」が必要なのか？

近年のエンドポイントセキュリティに「EDR」が欠かせない理由として

1．すべてのサイバー攻撃の侵入を防ぐことは、不可能だから
2. サイバー攻撃被害の大半が「エンドポイント」を起点に発生しているから

の2点が挙げられます。

1. すべてのサイバー攻撃の侵入を防ぐことは、不可能だから

これまでのセキュリティ対策では、「脅威を侵入前に全てブロック」するという考え方が一般的でした。

しかし、近年の巧妙化したサイバー攻撃に対し「攻撃を100%防ぐことは、事実上不可能」というのが、昨今セキュリティ業界の共通認識となっています。

そこで、攻撃を100％防げないことを前提に、エンドポイントへ侵入後でも対策が行える、「EDR」の注目が高まっているのです。

アンチウイルスソフトで取りこぼした脅威も、EDRを活用すれば、侵入後に駆除や隔離を行うことができます。

2．サイバー攻撃被害の多くが「エンドポイント」を起点に発生しているから

多くのサイバー攻撃が、PCやスマートフォンといった「エンドポイント」を起点として行われていることも、EDRを導入すべき大きな理由です。

例えば、不正なメールやWebサイトを閲覧してマルウェアに感染する、マルウェアを含む無料のアプリやソフトウェアをダウンロードしてしまうなどの被害は、すべてエンドポイントを中心に起きているものです。

いま話題の「ランサムウェア攻撃」も、その大半が「エンドポイント」を狙ったものである等、組織のセキュリティ対策において「エンドポイントセキュリティ」は必須事項であり、強固なエンドポイントセキュリティには「EDR」と「EPP（ウイルス対策ソフト・アンチウイルス・NGAV等）」の併用が欠かせません。

EDRの市場規模は右肩上がりで成長

エンドポイントセキュリティの対策ニーズの高まりから、EDRの市場規模は、大企業から中堅企業を中心に拡大しています。

株式会社アイ・ティ・アールが発表した「マネージドEDRサービス市場規模推移および予測」によれば、EDR市場は2019年より右肩上がりで成長。2025年には186億円に達すると予測しています。

▼マネージドEDRサービス市場規模推移および予測（2019～2025年度予測）

出典：日本経済新聞│ ITR、国内のマネージドEDRサービス市場規模推移および予測を発表

「マネージドEDRサービス」とは、EDR運用を専門の外部パートナーへ委託するセキュリティサービスです。「MDR」とも言います。

「自社でのEDR運用が困難だが、EDRの導入はしたい」という企業を中心に、昨今MDRを導入する組織も増えてきました。MDRの詳細については、下記の記事もご参考ください。

EDRとNDR・XDRの違い

EDRと、しばしば比較されるセキュリティツールに「NDR」があります。

EDRとNDRは、ともに「脅威が侵入すること」を前提とし、侵入後の脅威を「検知」「対応」する点で共通しています。

両者の違いは、EDRが「エンドポイント」を、NDRが「ネットワーク」を対象としたセキュリティツールである点にあります。

▼NDRとEDRの違い
EDRとNDRの機能の比較表

EDRとNDRは、どちらかが秀でているものではなく、両者を導入することで最大のパフォーマンスを発揮できるものです。ただし、両方の導入が難しいという場合、自社のニーズとセキュリティ環境に沿って、より最適なソリューションを選択するのがおすすめです。

また、EDRやNDRを包括し、あらゆるレイヤー（エンドポイント・システム・ネットワーク・クラウド等）にて、脅威情報の収集や分析をし、スピーディーに攻撃へ対処する「XDR」というセキュリティ概念も、注目されています。

EDR・NDRを含む、網羅的なセキュリティ体制を構築する「XDR」を実現できれば、あらゆる高度なサイバー攻撃に対し早期検知・対応・より詳細な分析などを行えるようになります。

失敗しない、EDR選びのポイント

EDRの導入で失敗しないためには、あらかじめ自社の要件を明らかにし、目的に沿ったEDRソリューションを選択することが重要です。

▼ EDRを選ぶ際、基準にすべきポイント例

「操作性」はわかりやすいか
「検知精度」は高いか（誤検知は少ないか）
検知した攻撃に対し「隔離・駆除」といった対応が行えるか
検知した攻撃の、「詳細な分析」が行えるか
「運用サポートや支援」が受けられるか
「マネージドサービス（代理運用）」が付属しているか

仮にEDRの運用をインハウスで行うなら、「EDRの操作性のわかりやすさ」はとても重要です。

自社で問題なく操作できるか
万一、脅威を検知した際、自社でEDRを用いて対処できるか

といった観点から、操作性のわかりやすい製品を選ぶと良いでしょう。

「そもそも社内でEDR運用が難しい」という方は、EDR製品に運用監視サービスを付属できる、「マネージドサービス」付のEDR（MDR）がおすすめです。

運用コストが少ないEDR「CylanceOPTICS」とは

万が一に備えてEDRは導入したいけれど、管理工数を割きたくない
なるべく低価格なEDRを導入したい

そんな情シス・セキュリティ担当者様におすすめしたいのが、LANSCOPE サイバープロテクションが提供する、お手軽EDR「 Cylance OPTICS（サイランスオプティクス）」です。

Cylance OPTICSは、EPP製品「 Cylance PROTECT 」のオプションとして導入するEDRのため、通常の製品より安価な導入が可能です。

また、EPPとEDR機能を同時に導入できるため、エンドポイントを侵入前後でより強固に対策することができます。

未知のマルウェアでも99％予測検知と隔離ができる次世代型アンチウイルス「CylancePROTECT」と連動させることで、AIによる高い精度での脅威の検知、調査、封じ込め、復旧まで一連の対応が行なえます。

まとめ

エンドポイントのセキュリティソリューション、「EDR」に関して解説いたしました。

本記事の要点は下記の通りです。振り返り用にご利用ください。

▼本記事のポイント

EDRは、エンドポイントに侵入したマルウェア・不審な挙動などを検知し、隔離や駆除・復旧までを行えるセキュリティ製品
ウイルス対策ソフト（EPP）をすり抜け、PCやスマートフォンに侵入した攻撃を、EDRで発見し対応できる
昨今の巧妙化したサイバー攻撃に対し、全ての侵入を防御するのは不可能。そこで「侵入後」の脅威へアプローチできる「EDR」が必要
ウイルス対策ソフト（EPP）とEDRは、同じエンドポイントセキュリティだが、EPPが「侵入前」・EDRが「侵入後」のセキュリティを担う
EDRとNDRは「侵入後」の脅威検知を行う点で共通だが、EDRが「エンドポイント」・NDRが「ネットワーク」のセキュリティを担う
EDRの自社運用が困難な組織向けに、EDRの運用代行サービス「MDR（もしくはSOCサービス）」が存在する
EDR選定時は、メイン機能の「検知精度」に加え「操作のしやすさ」「隔離や分析などの機能内容」「MDRの有無」などに注目する

エンドポイントへのセキュリティ対策は、企業にとって欠かせない存在です。そしてエンドポイントのセキュリティ構築には、ウイルス対策ソフト（EPP）とEDRを併用し、エンドポイントの「侵入前」「侵入後」両方の脅威に対応する必要があります。も

本記事が、皆様の「EDR」理解に少しでもお役に立てれば幸いです。

「まだEDRの導入を行っていない」「EDRの導入に悩んでいる」という方は、下記の「情シス1,000人に聞いた『EDR利用実態調査』もぜひご覧ください。EDR導入に関する、リアルな本音や導入率がわかります。

Written by Fumi

Webコンテンツディレクタープロフィール：Webライター・編集者を経て現在はディレクターに携わる。扱っているコンテンツは主にSEO記事、ホワイトペーパー、自社メディア。マーケティング・DX系を中心に執筆中。