EDR / 概念と主な機能
EDR（Endpoint Detection and Response、エンドポイントでの検知と対応）は、PCやサーバーの活動を収集・分析して脅威を見つけ、調査や端末隔離などの対応を支援するセキュリティ機能です。ファイル単体の悪性判定だけでなく、プロセス、通信、変更履歴を結び付け、何が起き、影響がどこまで及んだかを把握します。
EDRの役割とウイルス対策との違い
エンドポイントとは、従業員のPCやノートパソコン、業務サーバーなど、データやプログラムが実際に使われる端末です。EDRは通常、端末のセンサーまたはエージェントと集中管理・分析機能を組み合わせます。対応OSやサーバー・仮想環境の対象範囲は、製品と契約で確認します。
ウイルス対策はマルウェアの実行防止と遮断、EDRは端末活動の可視化と侵害の調査・対応を中心に理解するとよいでしょう。ただし、現代のウイルス対策も振る舞い分析やクラウド分析を使うため、「ウイルス対策はシグネチャだけ、EDRは振る舞いだけ」という区別は正確ではありません。両機能を統合した製品もあります。Microsoftのエンドポイント保護機能の説明でも、次世代ウイルス対策とEDRを区別しながら併用しています。
例えばPowerShellは正規の管理ツールですが、文書アプリから予期せず起動し、見慣れない宛先と通信した場合は調査する理由になります。プログラム名だけでなく、実行パス、コマンドライン、アカウント、その後の活動を確認します。この組み合わせだけで侵害が確定するわけではありません。
どのような情報を収集・関連付けするのか
セキュリティ分析のために収集する活動データをテレメトリと呼びます。以下は代表例であり、すべての製品がすべての端末で同じ項目を記録するとは限りません。
- プロセス：実行ファイルのパス、実行時刻、コマンドライン、親子関係を確認します。プロセスツリーは、どのプログラムが別のプログラムを起動したかを示します。
- ファイル：作成・変更・実行やファイルハッシュから、不審なファイルと影響を受けたパスを追跡します。ハッシュはファイルの識別・比較に使う値であり、値だけで悪性が証明されるわけではありません。
- ネットワーク：プロセスと接続先アドレス・ポートなどを関連付けて通信を調べます。接続記録があっても、通信内容の全体や流出データまで分かるとは限りません。
- システム変更：Windowsレジストリや自動起動設定など、継続実行に関わる変更を調査できます。収集項目はOSによって異なります。
- アカウント活動：ログインや実行アカウントの情報を他の活動と関連付けます。組織全体の認証・メール記録には別のログや製品連携が必要な場合があります。
時系列のタイムラインとプロセスツリーを併せて見ると、最初の実行とその後の変更を区別しやすくなります。ただし、MicrosoftのEDR概要も、あらゆる操作を記録する監査ログではないと明記しています。必要な証拠が見えない場合は正常と断定せず、収集設定、センサーの状態、保存期間、追加ログを確認します。
検知・調査・対応の主な機能
製品によって名称は異なりますが、通常は以下の機能を組み合わせます。自動対応の可否、承認手順、実行できる操作はOS、ライセンス、ポリシーによって変わります。
- 検知と優先順位付け：振る舞いや脅威情報からアラートを生成します。関連するアラートを一つのインシデントにまとめると、複数端末の影響を調査しやすくなります。深刻度が高くても、証拠の確認は必要です。
- 調査と探索：タイムライン、プロセスツリー、検索で原因と範囲を確認します。同じファイルハッシュや通信先が別の端末に存在しないか調べる脅威ハンティングにも利用できます。
- 封じ込め：端末のネットワーク隔離、特定プロセスの停止、ファイル隔離などが可能です。ファイル隔離は実行を防ぎ、端末隔離はネットワーク通信を制限するため、対象と影響が異なります。
- 対応の記録：誰が何を要求し、成功・失敗・保留のどの状態なのかを記録します。ボタンを押したことや自動ポリシーの発動と、操作の完了を区別する必要があります。
端末隔離は拡散を抑える一方、リモート接続や業務サービスも停止させる可能性があります。管理サービスとの通信を維持する仕組み、仮想プライベートネットワーク（VPN）やプロキシ環境の制約、隔離解除手順を確認してください。詳細はMicrosoftの端末対応操作の案内など、対象製品の文書で確認します。
不審な文書のアラートを調査する例
以下は、文書アプリがスクリプトツールを起動し、外部アドレスと通信したという架空のアラートを調査する流れです。実際の侵害報告や製品試験の結果ではなく、承認されたインシデント対応手順に合わせて適用します。
- 対象と時刻を確認します。端末、利用者、アラートの時刻とタイムゾーンを記録し、センサーが最新データを送っているか確認します。同名の別端末を調べないよう、端末識別子も照合します。
- 実行の文脈を結び付けます。文書を開いたアプリ、子プロセス、コマンドライン、通信先をタイムラインで確認します。利用者の操作や管理変更履歴と照合して正規の自動処理か判断し、不審なファイルを業務PCで直接実行しません。
- リスクに応じて封じ込めます。悪性活動が続く場合や拡散リスクが高い場合は、担当者が業務影響を判断して隔離などを選択します。必要な証拠を確保し、操作の結果と失敗理由を確認します。
- 影響範囲を広げて調べます。同じファイル、宛先、振る舞いを他の端末で検索し、認証やメールの記録も関連付けます。ある端末にアラートがないだけで、アカウントや他のシステムまで安全だとは結論付けません。
- 復旧と再発を確認します。原因除去、必要な更新やアカウント対応、復旧検証を終えてから、承認手順に従って隔離を解除します。サービスの動作と追加アラートを確認し、判断根拠を記録します。
必要な成果は「アラートを閉じた」という表示だけではありません。確認した証拠、影響を受けた端末・アカウント、実施した操作、残る不確実性を整理し、次の担当者が対応を引き継げるようにします。
EDRでは解決できない問題と運用上の限界
センサーの未導入・停止、接続障害、短い保存期間は調査の空白を作ります。正常な管理作業がアラートになったり、攻撃を見逃したりする場合もあります。過剰な除外は可視性を下げるため、範囲、理由、見直し期限を管理します。
端末隔離やファイル削除は、流出データを取り戻したり暗号化ファイルを自動復元したりするものではありません。EDRはパッチ、最小権限、多要素認証（MFA）、バックアップの代わりにはなりません。CISA・FBIなどのランサムウェア対策ガイド（PDF）も、分離したバックアップ、復旧試験、対応計画を推奨しています。
アラートを調査して判断する担当者も必要です。内部の人員が不足する場合は、外部のマネージド検知・対応（MDR、Managed Detection and Response）サービスを検討できます。監視時間、操作権限、引き継ぎ、復旧責任は契約で区別し、EDR製品の購入に運用サービスまで含まれると考えないでください。
導入前に確認する基準
製品一覧や検知率の宣伝よりも、組織で実際に運用できるかを確認します。承認された小規模な試験環境で以下を検証すると、導入後の空白を減らせます。
- 対象範囲：PC・サーバーの一覧と対応OS・バージョンを照合します。導入済みかだけでなく、センサーの正常性と最終通信時刻を確認します。
- 業務影響：実際の業務アプリと併用し、CPU・メモリ・ディスク使用量、遅延、競合を確認します。他のセキュリティ製品との共存条件も調べます。
- 調査データ：収集項目、検索・保存期間、エクスポート方法、既存ログとの連携を確認します。コマンドラインや利用者情報が含まれる場合があるため、閲覧権限と保存場所も検討します。
- 操作権限と復旧：隔離・停止の承認者と重要サーバーの扱いを定めます。メーカーの安全な試験方法で、アラート生成、通知、操作状態の確認、隔離解除まで点検します。
- 運用費用：ライセンスだけでなく、アラート確認の人員、教育、追加ログ保存、外部サービスの費用も計算します。担当者と引き継ぎ手順があってこそ検知が対応につながります。
