>
>
公開日
最終更新日
EDRは、ウイルス対策ソフトだけでは防ぎきれない侵入を前提に、端末上の行動を記録・分析して被害拡大を抑える仕組みです。対象はPCだけではなく、サーバーや仮想環境など、業務で利用するエンドポイント全体に及びます。
一方で、EDRを導入しただけで監視や復旧が自動的に完結するわけではありません。アラートの優先順位付け、端末隔離の承認、影響調査、経営層への報告といった運用設計が伴わなければ、担当者の負荷だけが増えることがあります。アンチウイルスを含む既存対策との役割分担も整理しながら、自社で運用する範囲と外部へ委託する範囲を判断することが必要です。
ここでは、専任のセキュリティ担当者が限られる情シス部門を主な読者として、EDRの基礎から導入判断までを実務の順番に沿って説明します。
EDRとは
EDRとは、端末への侵入後に発生する不審な活動を継続して可視化し、検知、調査、封じ込め、復旧を支援する仕組みです。
本記事のポイント
導入検討の最初に確認する3項目：①保護対象の端末・OS・台数、②夜間・休日のアラート対応可否、③端末隔離を承認できる責任者の有無。この3点が決まっていない段階では、製品の価格比較より先に体制設計を優先します。
EDRは侵入を完全に防ぐ製品ではなく、侵入後の被害拡大を抑える対策です。
EPPとEDRは排他的ではなく、侵入前と侵入後を補い合う関係です。
EDRの費用は製品ライセンスだけでなく、アラート監視と初動対応の運用費まで含めて比較します。
専任者が常時監視できない場合は、MDRを含めた体制設計が導入成否を左右します。
エンドポイントの対象範囲
エンドポイントとは、組織のネットワークやクラウドサービスに接続するPC、ノートPC、サーバー、仮想マシンなどの端末です。テレワーク端末や拠点外で使うPCも、攻撃者が業務システムへ侵入する足掛かりになり得るため、管理対象から外せません。
EDRでは、端末内で起きたプロセス実行、ファイル作成・変更、レジストリ操作、コマンド実行、外部との通信などを収集します。管理者は、単発の検知だけでなく、「どのユーザーが、どのファイルを起点に、どの端末へ影響を広げたか」という攻撃の流れを追跡できます。
侵入後対策としての役割
EDRの中心的な役割は、侵入後の異常を早く見つけ、横展開前に端末を隔離できる状態をつくることです。
攻撃者は、正規の認証情報やPowerShellなどの管理ツールを悪用し、マルウェアのファイルだけでは判定しにくい攻撃を行います。EDRは、既知の不正ファイルの照合に加え、通常と異なるプロセス連鎖や不自然な通信といった振る舞いを手掛かりに調査します。AIや機械学習を使う製品もありますが、検知方式や自動対応の範囲は製品・契約プラン・設定によって異なります。
検知から対応までの機能
EDRは、端末の活動記録を基に、インシデント対応の初動を短縮する機能群です。
機能 | 実務で行うこと | 確認すべき範囲 |
|---|---|---|
常時監視・ログ収集 | プロセス、通信、ファイル操作などを記録します。 | 保存期間、検索性、対象OSが要件を満たせば調査基盤として利用します。 |
振る舞い検知 | 不審なコマンド実行や暗号化処理などを検知します。 | 検知ルールの調整権限と誤検知時の扱いを定義できれば、担当者ごとの判断差を抑えられます。 |
端末隔離 | 感染が疑われる端末の通信を制限します。 | 隔離後に許可される通信と自動隔離条件を定め、条件を満たさない端末は承認後隔離にします。 |
調査・フォレンジック | 侵入経路、実行履歴、影響範囲を追跡します。 | ログの粒度、検索担当者、証跡の出力方法を定められれば、報告手順へ組み込みます。 |
復旧支援 | 不正プロセス停止やファイル隔離などを実行します。 | 自動化、ロールバック、OSごとの差を限定検証で把握し、対象外の端末は別手順で扱います。 |
端末隔離、ファイル削除、ロールバックはすべてのEDRに共通する機能ではありません。業務停止の影響が大きい端末では、隔離を自動実行する条件と、誰が解除判断を行うかを導入前に決めます。
▶ 関連記事: MSSとは？MDR・SOCとの違いや選定ポイントを比較解説
EDRが必要とされる背景
EDRが注目される理由は、端末対策が「侵入を防ぐ」だけでは完結せず、侵入後の発見と対応時間が事業被害を左右するためです。
市場拡大の状況
国内のEDR市場とマネージドEDR市場はともに成長しており、製品導入だけでなく監視運用を外部化する需要も伸びています。
ITRは2026年6月付のプレスリリースで、2024年度の国内EDR市場売上金額を352億4,000万円（前年度比13.3％増）と発表しています。同リリースはITR公式サイトで案内されており、国内43ベンダーへの調査に基づく実績と2029年度までの予測を含む市場調査レポートを根拠としています。なお、本記事執筆時点で同リリースの一次情報を直接参照できていないため、詳細はITR公式サイトで確認してください。ITRは、EDR製品と運用監視サービスをセットで提供する動きが中堅・中小企業での採用を後押ししていると説明しています。
市場規模の伸びは導入判断の根拠そのものではありません。利用端末数が少なくても、アラート確認を担う人がいなければ効果を発揮しにくいため、ライセンス比較と並行して対応時間帯と責任者を整理します。
基本対策と対応体制の差
中小企業では端末の更新やウイルス対策は進んでいる一方、緊急時の対応手順まで整備できているかは、企業ごとの体制によって差が出ます。
IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、発注元企業から情報セキュリティ対策を要請された経験がある企業を対象に、対策実施の課題を調べています。同調査は、費用負担や専門人材の確保・育成を課題として挙げる企業が多い状況を示しています。OS更新やウイルス対策の実施状況だけでは、緊急時の連絡、端末隔離、復旧判断まで機能するかは判断できません。
この差は、端末に製品を入れることと、攻撃を検知した後に組織として動けることが別の課題であることを示しています。EDR導入時は、連絡先、端末隔離の権限、バックアップからの復旧判断を同時に文書化します。
導入率と見直し需要
EDRは普及が進む一方で、導入後に運用負荷や適合性を理由として見直されることもあります。
キーマンズネットの2025年EDR調査記事は、従業員数1,001人以上の企業では66.7％、1万人超では72.2％がEDRを導入済みと回答した結果を紹介しています。調査の対象範囲、回答企業数、設問条件は同記事の調査概要で確認でき、他社の導入率と比較する際は同一条件の数値かどうかを同記事で照合します。
導入率だけを基準に製品を選ぶと、既存のID管理、メール、クラウドログとの連携や、担当者がアラートを処理できる時間を見落とします。自社の端末構成と対応体制を先に棚卸ししたうえで比較することが、乗り換えコストの抑制につながります。
EPP・NGAV・XDR・MDRとの違い
EDRは侵入後の検知と対応を担い、EPP、NGAV、XDR、MDRは防御範囲や運用形態が異なるため、目的別に組み合わせます。
エンドポイントセキュリティを検討する際は、製品名ではなく「侵入前」「侵入後」「組織横断」「運用代行」のどこを補うのかで整理すると判断しやすくなります。
区分 | 主な役割 | 主な対象範囲 | 情シスでの判断軸 |
|---|---|---|---|
EPP | 侵入前の予防とブロック | 主に端末 | マルウェア対策、リアルタイム保護、ポリシー管理を整えます。 |
NGAV | 未知の脅威を含む予防強化 | 主に端末 | 機械学習や振る舞い判定の実装範囲を確認します。 |
EDR | 侵入後の検知、追跡、封じ込め | 主に端末 | ログ、調査、隔離、初動対応を整えます。 |
XDR | 複数領域の相関分析と対応 | 端末、メール、ID、クラウド、ネットワークなど | 既存ツールから取得できるログと連携範囲を整えます。 |
MDR | 検知・分析・初動支援の運用代行 | 契約するEDRまたはXDRの監視範囲 | 監視時間、連絡方法、対応代行の境界を整えます。 |
EPPとの役割分担
EPPはリアルタイム保護を含む侵入前対策であり、EDRと併用することで予防と事後対応を補完します。
従来の説明では、EPPを静的なウイルス対策、EDRをリアルタイム監視と対比することがあります。しかし多くのEPPは、ファイルや通信をリアルタイムに監視し、不正な実行を遮断する機能を備えています。EPPにリアルタイム監視がないと一律に説明するのは不正確です。
違いは、監視の有無ではなく、侵入後の行動履歴をどこまで残し、攻撃経路や影響範囲を調査できるかにあります。EPPでブロックできなかった不審な操作を、EDRで時系列に追い、端末隔離や調査へつなげます。
NGAVとの機能境界
NGAVは、機械学習や振る舞い判定などを用いて未知のマルウェア対策を強化する、EPPの進化系として位置付けられます。
NGAVが採用する技術には製品差があります。機械学習、クラウド上の脅威分析、ファイルレス攻撃への対応、端末負荷の抑制などをすべての製品が同じ水準で提供するとは限りません。NGAVは実行前または実行時の阻止に強みを置き、EDRは侵入後の調査と対応を補う関係です。
NGAVの導入済み環境では、既存ライセンスにEDR機能が含まれているか、追加エージェントが必要かを確認します。端末に複数の保護エージェントを重ねる場合は、CPU使用率、競合、障害時の切り分け手順を限定検証で把握します。業務アプリとの共存が確認できれば導入候補として残し、競合や障害切り分けの負担が残る場合は統合型製品も比較対象に含めます。
XDRとMDRの位置付け
XDRは監視対象を広げる技術区分であり、MDRは監視・分析を担うサービス区分です。
XDRは、端末だけでは判断しにくい攻撃を、メールの添付ファイル、クラウドの認証履歴、ネットワーク通信などと相関して調べます。ただし、連携できるデータ源が少なければXDRの利点は限定されます。Microsoft 365やID基盤、メールセキュリティのログを連携できるならXDRを比較し、端末ログの監視から始める段階ならEDRとMDRの組み合わせを優先します。
MDRでは、SOCがアラートの監視、脅威の分析、一次切り分けを担います。SOCの役割と、実際に端末を隔離する権限を誰が持つかは異なります。サービスごとに、24時間365日の監視、通知までの時間、隔離の代行範囲、復旧作業の範囲を分けて比較します。
▲ エンドポイントセキュリティ製品・サービスの役割とカバー範囲の比較
EDR導入による実務上の効果
EDR導入の効果は、侵入そのものをゼロにすることではなく、横展開の阻止と原因調査にかかる時間を短縮することです。
横展開の抑止
感染端末を早期に論理隔離できれば、認証情報の悪用や共有フォルダ経由の横展開を抑えられます。
ランサムウェアなどの攻撃では、最初に侵入した端末だけでなく、管理者権限の奪取や他端末への移動が被害を大きくします。EDRのアラートを受けた際に、端末を隔離する担当者と判断基準が決まっていれば、ネットワーク全体の停止より先に、影響が疑われる端末へ対応できます。
ただし、自動隔離は誤検知時に業務端末を止める可能性があります。生産設備と連携する端末、会計締めなど停止できない業務端末では、まず通知のみで運用して検知の傾向を確認し、影響が限定的な端末群から隔離ポリシーを段階的に適用します。
調査工数の削減
EDRのプロセス履歴と通信履歴は、インシデント時に「何が起きたか」を手作業で集める時間を減らします。
ログが残っていない環境では、担当者が各端末からイベントログを回収し、時刻を突き合わせ、影響範囲を推測する必要があります。EDRのタイムライン機能や検索機能を利用できれば、調査の起点となるファイル、実行ユーザー、関連通信を一つの画面で追える場合があります。監査や社内報告に必要な証跡を出力しやすくなる点も利点です。
一方で、EDRはDLP、アクセス制御、暗号化、バックアップ、規程整備を置き換えません。情報漏えい対策やコンプライアンス対応では、EDRを証跡と初動対応の基盤として位置付け、ID管理やデータ保護施策と組み合わせます。
国内組織の導入事例
国内組織の事例では、端末規模に応じた展開と、運用工数を外部サービスで補う取り組みが確認できます。
組織 | 業種・規模 | 課題から施策まで | 公表された成果 |
|---|---|---|---|
国立環境研究所 | 国立研究開発法人・端末2,200台 | 政府の情報セキュリティ基準への準拠を目指し、CrowdStrike Falconを導入しました。 | 2,200台の端末へ導入しました。 |
ローツェ株式会社 | 半導体・FPD関連装置メーカー | 従来製品の運用負荷を見直し、CrowdStrike Falcon Completeへ乗り換えました。 | ITチームの社内工数を90％以上削減したとベンダー事例で紹介されています。 |
MDR導入企業（複数事例） | 企業名・規模は非公表 | 全PCの運用・監視体制をマネージドサービスで構築しました。 | 導入スケジュールを当初見込みより短縮できた事例がベンダー資料で紹介されていますが、詳細条件は各事例によって異なります。 |
いずれもベンダーが公表した個別事例であり、端末構成、運用分担、導入前の作業量が異なるため、同じ削減率を自社の効果として見積もる材料にはなりません。
事例の数値をそのまま自社の効果として見積もることはできませんが、導入効果を測る際は「月間アラート件数」「一次切り分け時間」「隔離判断から実行までの時間」「端末復旧までの時間」を導入前から記録します。
EDRのコストとMDR運用体制
EDRのコストは1端末あたり月額料金だけで判断せず、監視担当者の工数、初期設定、障害対応を含む総費用で比較します。
費用比較の条件と構成の考え方
EDRの料金は、端末数、保護対象OS、サーバー保護の有無、ログ保存期間、監視時間、MDRの対応範囲、最低契約数、年間契約の条件によって大きく変わります。単価を比較する前に、対象端末数とサービス範囲をそろえた見積もりを取得すると、初期費用や運用費を含む差を把握しやすくなります。
価格表や比較記事に端末単価が掲載されている場合でも、ライセンス範囲、ログ保存、夜間休日の監視、一次分析、隔離代行、復旧支援が含まれるかは同じではありません。特にMDRやXDRでは、対象データ源やログ取り込み量で費用構造が変わります。単価だけで横並びにせず、同じ端末構成と対応時間帯を前提に総費用を比較します。
費用区分 | 比較方法 | 費用に含まれやすい内容 | 見積もり時の確認項目 |
|---|---|---|---|
EPP | 保護対象端末と契約期間をそろえて比較 | マルウェア対策、リアルタイム保護、管理コンソール | サーバー料金、更新費、保守範囲を分けます。 |
EDR | 端末保護とログ保存の条件をそろえて比較 | 端末監視、ログ収集、検知、調査支援 | ログ保存期間、隔離機能、対象OSを分けます。 |
EDRとSOC・MDR | 監視時間と初動支援の範囲をそろえて比較 | 監視、一次分析、通知、サービスによって初動支援 | 夜間休日の対応、隔離代行、復旧支援を分けます。 |
XDR | 連携するログと取り込み量をそろえて比較 | 複数セキュリティ領域の相関分析 | 連携対象の追加費用、ログ取り込み量を分けます。 |
見積もりでは、ライセンス費に加えて、初期設計、端末展開、監視担当者の人件費、インシデント時の調査支援費用を分けて計上します。端末数だけを基準に予算化すると、夜間連絡や隔離判断に必要な運用費を見落としやすくなります。
自社運用とMDRの判断
アラートを営業時間外も確認できず、詳細調査を担う人員がいない場合は、MDRを含めて比較する判断が現実的です。
IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」は、発注元企業からセキュリティ対策を要請された経験がある企業511社を対象に、「対策費用（具体的な対策と費用）の用意、費用負担の検討」を課題に挙げた割合は51.3％、「専門人材の確保・育成」は32.9％だったと集計しています。ライセンス単価を抑えても、アラート分析を担当者が兼務で抱え込み、対応が翌営業日になるなら、侵害後対策としての価値が下がります。
自社内に、アラートを一次判定できる担当者、端末隔離を承認できる責任者、障害時に業務部門と連携する窓口があるなら、自社運用を軸にできます。これらの役割を営業時間外に置けないなら、24時間365日の監視や分析を提供するMDRを比較します。マネージドセキュリティサービスでは、通知のみか、隔離や復旧支援まで担うかによって契約内容が変わります。
公的制度の位置付け
中小企業向けのサービスを比較する際は、IPAの「サイバーセキュリティお助け隊サービス」の登録状況を判断材料の一つにできます。
IPAは2024年3月15日に「サイバーセキュリティお助け隊サービス基準2.0版」を公開し、監視機能の強化や定期的なコンサルティングなどを要件とする2類サービスを追加しました。IPAの制度案内では、同制度は相談窓口、異常の監視、事案発生時の初動対応、簡易サイバー保険などをワンパッケージで提供する民間サービスを対象にしています。個別のEDR製品単体とは審査対象が異なるため、制度上の登録だけで製品機能や運用範囲を判断しません。
サービスに同制度のロゴがある場合でも、監視対象OS、連絡時間、一次対応、復旧支援が自社の要件に合うかは別に評価します。契約書案で夜間の通知時刻と連絡経路まで確認できれば、そのサービスを選定候補として比較します。営業時間内の通知に限られる場合は、自社の当番体制を費用に含めて再試算します。
EDRの選定基準と導入チェックリスト
EDR選定では、検知機能の多さよりも、自社端末で動作し、既存環境と連携し、担当者が対応を完了できるかを基準にします。
選定フローチャート
導入方針は、運用できる人員と既存ライセンスを最初に整理すると、比較対象を絞れます。
端末を棚卸しします。Windows、macOS、Linux、サーバー、仮想環境、社外持ち出し端末の台数とOSバージョンを一覧化します。
既存対策を整理します。現在のEPP、Microsoft 365、ID基盤、メール対策、SIEMの契約範囲とログ連携可否を整理します。
監視体制を判定します。夜間休日を含めて一次分析と隔離判断を担えるなら自社運用を比較し、担えないならMDR付きサービスを比較します。
隔離ポリシーを決めます。停止可能な一般端末と、業務影響が大きい端末を分け、自動隔離と承認後隔離の条件を定めます。
限定検証を行います。代表的な端末群で、CPU・メモリ負荷、業務アプリとの競合、ログ検索、隔離解除、アラート通知を確認します。
Microsoft 365などの既存ライセンスにEDRやXDRの一部機能が含まれる場合でも、利用できる端末OS、ログ保存、サーバー保護、MDRの有無は契約によって異なります。管理画面のライセンス画面と公式のサービス説明で対象範囲を照合し、必要な対象が含まれていれば既存基盤を活用した検証へ進み、含まれていなければ追加ライセンスを含めて総費用を比較します。
導入検討チェックリスト
以下の項目に回答できれば、製品デモや見積もりの比較で確認漏れを減らせます。
確認領域 | チェック項目 | 判断への影響 |
|---|---|---|
対象端末 | 全OS、サーバー、仮想環境、社外端末を列挙したか | 未対応OSがあれば別対策または製品構成を見直します。 |
性能 | CPU、メモリ、ネットワーク負荷を業務端末で測定したか | 業務影響が出れば除外設定や製品構成を見直します。 |
検知 | アラートの重要度、根拠、関連端末を確認できるか | 担当者が判断できなければMDRまたは運用支援を追加します。 |
対応 | 端末隔離、プロセス停止、ファイル隔離の権限を定義したか | 権限が曖昧なら自動対応を有効にせず通知運用から始めます。 |
連携 | ID、メール、クラウド、SIEMとの連携を検証したか | ログ連携できればXDRや統合分析の対象を広げます。 |
支援 | 監視時間、通知方法、初動支援、復旧支援を確認したか | 夜間対応が不足すればMDRまたは当番体制を追加します。 |
費用 | ライセンス、初期設定、監視、人件費を分けて試算したか | 予算超過なら対象端末の優先順位とサービス範囲を調整します。 |
比較デモで見るべき画面
製品デモでは、検知件数よりも、担当者が一件のアラートから初動判断まで進める情報が表示されるかを確認します。
具体的には、アラートの発生時刻、実行プロセス、親子プロセス、接続先、実行ユーザー、関連端末、推奨アクションを一画面または少ない操作で確認できるかを見ます。次に、端末隔離の実行・解除履歴、除外設定の承認履歴、調査結果のレポート出力も確認します。
「検知率が高い」という説明だけでは、情シスが処理できるかを判断できません。自社の想定シナリオとして、不審なPowerShell実行、端末の隔離、誤検知の解除、経営層向け報告書の出力を提示し、その流れを実演できる製品を比較対象に残します。
▲ 自社に適したEDRの導入形態（自社運用 vs MDR委託）を決める判断フロー
EDR導入で起きやすい失敗パターン
EDR導入で失敗しやすいのは、検知機能を導入目的にして、アラートを誰が判断し、どの手順で対応するかを決めないケースです。
アラート疲れ
アラートを全件同じ優先度で扱う運用は、担当者の確認負荷を増やし、本当に危険な事象の見落としにつながります。
導入直後は、正規の管理ツール、ソフトウェア更新、開発作業などが不審な操作として検知されることがあります。検知を無効化する前に、発生元、業務上の正当性、発生頻度、影響範囲を記録し、例外ルールを承認制にします。無条件に除外設定を増やすと、攻撃者が正規ツールを悪用した場合に見逃す余地が広がります。
アラートが月間で多い環境では、重要度が高いアラートの一次確認時間を決め、低優先度の傾向分析は週次にまとめます。担当者が日中にしか対応できない場合、夜間通知を翌朝確認する前提を明文化するか、MDRを利用して一次分析を外部化します。
自動隔離による業務停止
隔離機能は被害拡大を抑える一方、誤検知時には端末をネットワークから切り離して業務を止める可能性があります。
特に、基幹システムの運用端末、工場設備と接続する端末、遠隔地のサーバーでは、隔離後に誰が現地対応するかまで決めておかなければ復旧が遅れます。一般業務端末で隔離の動作と解除手順を検証し、停止許容時間が短い端末は通知と承認後隔離を基本にします。
隔離を自動化できるかではなく、誤隔離が起きた場合に業務部門へ連絡し、解除判断を何分で行えるかを基準にします。連絡網が整っていない段階では、自動隔離の対象を限定します。
ログ不足と対象漏れ
保護対象に含まれない端末や、短すぎるログ保存期間があると、侵害範囲の調査が途中で止まります。
端末台帳にないPC、退職者から返却された端末、検証用サーバー、拠点の共用端末は導入漏れになりやすい対象です。導入台数を購入ライセンス数で管理するだけでなく、資産管理台帳とEDRコンソールの端末一覧を毎月突き合わせます。長期休眠端末やエージェント停止端末を抽出できれば、未保護端末の把握につながります。
ログ保存期間は、インシデント発覚から遡って調査する日数に直結します。社内ルールや監査要件で一定期間の証跡が必要なら、その期間を満たす保存設定を選びます。満たせない場合は、必要なログを別のログ基盤へ転送する運用と費用を比較に含めます。
製品導入だけでの完結
EDRはデータ漏えい防止や法令順守を単独で達成する製品ではなく、組織の対策全体の一部です。
端末の検知・隔離ができても、弱い認証情報、権限過多、未更新のVPN機器、バックアップ不足が残っていれば被害は広がります。EDRの検知結果を、脆弱性管理、ID管理、メール対策、バックアップ復旧訓練の改善へつなげます。インシデント対応の責任分界点を定めていない場合は、製品選定より先に連絡手順と判断権限を整備します。
EDR導入の進め方
EDR導入は、端末配布を急ぐよりも、対象資産の把握、限定検証、運用設計、段階展開の順で進めると障害と運用負荷を抑えられます。
導入前の設計
導入前には、端末台帳、既存セキュリティ製品、管理者権限、インシデント連絡網を一つの表に集めます。
最初に、端末の所有部門、利用者、OS、社外利用の有無、業務停止許容時間を整理します。次に、既存EPPとの共存可否、プロキシやファイアウォールで必要な通信、エージェント配布方法、アンインストール権限を製品ドキュメントと管理コンソールで照合します。共存が可能と判断できれば限定検証へ進み、競合が疑われる場合は統合型製品を比較対象に加えます。この段階で対象外端末を明確にし、代替策が必要な端末を残さないことが導入漏れ防止につながります。
限定検証の実施
限定検証では、複数部門の代表端末を使い、正常業務とインシデント対応の両方を確認します。
フェーズ | 実施内容 | 完了条件 |
|---|---|---|
第1週：環境確認 | 対象端末、OS、ネットワーク、既存製品を棚卸しします。 | 対象範囲と例外端末を確定します。 |
第2〜3週：限定展開 | 情報システム部門と代表部門の端末へエージェントを導入します。 | 性能低下、通信障害、既存製品との競合がないことを確認します。 |
第4週：対応訓練 | 不審な実行を想定し、検知、通知、隔離、解除、報告を実施します。 | 担当者、連絡先、判断時間、証跡出力を確認します。 |
第5週以降：段階展開 | 業務影響が小さい端末から部門単位で展開します。 | 未導入端末と例外理由を台帳で管理します。 |
検証では、端末のCPU使用率だけでなく、VPN接続、会計ソフト、開発ツール、印刷、拠点回線など日常業務への影響を確認します。隔離テストでは、隔離後も管理コンソールとの通信が可能か、解除後に業務へ復帰できるか、利用者への案内文が準備されているかまで確認します。
運用開始後の定着
本番運用後は、アラート件数ではなく、初動対応の時間と未保護端末数を定例指標として管理します。
月次では、重大アラート数、一次分析までの時間、隔離件数、誤検知件数、エージェント停止端末、未導入端末を確認します。誤検知が多い場合は、担当者ごとの判断に任せず、例外登録の基準と承認者を決めます。MDRを利用する場合は、月次報告で通知件数だけでなく、実際に対応が必要だった件数、通知から連絡までの時間、改善提案の内容を確認します。
トレンドマイクロはTrend Micro Apex One SaaSについて、受注終了およびサポート終了のスケジュールを公式に案内しています（本記事執筆時点で一次情報を直接参照できていないため、正確な日付はトレンドマイクロ公式サイトの製品ライフサイクル案内または契約管理画面で確認してください）。対象は契約形態、提供地域、保有するオプションによって異なり、自社契約が終了対象に含まれる場合はライセンス終了日から逆算して限定検証と移行計画を組み、対象外であれば既存環境の運用改善と更新計画を分けて検討します。
▲ 障害と運用負荷を抑えて進めるEDR導入の4ステップ
まとめ
EDRとは、端末への侵入後に起きる不審な挙動を検知し、調査、隔離、復旧を支援するセキュリティ対策です。EPPやNGAVが担う侵入前の防御を置き換えるものではなく、侵入後の被害拡大を抑えるために組み合わせます。
導入判断では、端末単価だけでなく、対象OS、ログ保存期間、アラートを誰が確認し、夜間に誰が連絡を受け、端末隔離を誰が承認するかまで費用と体制に含めます。最初に端末台帳とEDRコンソールの対象一覧を照合し、未保護端末、対応できない時間帯、隔離判断者の3点を洗い出します。その結果、自社で一次分析を担えるなら限定検証へ進み、担えないならMDRを含む運用サービスを比較します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
