EDR（Endpoint Detection and Response）とは

EDRとはEndpoint Detection and Responseの略で、日本語に訳すと「エンドポイントの検知と対応」となります。「エンドポイント」は終点や末端を意味する英単語ですが、ITの文脈においては、プログラムにアクセスするための公開URLや、ネットワークの末端に位置する端末などをこう呼びます。このうちEDRが言うエンドポイントは後者の方で、エンドユーザーが使うPCやサーバ、スマートフォンが対象となっています。

EDRを一言で表すと、この「エンドポイント」に対するセキュリティソリューションです。EDRはリアルタイムでエンドポイントからログを収集・相関分析し、悪意ある振る舞いを検知した場合に対象の隔離などの必要な対応を行います。それに加えて、攻撃の感染経路や影響範囲も確認できます。

エンドポイントに対する同様のセキュリティソリューションとしては「EPP」が存在しますが、本記事ではEDRとEPPとの違いについても併せて解説します。

EDRの必要性について理解するため、まずはセキュリティ対策の考え方の変遷について解説します。

従来のセキュリティ対策は、境界型防御という考え方に基づいていました。これはネットワークに境界を設けて「社内」と「外部」に分け、社内ネットワークは安全で信頼されるものとして扱う考え方です。社内は既に安全な状態であることを前提に、社内に入れる経路を限定して、そこだけをしっかり防御することで、安全な状態を維持できるという考え方です。そのため境界型防御では、境界上に設置され、外部から社内のネットワークへの侵入を防ぐようなセキュリティ対策に主眼が置かれてきました。具体的にはファイアウォール、プロキシサーバ、IDS/IPSといったソリューションです。

しかし近年では、テレワークの浸透やクラウドサービスの利用機会の増加により、これまでの境界型防御では、セキュリティ対策としては不十分になってきています。そこで、これを解消すべく提唱されたのが、「ゼロトラスト」です。ゼロトラストは「何も信用しない（＝Zero Trust）」という名前からも解る通り、社内ネットワークを暗黙的に信頼していた境界型防御とは、一線を画す考え方となっています。

ゼロトラストではすべての通信に対して、そのリクエストが妥当かどうかを個別に評価します。社内に存在しているというだけで、暗黙的に信用されることはありません。そのためゼロトラストでは、ネットワークの境界ではなく、各エンドポイントでのセキュリティ対策が重要となってきます。

その中でもEDRは、ウイルスの侵入を前提としてエンドポイント自体を監視し、侵入を認めた際に必要な対策を講じるためのソリューションです。EDRの必要性は、経済産業省による「サイバーセキュリティ経営ガイドライン」の中でも触れられています。まず経済産業省のウェブサイトでは、以下のようにその背景が説明されています。

• 経済産業省では、独立行政法人情報処理推進機構（IPA）とともに、サイバー攻撃から企業を守る観点で、経営者が認識する必要がある事項及び経営者が情報セキュリティ対策を実施する上での責任者となるCISO（Chief Information Security Officer：最高情報セキュリティ責任者）等に指示すべき事項をまとめたサイバーセキュリティ経営ガイドラインを策定し、その普及を行ってまいりました。

その上で、2023年3月24日に改訂された「サイバーセキュリティ経営ガイドライン Ver 3.0」中の「指示5 サイバーセキュリティリスクに効果的に対応する仕組みの構築」において、以下のように述べられています。

• サイバーセキュリティリスクに対応するための保護対策として、防御・検知・分析の各機能を実現する仕組みを構築させる。

ここで言う「検知・分析」の機能を実現する仕組みこそがEDRなのです。

ここからは、具体的にEDRが活躍するのはどのような場面かについて解説しましょう。近年、報道でもよく目にするようになった脅威のひとつに「ランサムウェア」があります。ランサムウェアとはマルウエアの一種で、データを暗号化するなどの方法で使用不能にし、その制限を解除するために身代金（Ransom）を要求するものを特に指す呼び名です。このランサムウェアの感染をいち早く検知し、迅速に対処するためのセキュリティ対策として、EDRがあります。

ランサムウェアの攻撃手法のひとつに、「ファイルレス攻撃」があります。ファイルレス攻撃とは、不正な攻撃プログラムをインストールするのではなく、OSに標準で含まれるプログラムを利用して行う攻撃の総称です。正規のプログラムを利用するため、ランサムウェアによる影響だと気づきにくいのが特徴です。そのため気が付かないうちに、侵害が拡大してしまう傾向にあります。ですがEDRはエンドポイントのログを収集・分析し、怪しい挙動や攻撃を検知することができるため、こうした攻撃に対しても一定の効果が期待できます。

ランサムウェアによる攻撃は、24時間365日、いつ発生するか予測ができません。そのためEDRにおけるログ監視と対応は、常時行うことが重要です。また発生したインシデントの分析には専門的な知識が求められます。こうした理由から、万全なセキュリティ体制を自社のみで構築することは難しい場合も多いでしょう。そのような際は、外部ベンダーによる「Managed Security Service（MSS）」の利用も検討してみましょう。