EDR・NDR比較｜エンドポイントとネットワーク、脅威検知はどの層から整備すべきか（製品一覧・選び方）

ウイルス対策ソフトは入れているのに、ランサムウェアや標的型攻撃のニュースを見るたびに「本当にこれで防げているのか」と不安が消えない担当者は少なくありません。実際、警察庁の報告では、ランサムウェア被害の感染経路の8割以上がVPNやリモートデスクトップからの侵入で占められており、境界の防御をすり抜けて侵入されることを前提にした対策が求められています。

侵入されたあとに脅威を見つけて封じ込める仕組みが、EDR（エンドポイントでの検知・対応）とNDR（ネットワークでの検知・対応）です。ところが、この2つは「どちらが優れているか」を選ぶものではなく、守る層が違う補完関係にあります。さらにEDRとNDRを統合するXDR、運用を委託するMDRまで加わると、何をどの順で導入すべきか判断しづらくなります。

本記事では、サイバー脅威検知の製品をエンドポイント層（EDR）・ネットワーク層（NDR）・統合と運用の層（XDR・MDR）という3つの検知レイヤーで整理し、自社に足りない層を見極めたうえで、その層でどの製品を選ぶかという二段構えで解説します。

主要な16製品を層別に比較しました。情報システム部門やセキュリティ運用の担当者が、限られた予算で優先順位をつけて導入を判断するための材料としてご活用ください。

また、自社に足りない層と運用体制に合わせて最適な製品を最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

EDR・NDR・XDRとは｜脅威検知の3つの層

ここからは、サイバー脅威を検知する仕組みを、エンドポイント・ネットワーク・統合という3つの層に分けて解説します。それぞれが守る対象と役割を押さえると、自社に何が足りないかが見えてきます。

EDRとは｜エンドポイント層の検知・対応

EDR（Endpoint Detection and Response）は、パソコンやサーバー、スマートフォンといった端末（エンドポイント）にエージェントと呼ばれるソフトウェアを常駐させ、端末上のふるまいを継続的に監視して、侵入後の脅威を検知・封じ込めする仕組みです。

従来のウイルス対策ソフトが「侵入を防ぐ」ことを目的とするのに対し、EDRは侵入されることを前提に、その後の不審な挙動をとらえて被害を最小化する点に特徴があります。

この「侵入を前提とする」考え方は、ゼロトラストの基本原則の一つとして整理されています。マイクロソフトはゼロトラストの原則「侵害を前提とする（assume breach）」を次のように定義しています。

Assume breach: Security controls are designed with the expectation that attackers might be operating inside the environment. Controls focus on limiting breach impact, and enabling rapid threat detection and response.
（侵害を前提とする：攻撃者がすでに環境内で活動している可能性を想定してセキュリティ対策を設計する。対策は被害の局限と、迅速な脅威検知・対応の実現に重点を置く。）

出典：Zero Trust as a security foundation｜Microsoft Learn

NDRとは｜ネットワーク層の検知・対応

NDR（Network Detection and Response）は、社内ネットワークを流れる通信を常時監視し、横方向への感染拡大（ラテラルムーブメント）や外部への不審な通信、内部に潜む脅威の兆候を検知する仕組みです。端末にエージェントを入れるEDRと異なり、NDRはネットワークスイッチの通信を複製して受け取るエージェントレスの方式が主流です。

NDR製品の技術解説では、この仕組みが次のように説明されています。スイッチのポートミラーリング（SPAN）やネットワークTAPで通信を複製し、ネットワークの性能に影響を与えずに監視する方式です。

SPAN port mirroring copies network traffic from switch ports to the NDR sensor. Network TAPs (Test Access Points) provide dedicated hardware devices that passively copy traffic without impacting network performance.
（SPANポートミラーリングは、スイッチのポートを流れる通信をNDRセンサーへ複製する。ネットワークTAPは、ネットワーク性能に影響を与えずに通信を受動的に複製する専用ハードウェアである。）

出典：NDR tools explained｜Vectra AI

エージェントを端末に入れる必要がないため、後述するようにEDRを導入できない機器も監視の対象にできる点が、NDRの重要な役割となります。

XDR・MDRとは｜統合の層と運用委託の層

XDR（Extended Detection and Response）は、エンドポイント・ネットワーク・クラウド・メールなど複数の領域からログを集約し、横断的に相関分析することで、単独の層では見えにくい攻撃の全体像をとらえる仕組みです。EDRやNDRが特定の層を担うのに対し、XDRはそれらを束ねる統合の層に位置づけられます。

MDR（Managed Detection and Response）は、これらの検知・対応の運用そのものを専門家に委託するサービスです。

EDRやNDRを導入しても、24時間のアラート監視や分析を自社だけでまかなうのは負担が大きいため、運用を外部に任せる選択肢として提供されています。XDRが「何を統合するか」の層であるのに対し、MDRは「誰が運用するか」という運用委託の層と整理すると分かりやすくなります。

EDR・NDR・XDRでできること（主な機能）

3つの層に共通するのは、「侵入を検知し、調査し、対応する」という一連の流れを支える機能です。監視対象がエンドポイントかネットワークか、あるいは横断かによって、得意とする領域が変わります。

従来のEPP・アンチウイルス・UTMとの違い

従来のウイルス対策ソフトはEPP（Endpoint Protection Platform）と呼ばれ、既知のマルウェアを「侵入させない」ことを目的とします。これに対しEDR・NDRは「侵入されたあと」に脅威を見つけて対応する役割を担い、守る段階が異なります。

米国政府がEDRの導入を求めた文書でも、EDRは従来型のセキュリティとの対比で位置づけられています。高度化した脅威に対応するために、より高い可視性を提供するものとされています。

Compared to traditional security solutions, EDR provides the increased visibility necessary to respond to advanced forms of cybersecurity threats, such as polymorphic malware, advanced persistent threats (APTs), and phishing.
（従来のセキュリティソリューションと比べて、EDRは、多形性マルウェア・高度で持続的な脅威（APT）・フィッシングといった高度なサイバー脅威に対応するために必要な、より高い可視性を提供する。）

出典：Memorandum M-22-01｜米行政管理予算局（OMB）・CISA

また、ファイアウォールとアンチウイルスなどを統合したUTM（Unified Threat Management）は、ネットワークの境界での防御を担います。UTMが「境界で止める」のに対し、NDRは境界を越えて内部に入った通信の異常をとらえるため、両者も守る位置が異なります。EPP・UTMで防ぎ、EDR・NDRで侵入後に検知するという多層防御の考え方が基本となります。

なぜいまEDR・NDRが必要とされるのか

侵入を完全に防ぐことが難しくなっている背景には、攻撃の高度化と、被害の対象が広がっている実態があります。IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威 2025」の組織編では、上位に次の脅威が並んでいます。

1位「ランサム攻撃による被害」／2位「サプライチェーンや委託先を狙った攻撃」／5位「機密情報等を狙った標的型攻撃」

出典：情報セキュリティ10大脅威 2025（組織編）｜IPA

ランサムウェアは組織にとっての最大の脅威であり続けています。さらに警察庁の報告によると、被害は大企業だけの問題ではなくなっています。二重恐喝の手口が広がり、侵入経路の大半がVPNやリモートデスクトップに集中している点も、内部での検知の重要性を示しています。

ランサムウェア被害件数を組織規模別に令和５年と比較すると、大企業の被害件数が減少する一方、中小企業の被害件数は37％増加した。（中略）VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の８割以上を占める状況

出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁

境界を守るVPN機器そのものが侵入口になり、中小企業にも被害が拡大している状況では、侵入を前提に内部で脅威をとらえるEDR・NDRの役割が高まっています。侵入後の検知・対応を備えることは、被害を早期に止め、事業への影響を抑える価値につながります。

出典・参考資料（4件）

• 出典：Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response（Memorandum M-22-01）｜米行政管理予算局（OMB）・CISA（https://www.whitehouse.gov/wp-content/uploads/2021/10/M-22-01.pdf）
• 出典：Zero Trust as a security foundation｜Microsoft Learn（https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview）
• 出典：情報セキュリティ10大脅威 2025｜独立行政法人 情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）
• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

EDRとNDRの違いと補完関係｜自社に足りない層の見極め

ここからは、この記事の中心となる「EDRとNDRは代替ではなく補完」という考え方と、自社にどの層が足りていないかを見極める視点を解説します。製品を選ぶ前に、まず守るべき層を整理することが、限られた予算を無駄にしないための出発点になります。

EDR（エンドポイント）とNDR（ネットワーク）は守る層が違う

EDRは端末上のふるまいを、NDRはネットワークを流れる通信を監視します。攻撃は、ある端末に侵入したあと、ネットワークを横方向に移動して被害を広げていくため、端末とネットワークの両方に目を配ることで、検知の網の目が細かくなります。

たとえば、EDRを入れた端末で不審な挙動をとらえられなかった場合でも、その端末から別のサーバーへ向かう異常な通信をNDRが検知できることがあります。逆に、ネットワークの通信だけでは判断がつかない端末内部の操作を、EDRが詳細に追跡します。どちらか一方では見えない領域を、もう一方が補う関係です。

EDRを入れられない端末（IoT・OT）とNDRの必要性

EDRはエージェントを端末に常駐させる方式のため、エージェントを導入できない機器は監視の対象にできません。工場の制御機器（OT）、IoTデバイス、古いシステム、ネットワーク機器などがこれにあたります。こうした機器は台数が多く、攻撃者にとって侵入の足がかりになりやすい一方で、EDRだけでは守りきれない領域です。

NDRはエージェントを必要としないため、これらの機器を通信の面からカバーできます。NDR製品の解説でも、この補完関係が次のように説明されています。

NDR also provides coverage for devices that cannot run EDR agents — IoT devices, operational technology, legacy systems, and network appliances.
（NDRは、EDRエージェントを実行できない機器——IoT機器、制御技術（OT）、レガシーシステム、ネットワーク機器——もカバーする。）

出典：NDR tools explained｜Vectra AI

工場やインフラを持つ企業、IoT機器を多く扱う事業では、EDRだけでなくNDRを組み合わせることで、守れる範囲が広がります。

層対応表：エンドポイント・ネットワーク・統合のどこに穴があるか

3つの層が「何を守り、何を苦手とするか」を並べると、自社のどこに穴があるかが見えやすくなります。自社の環境と照らし合わせて、手当てできていない層を確認してみてください。

どの層から整備するか（限られた予算での優先順位）

すべての層を一度に導入できる企業は多くありません。限られた予算では、自社のリスクが高い層から順に整備するのが現実的です。判断のめやすを挙げます。

• まずエンドポイント層（EDR）から：多くの企業では、被害の起点になりやすい従業員のPC・サーバーを守るEDRが最優先です。ランサムウェアの多くは端末を経由するため、侵入後の検知・封じ込めの効果が大きい層です。
• 次にネットワーク層（NDR）へ：工場の制御機器やIoT機器が多い、拠点間の通信が複雑、EDRを入れられない端末が残る場合は、NDRで通信の面を補います。横方向の感染拡大をとらえたい段階でも有効です。
• 運用が回らないならMDRを軸に：専任のセキュリティ担当がいない、24時間の監視が難しい場合は、製品の導入と同時にMDR（運用委託）を検討します。製品を入れても運用できなければ「入れただけ」になりかねません。
• 複数層を入れたらXDRで束ねる：EDRとNDRを併用する規模になったら、ログを横断して相関分析するXDRで、層をまたぐ攻撃の見落としを減らします。

製品選びの共通軸

ここからは、層を問わず効く製品選びの判断軸を先に押さえます。このあとの診断ツールや層別比較表を読み解く物差しとして使ってください。

検知精度（MITRE ATT&CK・振る舞い検知）で見る

検知精度は、既知のマルウェアをどれだけ止められるかだけでなく、攻撃者のふるまいをどれだけ広くとらえられるかで判断します。その共通の物差しとして参照されるのが、MITRE ATT&CKです。実際の攻撃者の戦術・技術を体系化した公開ナレッジベースで、次のように定義されています。

MITRE ATT&CK® is a globally-accessible knowledge base of adversary tactics and techniques based on real-world observations.
（MITRE ATT&CK®は、実世界の観測にもとづく、攻撃者の戦術・技術のグローバルにアクセス可能なナレッジベースである。）

出典：MITRE ATT&CK®｜MITRE Corporation

EDR・XDR製品の多くは、この共通言語に沿って自社の検知範囲を説明します。第三者による評価プログラムとしてMITRE ATT&CK Evaluationsも公開されているため、製品がどの攻撃技術を検知できるかを見比べる際の参考になります。特定の順位を鵜呑みにするのではなく、自社が懸念する攻撃手法をカバーしているかという観点で確認するのが実務的です。

後述の層別比較表は検知の「方式」（ふるまい検知・AI分析など）で各製品を並べています。第三者評価やMITRE ATT&CK Evaluationsの結果、Gartner等の市場評価といった検知精度に関わる情報は、各製品の個別紹介で触れているため、方式と合わせて確認してください。

運用負荷とサポート体制で見る

EDR・NDRは導入して終わりではなく、日々発生するアラートを確認し、脅威かどうかを判断する運用が続きます。自社に専任の担当者がいるか、日本語でのサポートやMDR（運用委託）が用意されているかは、製品を使い続けられるかを左右する重要な軸です。運用リソースが限られる場合は、MDRを標準で提供する製品や、アラートを自動で優先度づけする機能を持つ製品が候補になります。

既存環境との統合性・対応OS・端末範囲で見る

すでに使っているセキュリティ製品やクラウド基盤と連携できるかは、導入後の運用効率に直結します。たとえばMicrosoft 365を全社で使っているなら、同じ基盤に統合できる製品は運用がまとまりやすくなります。加えて、Windowsだけでなく、Mac・Linux・サーバー・モバイルなど自社が守りたい端末に対応しているか、EDRを入れられない機器はNDRで補えるかという範囲の確認も欠かせません。

無料トライアルで自社環境を検証する

カタログ上の機能が自社環境で期待どおり動くとは限りません。無料トライアルやPoC（試験導入）が用意されている製品では、実際の端末やネットワークに導入し、検知の精度・管理画面の使いやすさ・既存業務への影響を、契約前に確認できます。特に運用の手間は導入してみないと分かりにくいため、トライアルの可否は選定初期に確認しておくとよいでしょう。

公的機関の基準に学ぶ選定の観点

EDRを「侵入を前提とした能動的な防御の中核」と位置づける考え方は、公的機関の方針でも共有されています（前述の米国政府CISAの例）。ここでは、そうした公的な整理から導ける、製品を比べるときの具体的な観点を挙げます。

• テレメトリの収集範囲と保持期間：どの操作・通信をどれだけの期間さかのぼって記録できるか。侵入後の調査（フォレンジック）の深さに直結します。
• 振る舞い検知の精度：既知のパターンに頼らず、攻撃者の挙動をとらえられるか。MITRE ATT&CKに沿った検知範囲が目安になります。
• 自動レスポンスの充実度：端末の隔離やプロセス停止など、封じ込めをどこまで自動化できるか。運用の負荷を左右します。
• 既存環境との統合性：使っているクラウド・セキュリティ製品と連携し、EDRで守れない機器をNDRで補える構成にできるか。
• 運用負荷：エージェントの軽さ、アラートの優先度づけ、MDR（運用委託）の有無など、無理なく運用し続けられるか。

これらは層を問わず効く観点です。各層の比較表と個別紹介を、この物差しで読み解くと、自社に合う製品をしぼり込みやすくなります。

出典・参考資料（3件）

• 出典：MITRE ATT&CK®｜MITRE Corporation（https://attack.mitre.org/）
• 参考資料：MITRE ATT&CK® Evaluations（https://evals.mitre.org/）
• 出典：Memorandum M-22-01｜米行政管理予算局（OMB）・CISA（https://www.whitehouse.gov/wp-content/uploads/2021/10/M-22-01.pdf）

ここまでの判断軸を踏まえ、自社に足りない層と運用体制から適した製品を探せるよう、選定診断ツールをご用意しています。いくつかの質問に答えるだけで、候補をしぼり込めます。診断や比較表から、一部の製品は資料をまとめて請求でき、そのほかは各社の公式サイトで詳細を確認できます。

【比較表】層別に見るEDR・NDR・XDR製品

ここからは、各製品を検知レイヤーごとに比較します。EDRとNDRは守る層が違うため、あえて1つの表にまとめず、エンドポイント層・ネットワーク層・統合と運用の層に分けて掲載します。自社に足りない層の表から読み進めてください。

エンドポイント層（EDR）の製品比較

端末を守るEDR製品を、検知方式・EPP統合の有無・対応範囲・運用委託（MDR）の提供・費用のめやすで比較します。

※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。

ネットワーク層（NDR）の製品比較

ネットワークを守るNDR製品を、検知方式・導入形態（エージェントレスの方式）・EDR/XDRとの連携・費用のめやすで比較します。

※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。

統合・運用層（XDR・MDR）の製品比較

複数の層を横断するXDR製品と、運用を委託するMDRを含む製品を、統合できる範囲・既存製品との連携・MDR提供・費用のめやすで比較します。MDRは独立した製品としてではなく、各製品のオプションや委託サービスとして提供されるため、「MDR提供」の列で有無を確認してください。

※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。

サービス個別紹介

ここからは、各製品を検知レイヤーごとに個別に紹介します。それぞれの提供元・特徴・向いている企業を確認し、比較表と合わせて検討してください。

エンドポイント層（EDR）の製品

従業員のPCやサーバーを守り、侵入後のふるまいを検知・封じ込めするEDR製品です。侵入の起点になりやすい端末を守る、多くの企業で最初の候補になる層です。

1. CrowdStrike Falcon（クラウドストライク合同会社）

クラウドネイティブのエンドポイント保護を中核に、EDR・XDR・ID脅威保護・クラウドセキュリティを、単一の軽量エージェントと単一のコンソールから提供する統合プラットフォームです。必要な機能をモジュールとして段階的に追加できる構成をとっています。

公式のバンドルはGo・Pro・Enterpriseの3区分で、EDR（エンドポイントでの検知・対応）と脅威インテリジェンス・脅威ハンティングは、最上位のFalcon Enterpriseに含まれます。運用を委託する場合は、マネージド検知・対応のFalcon Completeが用意されています。

公式バンドルの価格は1台あたり月額7.99〜19.99米ドルで、国内ではGSX・KDDI・日立ソリューションズなどの代理店経由での見積もりが一般的です。15日間の無料トライアル（クレジットカード不要）が用意されています。

2. SentinelOne（Singularity Platform）（SentinelOne Japan株式会社）

エージェント側に搭載したAIが脅威を自律的に検知し、不正なプロセスやファイルをリアルタイムで隔離・停止する設計のエンドポイント保護プラットフォーム「Singularity Platform」です。EPP・EDR・XDRを、単一の軽量エージェントと統合管理コンソールで提供します。

ランサムウェアの被害を受けた際に、OSの再構築なしでファイルを復旧する1クリックのロールバック機能を備えます。攻撃の流れを自動で再構成する「Storyline」技術により、個別のイベントを1つの攻撃シナリオとして相関表示します。

エンドポイント保護のパッケージはCore・Control・Completeなどに分かれ、EDR/XDR機能はComplete以上で提供されます。価格は公式サイトでは非開示で、国内は東京エレクトロンデバイスなどの代理店経由の見積もりが基本です。同社は、エンドポイント保護プラットフォーム分野のGartner Magic QuadrantでLeaderに位置づけられていると公表しています。

3. Cybereason（サイバーリーズン合同会社）

エンドポイントでの検知・対応（EDR）を核に、ネットワークやクラウドを横断するXDR、24時間365日のMDR（マネージド検知・対応）までを提供する、サイバーリーズン合同会社の製品です。個別のアラートを都度出すのではなく、関連する一連の活動を1つの攻撃（MalOp）としてまとめて提示する検知アプローチを特徴とします。

同社は、富士キメラ総研の調査で国内EDR市場の2023年度シェア27.7%・2018〜2023年度の6年連続1位と発表しています。ローム株式会社の2万台以上、ジャパンマリンユナイテッド株式会社の約7,000台規模といった大規模導入の事例も公開されています。

出典・参考資料（1件）

• 出典：国内EDR市場で6年連続シェアNo.1｜サイバーリーズン合同会社（富士キメラ総研調査）（https://www.cybereason.co.jp/news/press-release/12858/）

日本・ボストン・テルアビブの3拠点のSOCによる日本語での24時間365日の監視に対応し、政府情報システム向けのISMAP（セキュリティ評価制度）にサービスを登録しています。クラウド前提の製品が多いなか、エアギャップ環境などに向けたオンプレミス版のCybereason On-Premも用意しています。

4. Sophos Intercept X（現 Sophos Endpoint）（ソフォス株式会社）

英国のSophos社が開発し、日本ではソフォス株式会社が提供する、エンドポイント向けの保護・検知・対応製品です。2025年10月のブランド再編で名称が「Intercept X」から「Sophos Endpoint」へ変わり、EDR・XDR・MDRがそれぞれ独立したライセンスに再編されました。

単一のエージェントで、ディープラーニング型AIによるマルウェア検知やエクスプロイト対策といった防御機能と、検知・対応（EDR/XDR）機能を提供します。ランサムウェアによる暗号化の挙動を監視して該当プロセスを停止し、暗号化されたファイルを元に戻すCryptoGuard機能を備えます。

24時間365日の有人監視サービス「Sophos MDR」をオプションで組み合わせられ、日本語対応のMDRを東京のデータセンター（AWS上で運用）から提供しています。エンドポイント保護プラットフォーム分野のGartner Magic Quadrantでは、2026年版で17年連続のLeaderに認定されたと公式に発表しています。無料トライアルは30日間です。

5. ESET PROTECT／ESET Inspect（キヤノンマーケティングジャパン株式会社）

アンチウイルス・EPPを中核に、EDR/XDR製品「ESET Inspect」やマネージド監視サービス「ESET PROTECT MDR」までを一体で提供する製品群です。開発元はスロバキアのESET社で、日本国内ではキヤノンマーケティングジャパン株式会社が総販売代理店として、供給と日本語サポートを担います。

製品はESET PROTECTのEntryからMDRまで複数の階層で構成され、EDR/XDR機能（ESET Inspect）は上位のEliteとMDRで利用できます。ESET Inspectの単体での新規販売は2024年3月に終了しており、EDR機能はこれら上位バンドル経由での導入となります。

料金は1ライセンスあたりの年額（税抜）で公開されており、EDRと24時間365日監視を含むESET PROTECT MDR Liteは最小26ライセンスから、100〜249ライセンスの場合で年額1万920円です。問い合わせ窓口はキヤノンMJグループの国内エンジニアが日本語で対応します。

6. Symantec Endpoint Security（Broadcom Inc.）

2019年にBroadcom社がSymantecのエンタープライズセキュリティ事業を買収し、現在はBroadcomのSymantec Enterprise部門が提供するエンドポイント保護製品です。予防を担うEPPと、検知・対応を担うEDRを、単一のエージェントと単一の管理コンソールで統合しています。

EDR機能は上位ライセンスのSymantec Endpoint Security Completeでのみ利用でき、下位のEnterpriseは予防機能が中心の構成です。クラウド管理・オンプレミス・両者の混在という3つの形態に対応し、同一エージェントのまま移行できる設計をとっています。

PowerShellやWMIなど正規のツールを悪用する攻撃に対し、組織ごとの利用実態を学習して自動的に制限するAdaptive Protection機能を備えます。運用を委託する場合は、世界6拠点のSOCが24時間365日対応するマネージドEDR（MEDR）が別途用意されています。ただしMac・Linuxでは一部の機能が制限されます。

7. LANSCOPE サイバープロテクション（エムオーテックス株式会社）

国内ベンダーのエムオーテックス株式会社が、海外製の検知エンジンを日本語でのサポート・運用代行込みでパッケージ化して提供するサービスです。検知エンジンは、AIアンチウイルスの「Aurora Protect」（旧CylancePROTECT）と、ディープラーニング型の「Deep Instinct」の2系統から選べます。

EDRは、Aurora Protectとのセット提供を前提とする「Aurora Focus」が担い、感染端末のネットワーク隔離やフォレンジック証跡の収集に対応します。運用まで委託したい場合は、24時間365日の有人監視を行う「Aurora Managed Endpoint Defense」を選べます。

料金はAurora Protect単体が月額500円/台、Aurora FocusとのEDRセットが月額700円/台で、最小5台から導入できます。本サービスの導入実績は2025年3月時点で4,400社以上と公表されています。対応OSはWindowsとLinuxです。

8. Cisco Secure Endpoint（シスコシステムズ合同会社）

シスコシステムズ合同会社が提供するクラウド型のエンドポイントセキュリティで、次世代アンチウイルスによる予防と、侵入後の検知・対応（EDR）を1つのエージェントに統合しています。検知基盤には、シスコの脅威インテリジェンス組織「Cisco Talos」が提供するクラウド指標と機械学習モデルを利用します。

本製品はエンドポイントを対象とするEDR層の製品で、ネットワークの通信を監視するNDRは別製品のCisco Secure Network Analyticsが担います。両者はCisco XDRを介して相関でき、エンドポイントとネットワークをまたいだ脅威検知を構成します。

ライセンスはEssentials・Advantage・Premierの3階層で、専門アナリストによる能動的な脅威ハンティング「Talos Threat Hunting」はPremierに含まれます。

運用を委託する場合は、24時間365日対応のCisco Secure MDR for Endpointを利用できます。料金は公式では非公開で、国内はKDDIやNTTデータなどの代理店経由での提供が中心です。

ネットワーク層（NDR）の製品

ネットワークを流れる通信を監視し、横方向の感染拡大やEDRを入れられない機器の脅威をとらえるNDR製品です。工場やIoT機器を持つ企業、内部の通信まで守りたい企業に向いています。

9. Network Blackbox（株式会社クワッドマイナージャパン）

韓国のQuad Miners社が開発し、日本では株式会社クワッドマイナージャパンが提供するNDR製品です。ネットワークを流れる全パケットを収集する「100％フルパケットキャプチャ」を基盤に、収集・検知・ハンティング・フォレンジック・対応の5つの機能を1つの製品に備えます。

スイッチのミラーリングで通信を取り込むエージェントレス方式のため、ネットワークへの影響を抑えて導入できます。検知はシグネチャによる既知脅威の検出と、振る舞い異常検知（BAD）による未知脅威の検出の両方に対応し、MITRE ATT&CKに基づくシナリオベースの脅威ハンティングを標準で備えます。

保存した全パケットを再構成し、過去にさかのぼった詳細な調査（フォレンジック）ができる点を訴求しています。EDR・SIEMとはSyslogやREST APIで連携し、XDRプラットフォーム「QUADX」へのセンサー統合にも対応します。料金は対象ネットワークの規模に応じた個別見積もりで、公式・代理店とも公開していません（国内総代理店は2024年1月に契約した株式会社フーバーブレイン）。

10. Darktrace（Darktrace Limited）

英国ケンブリッジで2013年に設立されたDarktrace Limitedが開発する、自己学習型AI（Self-Learning AI）を中核としたサイバーセキュリティ製品です。組織ごとの「正常な挙動」をAIが学習し、そこからの逸脱によって既知・未知の脅威を検知します。

NDRを担う中核製品はDarktrace/NETWORKで、ネットワークを起点にメール・クラウド・OT・アイデンティティ・エンドポイントを横断して相関分析します。異常を自動で調査するCyber AI Analystと、デバイス隔離やIPブロックをリアルタイムに行う自律対処（Autonomous Response）を組み合わせる設計です。

導入実績は公式コピーで全世界約10,000社とされ、Darktrace/NETWORKは2025年のGartner Magic Quadrant for NDRでLeaderに位置づけられたと公式に発表しています。国内では日本法人のダークトレース・ジャパン株式会社と販売代理店を通じて提供され、料金は監視対象デバイス数に応じた個別見積もりです。

11. Vectra AI（Vectra AI, Inc.）

AIによる行動分析を主軸にしたNDR製品「Vectra AI Platform」です。開発元は米国サンノゼのVectra AI, Inc.（2011年創業）で、検知エンジン「Attack Signal Intelligence」が攻撃者の振る舞いを学習し、ランサムウェアやラテラルムーブメント、認証情報の悪用といった脅威を検知します。

150以上のAIモデルで、教師あり・教師なし学習と相関分析を組み合わせて振る舞いを分析します。監視対象はオンプレミスのネットワークにとどまらず、AWS・Azureなどのマルチクラウド、Active Directoryなどのアイデンティティ基盤、Microsoft 365、IoT/OTまで広がります。

2026年のGartner Magic Quadrant（NDR部門）でLeaderに選出されたと公式に発表しています。API連携によりEDRやSOCと統合した対応が可能で、国内では2020年に代理店契約を結んだマクニカ株式会社が、販売・導入支援・MDR（運用委託）の窓口を担います。

12. Corelight（Corelight, Inc.）

オープンソースのネットワーク監視基盤Zeek（旧Bro）を開発したチームが2016年に立ち上げたCorelight, Inc.が提供する「Open NDR Platform」です。ZeekとIDSエンジンのSuricataをコアに据え、独自のデータ形式を持たない「Open Core」「Open Data」「Open Detections」の設計を掲げます。

検知はIOC・シグネチャ・行動分析・機械学習を組み合わせ、調査に必要なパケットだけを選んで長期保管するSmart PCAPを備えます。センサーはTAP・SPAN・パケットブローカー経由で接続するエージェントレス方式で、物理アプライアンス（4〜125Gbps超）のほか、仮想センサー・クラウドセンサーを選べます。

CrowdStrike・Microsoft・Splunk・ElasticといったSIEM/XDR/SOARへのデータ連携を前提とした設計で、出資者にはCrowdStrikeやCisco Investmentsが名を連ねます。日本国内の総代理店や日本法人については、公式サイト上で明示的な記載を確認できませんでした（2026年7月時点）。料金は公開されておらず、要問い合わせです。

13. FortiNDR（Fortinet, Inc.）

ネットワーク機器で知られるFortinet, Inc.（日本法人：フォーティネットジャパン合同会社）が提供するNDR製品群です。AI/機械学習でネットワークトラフィックを分析し、横展開（ラテラルムーブメント）・データ持ち出し・権限昇格といった攻撃者の挙動を検知します。

製品はエアギャップ環境にも対応するオンプレミス型「FortiNDR」と、データを365日保持するSaaS型「FortiNDR Cloud」の2系統に分かれ、いずれもエージェントレスで導入します。65以上のOT特有プロトコルに対応し、IT/OT双方のネットワークとOT資産を可視化できます。

Security Fabricを通じてNGFW・EDR・SIEM・SOARと連携し、500以上のサードパーティコネクタに対応します。暗号化された通信は復号せずにAI/MLと行動分析で挙動を検出する設計です。国内では正規販売代理店を通じ、24時間365日のSOC監視を付けたマネージドNDRとして提供される例もあります。

統合・運用層（XDR・MDR）の製品

エンドポイント・ネットワーク・クラウドなどを横断して相関分析するXDR製品と、運用委託を含む製品です。複数の層を導入済みで、層をまたぐ攻撃の見落としを減らしたい企業に向いています。

14. Trend Vision One（トレンドマイクロ株式会社）

トレンドマイクロ株式会社が提供する、XDR（拡張検知・対応）を中核とした統合サイバーセキュリティプラットフォームです。エンドポイント・サーバー・クラウド・メール・ネットワーク・アイデンティティの各レイヤーを単一コンソールで管理し、収集したテレメトリ（各レイヤーの活動データ）を相関分析して攻撃の全体像を可視化します。

検知・対応（XDR）に加え、デバイスやアカウント単位でリスクを可視化するASRM（攻撃領域リスク管理）を組み合わせる構成をとります。Apex OneやDeep Discovery Inspector、TippingPointといった既存のトレンドマイクロ製品を、本プラットフォームから一元管理できる点も特徴です。

ライセンスは2026年にクレジットベースの単一ライセンス「TrendAI Flex」へ一本化され、必要なソリューションへクレジットを割り当てて利用します。提供形態はSaaSで、料金は要問い合わせです。

15. Microsoft Defender XDR（日本マイクロソフト株式会社）

ID・エンドポイント・メール・クラウドアプリを横断して脅威を検知・対応するXDRプラットフォームで、日本マイクロソフト株式会社が提供します。Microsoft Defenderポータルを統合画面とし、複数のDefender製品からのシグナルを相関させて1つのインシデントとして追跡します。

エンドポイントのEDRを担うDefender for Endpoint プラン2を核に、ID・メール・クラウドアプリ向けの各Defender製品を組み合わせて構成します。XDRは単独で購入する製品ではなく、これらのDefender製品を展開すると自動的に有効化される統合レイヤーである点に注意が必要です。

Microsoft 365やAzureと同一ベンダーで統合されるため、Microsoft 365 E5を利用中の企業はライセンスを追加せずにXDRを有効化できます。進行中の攻撃を自律的に封じ込める自動攻撃かく乱や、SIEMのMicrosoft Sentinelと統合したセキュリティ運用にも対応します。

16. Palo Alto Cortex XDR（パロアルトネットワークス株式会社）

エンドポイント保護（EPP/EDR）を起点に、ネットワーク・クラウド・アイデンティティのデータをネイティブに統合・相関分析するXDRプラットフォームです。パロアルトネットワークス株式会社が日本法人を通じて提供します。

エンドポイントエージェントによるマルウェア・エクスプロイト防御を基盤に、機械学習ベースの行動分析でデバイスやユーザーの平常時の挙動を学習します。そこからの逸脱をとらえ、マルウェア感染後の挙動や内部不正、ラテラルムーブメント（横方向の感染拡大）、データ持ち出しを検出します。

関連する複数のアラートを1つのインシデントに集約して根本原因を示し、対象端末のワンクリック隔離にも対応します。運用まで任せたい場合は、MDR（マネージド検知・対応）やマネージド脅威ハンティングによる委託も用意されています。料金は代理店経由の個別見積もりで、要問い合わせです。

導入・運用の費用と体制｜自社運用かMDR委託か

ここからは、EDR・NDR・XDRの費用相場と、運用体制の選び方を解説します。製品の価格だけでなく、運用にかかる人件費まで含めて考えることが、導入後に無理なく続けるための鍵になります。

費用相場（初期・月額・総保有コスト）

EDR・NDRの費用は、守る端末やユーザーの数、ネットワークの監視帯域、サポートやMDR（運用委託）の有無で決まります。まず「何が金額を左右するか」を押さえると、見積もりの読み方が変わります。

相場観は、大きく2つのグループに分かれます。少台数から始められる中小向けのエンドポイント製品では、公式に価格を公表しているものがあり、1台あたり月数百円台から、あるいは月数ドル台からといった水準が中心です。一方、中堅〜大企業向けの上位機能や、NDR・XDRは、端末数・監視帯域・MDRの有無で変動する個別見積もりが基本となります。

各層の比較表に載せた価格は、製品ごとにドルと円、月額と年額、1台あたりと1ユーザーあたりが混在します。横並びで安い高いを判断するときは、単位をそろえて換算したうえで見比べてください。

初期費用は、クラウド型（SaaS）の製品では小さく抑えられることが多く、月額・年額のライセンス料が中心になります。NDRのアプライアンス型など、機器を設置する構成では、別途ハードウェアの費用が加わります。

費用を比べるときは、ライセンス料だけでなく、導入の初期費用、アラートに対応する人件費、MDRを使う場合の委託費まで含めた総保有コスト（TCO）で考えることが重要です。ライセンス料が安くても、運用に人手がかかれば、結果としての負担は大きくなります。

自社運用とMDR委託の比較

EDR・NDRを入れると、日々のアラート確認・分析・対応という運用が発生します。この運用を自社で担うか、MDRとして外部に委託するかは、体制に応じた判断になります。

専任のセキュリティ担当者がいて、社内のログを自社で分析できる体制があるなら、自社運用で製品を使いこなす選択肢があります。一方、担当者が兼任で24時間の監視が難しい場合は、MDRに委託することで、専門家による監視・分析・初動対応を任せられます。

自社運用は柔軟性が高い反面、人材の確保と育成が前提になり、MDRは費用がかかる反面、運用の負荷と属人化を抑えられます。自社の人員体制と、守りたい範囲を踏まえて選ぶとよいでしょう。

導入の順序と運用の注意点

ここからは、複数の層をどのような順序で導入するか、そして導入後に「入れただけ」で終わらせないための注意点を解説します。どの層を優先するかは前述の「どの層から整備するか」で触れたとおりで、ここでは実際に導入を進める手順に絞って説明します。

導入ロードマップ（PoC→段階導入→運用）

いきなり全社・全層に導入するより、段階を踏むほうが失敗を避けられます。おおまかな流れは次のとおりです。

1. 現状の把握とPoC：守りたい端末・ネットワーク・機器を洗い出し、優先する層の製品を試験導入して、自社環境での検知精度と運用負荷を確認します。
2. 優先層から段階導入：多くの場合はエンドポイント層（EDR）から始め、対象部門を区切って段階的に広げます。運用ルール（誰がアラートを見るか）も同時に決めます。
3. ネットワーク層・統合層の追加：EDRだけでは守れない機器や、横方向の感染拡大への懸念があればNDRを、複数層をまたぐ見落としを減らしたい段階でXDRを加えます。
4. 運用の定着とMDRの検討：運用が回らない場合はMDRの委託を検討し、検知から対応までの体制を継続的に見直します。

アラートファティーグと「入れただけ」の回避

EDR・NDRは多くのアラートを出します。すべてに対応しようとすると担当者が疲弊し、重要な警告を見逃す「アラートファティーグ（警告疲れ）」に陥ることがあります。製品を入れても、アラートを確認・対応する運用が回らなければ、検知の仕組みは活かされません。

これを避けるには、アラートを自動で優先度づけする機能を重視する、対応する範囲と担当を事前に決める、運用が難しければMDRに委託する、といった対策が有効です。「導入すること」ではなく「運用が続くこと」を前提に製品と体制を選ぶ視点が欠かせません。

事後対策としての限界（EPPとの多層防御）

EDR・NDRは侵入後の検知・対応を担う仕組みであり、侵入そのものを防ぐものではありません。あくまで事後の対策である以上、侵入を防ぐEPP（ウイルス対策）やUTM、そして従業員教育や脆弱性管理と組み合わせた多層防御の一部として位置づけることが前提になります。EDR・NDRを入れれば万全というわけではなく、防ぐ層と検知する層を重ねることで、被害を抑える確度が高まります。

ここで挙げた「侵入を防ぐ層」のうち、脆弱性管理と従業員教育は、それぞれ独立したテーマとして具体的な進め方を押さえておきたい領域です。システムやアプリの弱点をあらかじめ洗い出す脆弱性診断の方法・費用相場・選び方は次の記事で、社内ルールづくりや従業員への教育の進め方はその次の記事で詳しく解説しています。EDR・NDRと組み合わせる防御の全体像を描く際にあわせてご覧ください。

まとめ

サイバー脅威の検知は、エンドポイント層（EDR）・ネットワーク層（NDR）・統合と運用の層（XDR・MDR）という3つの層で考えると整理しやすくなります。EDRとNDRはどちらかを選ぶものではなく、守る層が違う補完関係にあり、EDRを入れられない機器はNDRが、複数層の見落としはXDRが補います。

製品を選ぶ前に、まず自社に足りない層はどこかを見極め、限られた予算のなかで優先順位をつけることが出発点になります。そのうえで、検知精度・運用負荷・既存環境との統合性・費用といった共通の軸で、その層に合う製品を比べていくとよいでしょう。運用が回らないと見込まれる場合は、MDR（運用委託）を含めて検討することも現実的な選択です。

自社の運用体制や既存環境（Microsoft中心か、IoT・OT機器が多いかなど）によって、適した層と製品は変わります。どの候補が近いか迷う場合は、本記事の選定診断ツールで自社の状況に合う製品をしぼり込んだうえで、各製品の資料を取り寄せて、機能や費用、サポート体制を見比べてみてください。

よくある質問（FAQ）

Q. EDRとは何ですか？

A. EDRとは、パソコンやサーバーなどの端末（エンドポイント）を常時監視し、侵入後の不審なふるまいを検知して封じ込める仕組みです。Endpoint Detection and Response の略で、端末にエージェントと呼ばれるソフトウェアを常駐させて動作します。

従来のウイルス対策ソフト（EPP）が侵入を「防ぐ」ことを目的とするのに対し、EDRは侵入されることを前提に、その後の脅威を早期に見つけて被害を最小限に抑える点に特徴があります。

Q. EDRと従来のウイルス対策ソフト（EPP）は何が違いますか？

A. EDRと従来のウイルス対策ソフト（EPP）の違いは、EPPが既知のマルウェアの侵入を「防ぐ」のに対し、EDRは侵入された「あと」の脅威を検知して対応する点にあります。両者は守る段階が異なるため、置き換えるのではなく、EPPで防ぎきれなかった脅威をEDRで検知する多層防御として組み合わせるのが標準的な構成です。

ファイアウォールなどを統合したUTMはネットワーク境界での防御を担う仕組みで、これも守る位置が異なるため、UTMやEPPで入口を防ぎ、EDR・NDRで侵入後をとらえるという役割分担で考えると整理しやすくなります。

Q. EDRとNDRはどちらから導入すべきですか？

A. EDRとNDRは守る層が違う補完関係のためどちらか一方では不十分ですが、多くの企業ではまず被害の起点になりやすい端末を守るEDRから導入するのが現実的です。ランサムウェアの多くは従業員のPC・サーバーを経由するため、侵入後の検知・封じ込めの効果が大きいのがEDR層です。

ただし、工場の制御機器（OT）やIoT機器などEDRを入れられない端末が多い環境、拠点間の通信が複雑な環境では、ネットワークを監視するNDRの優先度が上がります。自社に足りない層がどこかを見極めたうえで順序を決めてください。

Q. EDRやNDRをやめてXDRに一本化すべきですか？

A. XDRはEDRやNDRを置き換えるものではなく、それらが集めた情報を横断して相関分析する統合の層のため、一本化ではなくEDR・NDRを前提に組み合わせる位置づけになります。XDRはエンドポイント・ネットワーク・クラウド・メールなど複数領域のログを束ねて攻撃の全体像をとらえる仕組みで、各層のセンサーとなるEDRやNDRがあってはじめて力を発揮します。

まずは自社に必要な層を整備し、EDRとNDRを併用する規模になった段階で、層をまたぐ見落としを減らすためにXDRで束ねる、という順で考えるとよいでしょう。

Q. 中小企業でもEDRは必要ですか？

A. 中小企業でもEDRの必要性は高まっています。警察庁の報告では、令和6年のランサムウェア被害は大企業が減少する一方で中小企業が37％増加しており、サプライチェーン経由で標的が中小にも広がっています。

専任のセキュリティ担当者がいなくても始められるよう、端末1台あたり月数百円台から使える製品や、運用代行（MDR）を含めて任せられるサービスもあります。低コスト・低運用負荷で始められる製品から検討するのが現実的です。

Q. EDRを導入できない端末（IoT・OT機器）はどう守ればよいですか？

A. EDRを導入できない端末は、ネットワークの通信を監視するNDRで守るのが基本です。EDRはエージェントを端末に常駐させる方式のため、工場の制御機器（OT）・IoTデバイス・古いシステム・ネットワーク機器などには導入できません。

NDRはエージェントを必要とせず、ネットワークを流れる通信の面からこれらの機器の異常をとらえられるため、EDRの穴を補う役割を担います。こうした機器を多く扱う事業では、EDRとNDRを組み合わせることで守れる範囲が広がります。

Q. EDR・NDRは自社運用とMDR委託のどちらがよいですか？

A. 専任のセキュリティ担当者やSOCがあれば自社運用、兼任や少人数で24時間の監視が難しければMDR（運用委託）が向いています。EDR・NDRは導入して終わりではなく、日々発生するアラートの確認・分析・対応という運用が続き、インシデント対応やフォレンジック調査には専門的な知識が求められます。

自社運用は柔軟性が高い反面で人材の確保と育成が前提になり、MDRは費用がかかる反面で運用負荷と属人化を抑えられます。製品を入れても運用できなければ「入れただけ」になりかねないため、自社の人員体制に合わせて選んでください。

Q. EDR・NDRの導入費用はどのくらいかかりますか？

A. EDR・NDRの費用は端末数やネットワーク規模・サポート範囲によって大きく変わり、多くのエンタープライズ向け製品は個別見積もり、中小企業向けには端末1台あたり月数百円台からの公表価格の製品もあります。費用を比べるときは、製品のライセンス料だけでなく、導入の初期費用、アラートに対応する人件費、MDRを使う場合の委託費まで含めた総保有コスト（TCO）で考えることが重要です。

ライセンス料が安くても運用に人手がかかれば、結果としての負担は大きくなります。正確な料金は各製品の公式情報でご確認ください。

Q. NDRの導入にはどのような準備が必要ですか？

A. NDRはエージェントレスで導入できる製品が多く、ネットワークスイッチのポートミラーリング（SPAN）やネットワークTAPで通信を複製し、NDRのセンサーへ送る設定が主な準備になります。端末一台ずつにソフトウェアを入れる必要がないため、EDRに比べて既存業務への影響が小さく、比較的短期間で監視を始められる点がメリットです。

監視したいネットワークの範囲や通信量を踏まえ、どの経路の通信を複製するかを設計しておくと導入がスムーズです。

EDR・NDR（サイバー脅威検知）の料金・手数料を一括チェック

MCB FinTechカタログでは、EDR・NDR（サイバー脅威検知）の最新資料をワンクリックで一括入手できます。気になる製品の機能・費用・サポート体制を見比べ、自社に足りない層に合ったサービスの選定にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。