EDRとは？EPPとの違いや製品選びの比較・選定ポイントを
わかりやすく解説！

EDRとは？わかりやすく解説！

「EDR」とは「Endpoint Detection and Response」の頭文字を取った略語で、エンドポイントのセキュリティを高めるツールのことを指します。

これまでのセキュリティ対策では「脅威の侵入防御」対策がメインでしたが、EDRは「脅威の侵入防御＋侵入後の対策」ができます。侵入後の対策とは、マルウェアなどの侵入検出から、感染した端末の隔離、感染原因の調査・分析、感染現認ファイルの駆除・復旧などがあります。EDRを導入することで、ウイルス感染の対策になるのはもちろん、万一ウイルスに感染した場合の対策にもなります。

EDRは、パソコンやサーバだけでなく、スマートフォンやタブレットなど、企業内のあらゆるエンドポイントの操作や動作の監視を行っており、サイバー攻撃を受けたときにはそれを早期に発見し、対処を行います。

EDRはサイバー攻撃を阻止するだけではありません。マルウェアなどがデバイスの内部に侵入した場合でも、迅速な対応によって被害の拡大を防ぎます。

EDRの役割とは？

EDRの主な役割は、マルウェアの検知や除去などの初動対処を迅速に行い、被害を最小限に抑えることです。細かく分けると次のような役割があります。

EDRの仕組み

EDRを導入すると、専用のソフトである「エージェントソフトウェア」がエンドポイントを常時監視するようになります。このエージェントソフトウェアでは、エンドポイントの使用状況や通信内容などのログを収集していきます。
収集されたログはサーバへと送られて、「不審な挙動がないか」「サイバー攻撃を受けていないか」などを分析します。もし不審な挙動やサイバー攻撃が発見されると、管理者へとすぐに通知されます。
その上でログを精査し、不審な挙動やサイバー攻撃などの原因や影響範囲のチェックを行い、適切に対処します。

EPPとEDRの違い

EDRに似たセキュリティ用語としてEPPというものがあります。

EPPとは

「EPP」とは「Endpoint Protection Platform（エンドポイント保護プラットフォーム）」の頭文字を取ったセキュリティ用語です。
EPPは一般的にはアンチウイルスソフトやウイルス対策ソフトと呼ばれており、パターンマッチングなどによって、マルウェアがデバイスへ侵入するのを防ぐことを目的としています。

EPPとEDRの違いは対策の「目的」にある

EPPはデバイスへのマルウェア侵入を防ぐことを目的としているのに対して、EDRはデバイスへマルウェアが侵入した後の被害を最小限に抑えることを目的としているという違いがあります。
そのため、搭載されている機能も異なります。EPPは未知のマルウェアも含めて検知・駆除、攻撃のブロックをすることが主な機能です。それに対してEDRは、マルウェアの検知に加えて感染経路を特定する機能が搭載されているほか、エンドポイント内部のアクティビティを監視する機能も搭載されています。

EDRが注目される背景は？
万一ウイルスに侵入された場合の被害を最小限に！

EDRが注目されている背景には、近年、セキュリティに対する考え方が変化していることと、テレワークが普及してきていることの2つがあります。

ウイルスの進化によるセキュリティへの考え方の変化

ウイルスなど、マルウェアは年々高度化し脅威が高まっています。近年ではEPPだけですべてのサイバー攻撃の回避ができずに、未知のマルウェアが侵入してしまう可能性も増えてきました。
そこで、サイバー攻撃が行われる前の対処法であるEPPに加え、サイバー攻撃をされた後の対応を行うEDRを組み合わせ、二段構えでセキュリティ対策を行うという考え方に変化しています。

テレワークの普及

新型コロナウイルス感染症の拡大や働き方改革の推進によって、多くの企業でテレワークが普及しています。完全テレワークでなくても、出社とテレワークを組み合わせて導入する企業もあり、オフィス以外で働くことが増えてきました。
このようにオフィス以外で仕事をする場合には、社外のネットワークを使う必要がありますが、デバイスに対するセキュリティ対策をしていないと、ネットワーク経由で脅威が侵入してくる可能性があります。そこでEDRが注目されているのです。

EDR導入のメリット

EDRを導入することは企業に大きなメリットをもたらします。

マルウェアの感染状況を検知・分析できる

EDRはエンドポイント内を常時監視しているため、異常を検知したらすぐに、原因や被害状況の分析を行っていきます。その際には管理者へもアラートで通知するため、マルウェアに対する速やかな対応が行うことが可能です。

マルウェアや不正アクセスの侵入経路を特定できる

EDRではログを分析・可視化することで、マルウェアや不正アクセスの痕跡を辿ることができます。そうすることで、どのデバイスから不正侵入したのかを突き止められるため、早急に的確な対処を行えるようになります。

マルウェアの感染拡大を抑えることができる

EDRはマルウェアに感染したデバイスを突き止めるだけではありません。拡大を抑えるための対策も実行していきます。具体的には、マルウェアの感染が発見されたデバイスはネットワークから切り離し、ネットワーク経由で他のデバイスへと被害が広がることを防いでくれます。

テレワークの安全性が高まる

自宅のネットワークはセキュリティ対策が甘いことが多く、従業員の自宅のパソコンやスマートフォンなどのデバイスに対してサイバー攻撃が行われる可能性もあります。しかしEDRなら従業員が自宅や外出先で使用しているデバイスの挙動を把握し、サイバー攻撃を検知することもできます。

EDR導入のデメリット

EDRを導入することで発生するデメリットもあります。

導入コストがかかる

EDRの導入コストはエンドポイントの数に比例します。そのため、パソコンやサーバ、スマートフォン、タブレットといったデバイスが多ければ多いほど、コストがかかってしまいます。

運用にリソースが必要

EDRを導入するときには、そのEDRを運用できるスタッフを確保する必要があります。EDRの運用には高度なスキルや知識が求められますが、そのようなセキュリティ人材を確保できる企業は限られており、多くの企業にとって大きな壁として立ちはだかっています。

EDR製品を選ぶ際の比較ポイントとは？

EDRを導入する際には、以下のようなポイントに気をつけて選ぶようにしましょう。

エンドポイントセキュリティ全体のカバー性は十分か？

未知のマルウェアや、ファイルレス攻撃など最新の脅威をきちんと検知できるどうか、事前に確認しておく必要があるでしょう。また、複数のエンドポイント間でアクティビティを相互に関連付けることで、高精度な脅威検出が可能かどうかも重要な評価ポイントです。

次のような領域にできるだけ多く対応できる製品を選ぶとよいでしょう。

管理サーバは自社の環境や予算に合わせて用意

ログ監視のためには管理サーバを用意する必要があります。このサーバは、自社にEDR用のサーバを置くタイプとクラウドタイプがあります。自社の環境や予算に合わせて選ぶようにしましょう。

ネットワーク負荷に耐えられるか？

EDRを導入すると、エージェント導入デバイスからログが出力されることでネットワークに負荷がかかります。そのネットワーク負荷がどのくらいなのか事前に確認しておきましょう。

自社のネットワークでは負荷に耐えられなさそうな場合は、別のEDR製品を検討するか、ネットワークを強化する、といった対応が必要になります。導入する製品にある程度目星をつけた段階で、ネットワーク負荷のチェックはしておいた方が良いでしょう。

対応サーバやOSは現在のシステム環境とあっているか？

EDRによって対応しているサーバやOSなどが異なってきます。導入前には必ず、対応しているシステム環境を確認しておきましょう。

機能の詳細を確認したのにサーバやOSが対応していないから導入できない、となってしまうと本末転倒です。ネットワーク負荷と同様に製品選定の初期段階で対応サーバ・OSのチェックはしておきましょう。

他ジャンルのセキュリティとの組み合わせでメリットを最大化！

EDR単体ではなく、EPPなど他ジャンルのセキュリティと組み合わせることで、メリットが最大化します。EDRを導入する際には、他のセキュリティ製品との組み合わせも検討しましょう。

選定に悩む場合は第三者による機能評価を参考に

さまざまなベンダーからEDR製品が販売されており、カタログに掲載されているスペックや製品特徴だけで比較・選定が難しいと感じる場合もあるでしょう。
国内外の調査会社や評価機関が行っている売り上げ・シェア・機能評価などの調査があります。選定に悩む場合は、第三者機関の行っている機能評価などの結果を参考にしてみてはいかがでしょうか。

EDRの導入コスト

EDRを導入する際には導入コストや導入期間も考える必要があります。

費用

EDRの導入費用はデバイス1台あたり年間6,000円程度、月額ではデバイス1台当たり500円程度（SOCサービス含む）の金額が一般的です。ただ、契約端末数によってはボリュームディスカウントがされることが多いので、企業規模によってこの金額も異なってきます。

期間

EDRの導入期間はおおよそ2ヵ月程度です。ただ、多くの拠点へ一度に導入する場合や従業員数が多い場合には、EDRを運用開始するまでの期間がさらに必要となってきます。

セキュリティ対策をするならNECフィールディング

EDRとひと言でいっても、企業ごとに最適化した対策の導入が必要です。NECフィールディングでは、企業のセキュリティ問題を解決する次のようなEDRを用意しています。

EDR Quick Support
マルウェアの迅速な検知・可視化を行い、効果的な事後対応を実現します。高度な専門知識をもつセキュリティアナリストが解析・判断を行い、全国47都道府県にある拠点からのサポートも可能です。
https://solution.fielding.co.jp/service/security/edr_quick_support/