「EDR」とは何か? 概要と機能、E P P との違いを解説
2022 年 8 月 10 日
「EDR」とは、より高度で巧妙になったサイバー攻撃を防ぐ、次世代エンドポイント セキュリティのことです。
この記事では、EDR とはどのようなもので、従来のエンドポイント セキュリティ (E P P) とは何が違うのか、また導入するにあたって注意すべき選定ポイントは何かなどを解説します。
- EDR とは
1-1. EDR の概要
1-2. EDR が必要な背景、理由
- EDR の機能と効果
2-1. EDR のしくみ
2-2. EDR の主な機能と効果
- 他のエンドポイント セキュリティとの違い
3-1. E P P とは
3-2. E P P の種類
3-3. EDR との違い
- EDR 選定のポイント
- 代表的な EDR
5-1. 代表的な EDR
5-2. 中小企業向けの EDR とは
- まとめ
1. EDR とは
まず、EDR の概要と EDR が必要とされるようになった背景と理由について解説します。
1-1. EDR の概要
「EDR (Endpoint Detection and Response)」とは、企業や組織内のネットワークに接続されたパソコンやサーバー、スマートフォンなどのエンドポイントに侵入したマルウェアやランサムウェアなどのサイバー攻撃を検出し、通知するシステムのことです。
従来のセキュリティ システムは、サイバー攻撃などの脅威の侵入をシャットアウトすることが主な目的でしたが、EDR は侵入してきた脅威をいち早く検知し、対応を迅速に行うことを主な目的としています。
1-2. EDR が必要な背景、理由
これまでのセキュリティ技術は、インターネットと企業や組織のネットワークの境界にファイアウォール (Firewall) や侵入検知システム、アンチ ウイルス ソフトなどのセキュリティ システムを設置し、社内外の境界を守る「境界型セキュリティ」が主流でした。それに代わって EDR が必要になったのは次のような要因があります。
サイバー攻撃の高度化
サイバー攻撃は日々巧妙化しており、セキュリティ側で対策を講じても、すぐにそれを上回る攻撃が発生しています。侵入段階では検知されにくいマルウェアやランサムウェアの攻撃、「APT (Advanced Persistent Threat)」と呼ばれる標的型のサイバー攻撃など、もはやエンドポイントへの侵入を完全に防ぐことは不可能といっても過言ではありません。
モバイルの普及
スマートフォンやタブレットなどの携帯デバイスの普及に伴い、社員のスマートフォンを介して企業や組織のパソコンやサーバーに侵入する事例も報告されるようになりました。
また公共施設や店舗などの Wi-fi 環境が多様化するにつれて感染経路や侵入経路も増えており、従来のセキュリティ システムでは対応できなくなってきています。
働き方の多様化
リモート ワークも EDR が必要となった主な要因の 1 つといえます。企業や組織のリモート ワーク導入により、リモート ワーカーが使用するパソコンからネットワークを経由して攻撃を受ける可能性があるためです。
他にも、リモート ワーカー自身が行う不正アクセスも監視する必要があります。EDR を導入することで、このような脅威をいち早く検知し、セキュリティ管理者が対象の端末をリモートで企業内ネットワークから遮断する、あるいは端末をシャットダウンするといった処置が可能です。
2. EDR の機能と効果
続いて、EDR の基本的なしくみと機能について解説します。
2-1. EDR のしくみ
EDR は、エンドポイントにあるパソコンやサーバーなどの端末に専用のソフトウェアやセンサーを導入し、マルウェアやランサムウェアなどの脅威による不審な動きがないか常時ログを取得し監視します。
監視中の端末に脅威による異常信号、挙動不審な動作を検出すると、その旨をすぐに管理者に通知します。通知を受けた管理者は脅威の精査と分析を行い、適切な対応が取れるしくみです。
2-2. EDR の主な機能と効果
EDR には主に以下のような機能と効果があります。
監視機能
ユーザー環境にあるエンドポイント端末に専用の侵入検知センサーやソフトウェアを導入し、ネットワークの接続ログ、ファイル操作ログ、レジストリの変更ログなど各種プロセス ログを常時監視します。これによりマルウェアなどの脅威を検知します。
分析機能
監視機能によりマルウェアなどの脅威を検知すると、常に脅威の最新情報が更新された EDR ベンダーのクラウド上のシステムやデータベースから脅威を解析するとともに、脅威が発生したエンドポイント端末、侵入経路、被害の状況などを特定します。続いて、これらの情報を見やすく視覚化されたデータでセキュリティ管理者に通知します。
インシデント対応機能
脅威を検知すると、問題が解決されるまでネットワークを切断したり、アプリケーションを非アクティブ化したり、また脅威に該当するプロセスを自動停止したりできます。
予防機能
エンドポイントの端末にインストールされているアプリケーション情報を取得し、バージョン アップやパッチ更新がないかを監視し、強制的に最新版に更新することにより、エンドポイントで利用されているアプリケーションの脆弱性をカバーします。
3. 他のエンドポイント セキュリティとの違い
ここでは他のエンドポイント セキュリティ「E P P」との違いについて解説します。
3-1. E P P とは
「E P P (Endpoint Protection Platform)」は、サイバー攻撃によるマルウェアやランサムウェアなどの脅威のエンドポイントへの侵入を防御します。EDR とともに、エンドポイントのセキュリティ システムの 1 つです。
3-2. E P P の種類
E P P には、AV (アンチ ウイルス ソフト) と NGAV があります。
AV (アンチ ウイルス ソフト)
AV (アンチ ウイルス ソフト)は、一般家庭のパソコンのセキュリティ対策にも利用されているソフトウェアです。PC やスマートフォンなどの端末内のセキュリティ監視を行い、ウイルスの検知および駆除を行います。
N G A V (Next Generation Anti-Virus)
N G A V (Next Generation Anti-Virus) は、アンチ ウイルス ソフトを進化させたものです。マシン ラーニング (機械学習) のテクノロジーを利用し、エンドポイント内におけるマルウェアに似た動きや特徴を持ったすべての異変に対し、検知と駆除を行います。これにより、未知の脅威への対応を可能としています。
3-3. EDR との違い
E P P は脅威が「侵入する前段階」での防御を主な目的とするシステムであるのに対し、EDR は「脅威が侵入した後」の被害を最小限に食い止めることを主な目的としたシステムです。
4. EDR 選定のポイント
次に、EDR を選定する際のポイントを解説します。
- 提供形態
提供形態としては、クラウドとオンプレミスがあります。
クラウドはインターネット上でサービスが提供されるため、リモート ワークの端末の監視も行え、初期投資や運用コストを抑えることが可能です。
クローズド ネットワーク環境で利用する端末の監視などには、社内インフラ上にシステムを構築するオンプレミスが必要となります。 - 導入費用
同じ EDR 製品でも、利用する機能や契約端末の数によって導入コストは異なります。また、導入や運用についてアウトソースする場合は、その費用も予算に組み込むこむ必要があります。
サービス提供ベンダーから事前に見積もりを取って詳細を把握しておきましょう。 - 検知方法
検知方法には、「エージェント型」と「エージェントレス型」があります。
エージェント型とは、アンチ ウイルス ソフトのように端末にインストールして情報を収集し、クラウド上のシステムによってマルウェアを検出するものです。インストールやコンポーネント配信などを端末ごとに行う必要がある点は、デメリットといえるでしょう。
一方のエージェントレス型は、端末にインストールする必要がないというメリットがありますが、収集できる情報量が少ないというデメリットがあります。 - 防御機能の有無
EDR は脅威を検知するツールであるため単体では脅威を防御することができません。選定した EDR 製品に AV や NVGA などの防御機能があるかどうかを確認します。 - 自社環境への導入可否
対応 OS を確認することも必要です。一般的な OS には標準対応している製品がほとんどですが、特殊な OS には対応していない場合もあるので事前に確認しましょう。 - 他のセキュリティ ツールとの連携
インシデント対応のために既に導入済みのアンチ ウイルス ソフトやファイアウォールなどのセキュリティ ツールとシームレスに連携し、より強固なセキュリティ体制を実現できるかどうかも選定のポイントです。 - サポート体制
EDR の運用には専門スキルを持つ人材が必要です。ベンダーからどのようなサポートを受けることができるか、「SOC (Security Operation Center) サービス」と呼ばれる外部のエキスパートがセキュリティ環境を監視するサービスがあるか、などを確認します。
5. 代表的な EDR
それでは、代表的な EDR 製品とその特長を紹介します。
5-1. 代表的な EDR
Microsoft Defender for Business (Microsoft 365 Business Premium)
(画像出典：Microsoft Defender for Business)
マイクロソフトが提供する「Microsoft Defender for Business」は、従業員 300 人以下の企業用に設計されたエンドポイント セキュリティ ソリューションです。
マイクロソフトはマルウェアなどの攻撃から得た膨大な数の情報とセキュリティ エキスパートの専門知識、そして AI を活用することにより、クラウドで 1 日あたり 24 兆件処理されるセキュリティ シグナルを分析し、独自の視点で最新の、あるいは未知の脅威から保護するために必要なセキュリティを判断しています。
「Microsoft Defender for Business」は、使いやすいウィザードでセットアップでき、推奨されるセキュリティ ポリシーが最初からアクティブ化されるため、簡単にデバイスをセキュリティで保護できます。「Microsoft 365 Business Premium」 の一部として購入することも可能 (後述) です。
【提供形態】クラウド
【導入費用】330 円 (税別) ～/ユーザー/月 (30 日間無料体験あり)
【検知方法】非エージェント型
【防御機能】E P P
【対応 OS】Windows、MacOS、iOS、Android
【サポート】‐
【Web サイト】Microsoft Defender for Business
Cybereason EDR
(画像出典：Cybereazon EDR Web サイト)
サイバーリーズン ジャパン株式会社が提供する「Cybereason EDR」は、国内でも高いシェアを誇る EDR です。
AI を活用したリアル タイム検知と秒間 800 万回のビッグ データ解析などの機能が特長で、軍事レベルのサイバー攻撃対策を誇ります。
【提供形態】クラウド
【導入費用】見積もり
【検知方法】エージェント型
【防御機能】‐
【対応 OS】Windows、MacOS、Linux
【サポート】SOC、トレーニングなど各種サポート
【Web サイト】Cybereazon EDR Web サイト
ESET Enterprise Inspector
(画像出典：ESET Enterprise Inspector Web サイト)
「ESET Enterprise Inspector」は、エンドポイントでのマルウェア対策を長年手掛けてきたイーセット ジャパン株式会社が提供する EDR です。
コンピューター グループやユーザーに合わせて検出ルールを調整でき、誤検出を抑制できます。また、同社の E P P 製品と統一することでシームレスに同社の強みである多層防御でのマルウェア検出結果と統合的な分析を行うことが可能です。
※本製品は「ESET Enterprise Inspector (旧名称)」から「ESET Inspect (新名称)」へ製品名を変更いたしました。なお、プログラム名称は次期リリース バージョンまで引き続き ESET Enterprise Inspector となります。
【提供形態】クラウド、オンプレミス
【導入費用】1,900 円 (税抜) ～/ユーザー/年 (最低ライセンス数量 100)
【検知方法】エージェント型
【防御機能】‐
【対応 OS】Windows、MacOS、Linux
【サポート】SOC
【Web サイト】ESET Enterprise Inspector Web サイト
Trend Micro Apex One
(画像出典：Apex One Web サイト)
「Trend Micro Apex One」は、「ウィルスバスター コーポレートエディション」の後継として、オプションの EDR 機能「Apex One Endpoint Sensor」を追加できるエンドポイント セキュリティです。
既存ライセンスからアップデートすることで利用が可能で、脅威が実行される前のふるまいを予測するハイブリッド AI 技術が特長となっています。
【提供形態】クラウド、オンプレミス
【導入費用】Apex One SaaS ＋ Apex One SaaS Endpoint Sensor 2,830 円 (税別) ～/年 (最低ライセンス数量 250、体験版あり)
【検知方法】エージェント型
【防御機能】E P P
【対応 OS】クラウド：Windows、MacOS、Linux オンプレミス：Windows
【サポート】‐
【Web サイト】Apex One Web サイト
Symantec Endpoint Security
(画像出典：Symantec Endpoint Security Web サイト)
SB C&S 株式会社運営のシマンテック セールス センターが提供する「Symantec Endpoint Security」は、EDR と E P P を備えたエンド ポイント セキュリティ システムです。
社内外の PC のみならず、スマートフォンなどの携帯端末を含めた多くの OS に対応します。
【提供形態】クラウド
【導入費用】見積もり
【検知方法】エージェント型
【防御機能】E P P
【対応 OS】Windows、MacOS、Linux、iOS、Android
【サポート】‐
【Web サイト】Symantec Endpoint Security Web サイト
5-2. 中小企業向けの EDR とは
中小企業にとって EDR の導入は敷居が高いものです。その主な要因として導入コストと運用するための人的コストがあります。一般に PC などの端末が数台から数十台の企業がほとんどで、セキュリティのために多くの導入コストをかけられず、また専任のセキュリティ管理者を置く人的コストもかけられないのが現状です。
しかしながら、企業の資産を守るためには EDR は必要な対策です。必要十分な機能と性能を持ち合わせ、小ロットでの導入が可能、かつ、専任のセキュリティ管理者がいなくても運用可能な EDR が好ましいものとなります。
Microsoft Defender for Business は、1 台から導入が行え、EDR 機能に加え、従来の E P P 機能も兼ね備えています。特別な専門知識がなくても導入や運用が可能です。
また、Microsoft Defender for Business は、Microsoft Word や Microsoft Excel、Microsoft PowerPoint などの Microsoft Office アプリ、Microsoft Teams、Microsoft Power Apps、Microsoft Power Automate for Desktop などの生産性向上ツールがワン パッケージとなった Microsoft 365 Business Premium の一部として導入することができます。Microsoft 365 Business Premium を利用することで、別途セキュリティ ツールを導入することなく、EDR 環境を構築することができるのです。
6. まとめ
EDR を導入することで、従来の境界型防御で防ぎきれず端末に侵入されてしまったサイバー攻撃の被害を最小限に抑えることが可能です。
EDR の特長や機能を把握したうえで、自社の求める機能や運用負荷に合った EDR 製品を選定し、導入することをおすすめします。
リモートワーク・ハイブリッドワークに適した環境設置のために
リモートワーク・テレワーク・在宅勤務環境を安全・快適に実現するためには、「セキュリティの確保」「Web 会議のためのデバイス選択」「グループワークのためのアプリケーション」など検討する課題も多く、またこれらを潤沢な資金で準備するのではなくコスト削減につなげることが大切です。
これらの達成のための Microsoft 365、Excel の使い方や、リモートワーク・ハイブリッドワーク環境を充実させるために以下の記事が参考になります。
- Microsoft 365・Excel: Microsoft 365 から、Excel の使い方など生産性を向上させるコラム
- Teams・Web 会議: Microsoft Teams を始め、Web 会議をワンランクアップさせるコラム
- リモートワーク・テレワーク: リモートワークやテレワークなど、新しい働き方のお役立ちコラム
必要なセキュリティ対策がすべて手に入るサービスは?
Win を守る Defender
Windows を知り尽くしたセキュリティ ツール
ご購入検討の問い合わせ先
Web フォームで購入相談
本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。