EDRとは何か？従来のアンチウイルスの「次の段階」

　EDR（Endpoint Detection and Response：エンドポイントにおける検知と対応）とは、PC、スマートフォン、タブレットなどエンドポイント端末での不審な挙動を検知して、管理者や利用者が迅速に対応するためのソリューションです。

　管理者は不審な挙動に関する通知を受け取ったあと、EDRで取得したPCや通信のログを取得・分析し、侵入経路の調査や不審なファイルの特定などの対策を行います。

「EDRは、EPP（Endpoint Protection Platform：エンドポイント保護プラットフォーム、従来型のアンチウイルス製品）の次の段階のエンドポイント保護ソリューションと言えます。EPPとセットで利用することが前提で、EPPの検知をすり抜けたサイバー攻撃であっても、不審な挙動や疑わしいファイルを検知・対応できることがあります」（赤間氏）

EDRとEPPや次世代アンチウイルス（NGAV）との違い

　EDRとEPPはエンドポイントを守るという点では同じですが、EPPが「マルウェアの侵入を防ぐ」ことを目的とするのに対し、EDRは「侵入を検知し、即座に対処できるようにする」ことを目的にしている点に違いがあります。

　EPPの主なウイルス検出方法は、「シグネチャ方式」と「ふるまい検知方式」に分けられます。「シグネチャ方式」は、パターンにマッチングするものをフィルタリングして防御する方法で、これは未知のマルウェアを検出することが困難でした。

　その弱点をカバーするものとして、マルウェアの動きを観察し、検出する「ふるまい検知方式」が備わるようになりました。ただし、現在のEPPは両方の方式を搭載するものがほとんどです。

「攻撃者は、標的のユーザーがどのウイルス対策製品を使用しているかを事前に把握し、そのウイルス対策製品のパターンファイルが対応していないマルウェアを作って送り込むこともあります。既知のウイルスを検知するためにシグネチャ方式はもちろん必要ですが、今はそれだけでは侵入を防ぐことはできないと考えたほうがよいです」（赤間氏）

　EDRがEPPより高度である点は、「シグネチャ方式」と「ふるまい検知方式」の2つの防御網から漏れてしまった場合でも、侵入者を検知できるところです。侵入者のログをメモリやファイル、ネットワーク上で収集し、不審な動きがあった場合はリアルタイムに管理者へ通報します。たとえ侵入されたとしても、速やかに対策すれば被害が出る前に対応、もしくは被害を最小限に抑えることができるというわけです。

　また、「次世代アンチウイルス（NGAV：Next Generation Antivirus）」という言葉が使われることもあります。NGAVとは、従来エンドポイントを保護する方法として活躍していたEPPを含むアンチウイルス（AV）製品が、高度化する脅威に十分に対抗できなくなった結果、従来のAV製品にAIや機械学習といった先進技術を組み込み、未知のマルウェアに対しての検知を強化した製品を指します。

　NGAVにも明確な定義はありませんが、目的はEPPと同じで「マルウェアの侵入を防ぐ」ことです。高度化する脅威に対抗するために、製品の技術も進化し、昨今のEPP製品はほとんどがNGAVであると言えるなど、製品の境界はあいまいになってきています。

EDRが必要とされる理由

　EDRが生まれた背景として、近年、サイバー攻撃が高度化・巧妙化していることが挙げられます。ランサムウェアなど、従来のEPP製品では検知できない未知の攻撃が増えているため、侵入を防ぐことが難しくなってきているのです。もはや侵入が避けられないのであれば、早期検出に努め、被害を最小限に抑えることを前提としたセキュリティ対策とし、早期の侵入検知と対策を可能とするEDRはエンドポイントのセキュリティを強化します。

「現在は、侵入前提でのセキュリティが標準的な考えとなっています。ウイルスの侵入を100％防ぐことはもはやできないため、防御にコストとエネルギーを費やすのであれば、侵入されても最終的に情報資産をとられないような早期の検出と対応をできたほうが、よりリーズナブルなのです」（赤間氏）


　もう1つの背景として、クラウドサービスやリモートワークが普及したことも、EDRの市場拡大と関係しています。働く場所が自宅や、社外まで広がったことによって、テレワーク端末がインターネット経由で攻撃にあう危険性が高まっています。

　たとえば、リモートワークで使用しているPCがマルウェアに感染していることに気づかずに、VPNを経由して社内ネットワークに接続してしまうと、機密情報がある社内ネットワークにウイルスの侵入を許してしまいかねません。攻撃対象になりやすいエンドポイントまで含めて、しっかりセキュリティ対策をとることが喫緊の課題となっているのです。

　「ゼロトラスト」という概念も、このような背景から注目されるようになりました。

「侵入を前提とする『ゼロトラスト』の考え方は、コロナ禍におけるテレワークの普及以前からありました。クラウドシフトが大きく進んだことに伴い、VPN経由だけではなくクラウドサービスなどダイレクトにエンドポイントが情報資産にアクセスすることが増えました。アタックサーフェースが増加し、それらを狙った攻撃も増え、今までのVPNやゲートウェイセキュリティソリューションだけの境界防御のセキュリティ対策では不十分になってきたため、すべてのアクセスを信頼せず都度認証していこうという考え方にシフトしている背景があります」（赤間氏）

EDRの主な機能

　EDRにはさまざまな機能があり、製品によっても異なりますが、主な機能は次のように整理できます。

EDRを含むエンドポイントセキュリティ市場の推移

　IDCの調査によれば、2021年の国内セキュリティソフトウェア市場における、エンドポイントセキュリティソフトウェアの市場規模は1,443億円、2026年にかけての年平均成長率（CAGR）は4％の見込みでした。


　EDRを含むエンドポイントセキュリティ製品の売上金額は、セキュリティソフトウェア市場の中で、最も大きくなっています。にもかかわらず、これだけ成長を続けている点から見ても、エンドポイントセキュリティが、いかにサイバー攻撃対策として重要視すべきかが分かるでしょう。

「エンドポイントセキュリティソフトウェアの4％というCAGRは、他のカテゴリーと比べると、それほど大きくはありません。しかし、これだけの規模の市場で、毎年安定的に成長していることは特筆すべきです。それくらいエンドポイントのセキュリティは、投資の必然性が高い領域になってきているということでしょう」（赤間氏）

　このほかセキュリティ市場では、アイデンティティ／デジタルトラストソフトウェアが、クラウド市場の伸長に伴って8.1％の成長率が予想されています。またネットワークセキュリティソフトウェアのマーケットも、ゼロトラスト需要によって6.1％と大きな成長性が期待されています。

EDR主要ベンダー

　EDR製品の主要ベンダー／プレイヤーを紹介します。各社ともハイレベルな戦いをしており、テクノロジーにあまり大きな差は見られません。赤間氏は、「導入後の運用の考え方が合うかどうかが大切」とアドバイスしています。

「社内のSOC（Security Operation Center）が24時間体制で監視できる場合は、大規模企業に導入実績の多いサイバーリーズンやマイクロソフト、マカフィー、トレンドマイクロのような製品の導入が選択肢となります。しかし、そうでない場合は、セキュリティの運用負荷を考慮し、各社の製品を利用したマネージドセキュリティサービスが候補に上がるでしょう」（赤間氏）

EDR市場の主要プレイヤーと製品・サービス

企業名	製品・サービス名
サイバーリーズン	Cybereason EDR
マイクロソフト	Microsoft Defender for Endpoint（MDE）
クラウドストライク	CrowdStrike Falcon Insight
マカフィー	McAfee MVISION EDR
トレンドマイクロ	Apex One Endpoint Sensor
センチネルワン	SentinelOne
チェック・ポイント・ソフトウェア・テクノロジーズ	Harmony Endpoint
ヴイエムウェア	VMware Carbon Black
ブロードコム	Symantec Advanced Threat Protection
パロアルトネットワークス	Cortex XDR
ソフォス	Intercept X Endpoint
シスコ	Cisco Secure Endpoint

【次ページ】主要プレイヤーと製品の特長をそれぞれ解説、導入・選定でチェックしたい5つのポイント