XDR製品比較14選｜EDRとの違いと、監視できる範囲・他社製品との連携で選ぶ

全端末にEDRを導入したものの、アラートが上がったときに「どこから入られて、どこまで広がったのか」が追いきれません。メールもクラウドもネットワークも別々の管理画面に分かれていて、相関を確かめるには管理画面を行き来するしかない状態です。そんな状況に心当たりはないでしょうか。

この行き詰まりを解消する手段として検討されるのが、エンドポイントに加えてネットワーク・メール・クラウド・IDのログを1つの基盤に集め、相関分析するXDR（Extended Detection and Response）です。ただし「XDR」を名乗る製品は、取り込めるレイヤも、他社製品のログを扱えるかどうかも、運用まで任せられるかどうかも大きく異なります。

本記事では、XDR製品10件と、XDRに取り込むネットワーク側の検知基盤（NDR）4件の計14件を4つのタイプに分類し、対応レイヤ・他社製品のログ取り込み・運用形態・料金で比較します。EDR・NDR・MDR・SIEM・SOARとの守備範囲の違いや、製品を絞り込んだあとの確認項目も整理しました。自社の体制と既存製品に合う一本を見つけるための材料としてご活用ください。

すぐに製品を比べたい場合は「XDR製品の比較表」から、自社に合う型から絞り込みたい場合は「30秒で終わる選定診断ツール」からご覧いただけます。

XDRとは？エンドポイントを越えて複数レイヤのログを相関分析する仕組み

ここからは、XDRが何を統合して何を見るのかを、EDRを運用している前提で整理します。

XDR（Extended Detection and Response）とは

XDRは「Extended Detection and Response」の略で、日本語では拡張検知・対応と訳されます。エンドポイントだけを監視するEDRに対し、ネットワーク・メール・クラウド・IDといった複数のレイヤからログ（テレメトリ）を集め、それらを突き合わせて1つの攻撃として組み立てる点が中心的な性格です。

ただし、XDRには公的機関や標準化団体が定めた統一の定義がありません。用語が登場した時期を2018年とする点は複数のベンダーの解説で一致していますが、その後の定義は各社が製品思想に沿って置いている状況です。実際、次の2つの定義は同じ「XDR」を説明しながら、統合の対象範囲が正面から食い違っています。

エンドポイント、ネットワーク、クラウド、メール、SaaS アプリ、ID からのシグナルを統合プラットフォームにまとめることで、XDR は、サイバー脅威に対してより迅速かつ効果的に応答するために必要な可視性、分析、自動化をセキュリティ チームに提供します。

出典：XDR とは?｜Microsoft Security

XDR（Extended Detection and Response ）は、セキュリティー・ツールを統合し、すべてのセキュリティー・レイヤー（ユーザー、エンドポイント、Eメール、アプリケーション、ネットワーク、クラウド・ワークロード、データ）のセキュリティー運用を一元化するオープンなサイバーセキュリティー・アーキテクチャーです。

出典：Extended Detection and Response（XDR）とは｜IBM

前者は自社製品群のシグナルを束ねる構成を前提に語り、後者は「オープンな」アーキテクチャと定義しています。この違いは言葉のあやではなく、すでに導入している他社製品のログを取り込めるかどうかという、製品選定の分かれ目そのものです。カタログスペックの「XDR対応」だけで判断できない理由がここにあります。

そのため、各製品が実際にどのレイヤを取り込み、他社製品のログをどう扱うかを一件ずつ確認していきます。

XDRの仕組み：収集から対応までの4段階

XDRの処理は、テレメトリの収集、相関分析、優先度付け、対応の4段階で進みます。

まず各レイヤにセンサーやコネクタを置き、端末のプロセス実行履歴、通信ログ、メールの配送記録、クラウドの監査ログ、認証イベントなどを共通の基盤に集めます。次に、集めたイベント同士の時間的・因果的なつながりを解析し、単体では見逃されがちな挙動を1つのインシデントとしてまとめます。

まとめられたインシデントには、影響範囲や攻撃の進行度に応じたスコアが付き、担当者が着手すべき順序が示されます。最後に、端末の隔離、アカウントの無効化、通信の遮断といった対応を、自動またはワンクリックで実行します。

XDRの主な機能

各社の説明に共通して挙がるのは次の機能です。ただし実際にどこまで備わるかは製品ごとに差があり、後半の比較表で確認できます。

• レイヤ横断の振る舞い検知：単体では正常に見える操作でも、複数レイヤの挙動を突き合わせて異常と判定します
• 影響範囲の追跡：侵入の起点から現在までの経路を時系列で再構成し、どの端末・アカウント・データが関わったかを示します
• 脅威ハンティング：蓄積したログに対して条件を指定して検索し、まだアラートになっていない痕跡を探します

XDRとEDR・NDR・MDR・SIEM・SOARの違い｜どの層をどこまで守るか

この領域は似た略語が並び、既存投資との重なりが判断しづらくなっています。まず全体像を一覧で押さえたうえで、それぞれとの違いを個別に見ていきます。

※EDR・NDR・SIEMの役割は、独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」解説書［組織編］の共通対策の記述に基づきます。

EDR・NDR・SIEMについては、公的機関が次のように整理しています。

・EDR （Endpoint Detection and Response）　サーバーおよび PC 内の処理や外部との通信等の不審な振る舞いを検知することで迅速な対応を可能にする。
・NDR （Network Detection and Response）　ネットワーク上の通信を監視、分析することで不審な通信を検知し、迅速な対応を可能にする。
・SIEM （Security Information and Event Management）　アンチウイルスや EDR 等から出力されるログやイベント情報を一か所に集約し、相関関係を踏まえた分析を可能にする。情報を統合的に可視化することで、インシデントの調査を効率化でき、運用コストや手間の低減が期待できる。

出典：「情報セキュリティ10大脅威 2026」解説書［組織編］（2026年3月）p.47｜独立行政法人情報処理推進機構（IPA）

EDRとの違い：見える範囲と、アラート単体では追えないこと

EDRとXDRの関係は、対立ではなく包含です。XDRの多くはEDRを構成要素として内包し、そこにネットワークやメールのテレメトリを足して相関分析します。EDRを入れた投資が無駄になるわけではありません。

違いが出るのは、アラートが上がった後です。EDR単体では、端末上で何が起きたかは詳細にわかっても、その端末がなぜ侵害されたのか（入口）と、他のどこへ広がったのか（出口）は、端末の外の記録を別途たどらないと確定できません。XDRは、そのたどる作業を製品側の相関分析で肩代わりします。

NDRとの違い：ネットワーク側の検知と、XDRへの供給関係

NDRはネットワーク上の通信を監視し、不審な通信を検知する製品です。エンドポイントにエージェントを入れる前提のEDRと違い、エージェントを導入できない機器を通信の側から可視化できる点が特徴です。プリンタや複合機、監視カメラ、産業用制御機器、来訪者の持ち込み端末などが対象になります。

XDRとの関係は競合ではなく供給です。NDRが取得したネットワーク側のテレメトリをXDRやSIEMに渡すことで、XDRの相関分析にネットワークの視点が加わります。自社ネットワークにエージェントを入れられない機器が多い場合、XDR単体よりNDRとの組み合わせのほうが可視化の穴が埋まります。

統合の前に、そもそもエンドポイントとネットワークのどちらから検知の層を整備するかを決めたい場合や、XDRではなくEDR・NDRを単体で比べたい場合は、両者の守備範囲と製品を整理した以下の記事をご覧ください。

MDRとの違い：製品を買うのか、運用を委ねるのか

XDRが製品であるのに対し、MDR（Managed Detection and Response）は運用サービスです。24時間365日の監視、アラートの一次判断、初動対応までを外部の専門家が代行します。

両者は択一ではありません。XDR製品を購入して自社で運用する、XDR製品にその提供元のMDRを付ける、既存製品の運用だけを外部のセキュリティ事業者に委託する、といった組み合わせが実務上は並存します。調査会社も、EDRの普及にともなって運用の外部委託が広がっていると指摘しています。

近年、エンドポイント向けのセキュリティ製品であるEDR（Endpoint Detection and Response）が大手企業を中心に普及しています。これに伴い、EDRの運用をアウトソーシングするMDR（Managed Detection and Response）の需要が高まっています。

出典：国内MDR市場動向に関する調査結果を発表（2025年2月5日）｜IDC Japan株式会社

SIEM・SOARとの違い：集める層と、自動化する層

SIEMとSOARは、XDRと役割が重なって見えやすい2つです。

SIEMは、セキュリティ製品に限らず組織内のあらゆる機器・ソフトウェアのログを集約し、横断分析する基盤です。XDRより収集対象が広く、監査対応を見据えて長期保存する用途にも使われます。一方でSIEMは集めたログを分析する土台であり、検知から対応までの実行機能をあらかじめ組み込んでいるわけではありません。ここがXDRとの実務上の分かれ目です。

SOARは、インシデント対応の手順を自動化する層です。国際的なガイドでも、対応プロセスを自動化するために近年発展してきた手法として位置づけられています。

A security strategy that has evolved in recent years to automate the IR process is called security orchestration, automation, and response (SOAR). Some of the state of practice applications of SOAR include threat detection and response, vulnerability prioritization, compliance checks, and security audits with potential applications in many emerging areas, such as IoT management

出典：NIST Special Publication 800-215, Guide to a Secure Enterprise Network Landscape（November 2022）Section 3.4.1｜National Institute of Standards and Technology

3者は競合というより、同じ課題に別のアプローチで応える関係にあります。インシデント対応の国際的な推奨事項でも、複数ソースからの情報の相関そのものが検知の要件として挙げられています。

DE.AE-03 Information is correlated from multiple sources — R2: Use event correlation technology (e.g., SIEM, SOAR) to gather pieces of related data captured by multiple sources.

出典：NIST Special Publication 800-61r3, Incident Response Recommendations and Considerations for Cyber Risk Management（April 2025）Table 3｜National Institute of Standards and Technology

整理すると、SIEMが集める層、SOARが自動化する層、XDRはその両方を検知・対応の目的に絞って1つの製品にまとめた層、という関係になります。すでにSIEMを運用している場合、XDRを導入してもSIEMが不要になるとは限りません。XDRの分析結果をSIEMへ転送し、SIEMは監査・長期保存とXDR以外のログの受け皿として残す構成が、実務ではよく採られます。

なぜ今XDRが必要とされるのか｜EDRだけでは追えない侵入経路と、XDRで変わること・変わらないこと

ここからは、EDRを入れているのに不安が残る状態の正体を、公的機関の統計で具体化します。そのうえで、XDRで解決できることと、導入しても変わらないことを続けて整理します。

監視すべき範囲が端末の外へ広がっている

侵入の入口は、この数年で明確に移動しました。警察庁が公表した令和7年のランサムウェア被害の分析では、次のように述べられています。

近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（令和8年3月）p.15｜警察庁サイバー警察局

この傾向は年次でも確認できます。IPAが公表している感染経路の内訳では、2025年はVPN機器が66.3%、リモートデスクトップが20.7%で、この2つだけで87.0%を占めました。一方でメール・添付ファイル経由は2.2%まで下がっています。

出典・参考資料（1件）

• 出典：「情報セキュリティ10大脅威 2026」解説書［組織編］（2026年3月）p.33「ランサムウェアの感染経路の割合」｜独立行政法人情報処理推進機構（IPA）

入口がネットワーク機器に移ったということは、端末にエージェントを入れて監視していても、侵入の瞬間そのものは視界に入らないということです。加えて、標的型攻撃では入口がさらに分散します。

標的組織が利用するクラウドサービスや Web サーバー、VPN 装置等のネットワーク機器の脆弱性を悪用するほか、流出・窃取された認証情報や脆弱な認証管理を悪用して不正にアクセスし、組織内部へ侵入する。侵入後は、追加の認証情報の窃取や不正アカウントの作成、バックドアの設置等により永続的なアクセス手段を確保し、活動を継続することがある。

出典：「情報セキュリティ10大脅威 2026」解説書［組織編］（2026年3月）p.24「5位 機密情報を狙った標的型攻撃」｜独立行政法人情報処理推進機構（IPA）

守るべき対象そのものも社内ネットワークの外へ出ています。総務省の調査では、クラウドサービスを利用している企業の割合は増加を続けて8割を超え、テレワークも47.3%の企業が導入しています。社内ネットワークの内側だけを厚く守る前提は、すでに現実と合っていません。

出典・参考資料（1件）

• 出典：令和6年通信利用動向調査 ポイント（令和7年5月30日公表）p.6-7｜総務省

また、入口として狙われているVPN機器や公開サーバーそのものを把握しておく取り組みは、XDRによる検知とは別に必要になります。自社が外部にどんな資産を露出させているかを洗い出すASM（アタックサーフェスマネジメント）については、脆弱性診断との違いや、どちらから着手すべきかを以下の記事で解説しています。

侵入後の横移動は、単一レイヤの記録では再構成できない

侵入されたあと、攻撃者はその端末に留まりません。権限を広げながらネットワーク内部を移動していきます。警察庁は、この動きを次のように説明しています。

攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。そして、より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（令和8年3月）p.15｜警察庁サイバー警察局

攻撃手法の分類体系では、この動きを横移動（Lateral Movement）として整理しています。攻撃者が正規の認証情報とOS標準のツールを使って移動する場合、個々の操作は正常な管理作業と区別がつきません。1台の端末のログだけを見ても異常と判定できず、複数の端末・アカウント・通信をまたいで並べて初めて不自然さが浮かぶのはこのためです。

出典・参考資料（1件）

• 参考資料：Lateral Movement, Tactic TA0008 – Enterprise｜MITRE ATT&CK

監視点が増えるほど、アラート対応は追いつかなくなる

境界の内側を信頼せず、要求ごとに必要最小の権限で検証するゼロトラストの考え方は、政府情報システムでも適用方針が定められています。要求ごとに検証するということは、検証のたびに記録が生まれるということでもあります。

監視点が増えれば、扱うイベントも比例して増えます。同じ文書は、その現実的な限界にも触れています。

全てを観測することはコストに上限があることから実現可能ではない。そのため、対象を観測することによって達成したい目的がなにか、明確にする必要がある。また、観測の要件を定め、リアルタイムで見るべき内容とリアルタイムではないが定常的な確認が求められる内容、ログを残しておくだけで充足する等、目的に応じた必要十分な観測をすることが求められる。

出典：ゼロトラストアーキテクチャ適用方針（令和4年6月30日、標準ガイドライン群ID: DS-210）p.12｜デジタル庁

XDRが解こうとしているのは、まさにこの「見る対象が増えたのに、見る人の数は増えない」という状態です。集めるだけでなく、集めたイベントを1件のインシデントに束ねて件数そのものを減らすことが、製品の中心的な価値になります。

ユースケース：メール起点の侵入を、EDRとXDRでどう追うか

具体的な流れで見ると、両者の差がはっきりします。ここでは、フィッシングメールで認証情報が盗まれ、クラウドストレージのデータが持ち出されるまでを例にします。

EDR単体の場合、担当者が最初に受け取るのは「ある端末で見慣れないプロセスが実行された」というアラート1件です。そこから、そのプロセスがどう入ってきたのかを確かめるためにメールゲートウェイのログを検索し、同じ認証情報が他で使われていないかをID基盤の監査ログで探し、外部への通信をファイアウォールのログで追うことになります。3つの管理画面を行き来し、時刻を手作業で突き合わせる作業が発生します。

XDRの場合、メール受信、リンクのクリック、端末での実行、別拠点からのサインイン、クラウドストレージへの大量アクセスが、時系列でつながった1件のインシデントとして提示されます。担当者が判断するのは「これは本当に攻撃か」と「どこまで止めるか」の2点に絞られます。

差が出るのは検知の有無ではなく、侵入経路と影響範囲を確定するまでにかかる時間です。侵害の疑いが出てから封じ込めまでの時間が短いほど、持ち出されるデータの量も、復旧にかかる工数も抑えられます。

XDRを導入して変わること

ここまでの整理をふまえると、XDR導入で実際に変わるのは次の4点です。

• 調査にかかる時間が短くなる：複数の管理画面をまたいだ手作業の突き合わせが、相関済みのインシデント画面に置き換わります
• 対応すべきアラートの件数が減る：関連するアラートが1件のインシデントに集約されるため、担当者が着手する単位そのものが減ります
• 見える範囲が端末の外へ広がる：ネットワーク機器やクラウド、ID基盤が侵入経路になっている現状に、監視の対象を合わせられます
• 運用が1つの画面に集まる：製品ごとに分かれていた検知ルールの管理、調査、対応の実行を同じ場所で行えます

導入しても変わらないこと・新たに必要になること

一方で、XDRを入れれば運用の課題が自動的に解決するわけではありません。導入前に見込んでおくべき点は4つあります。

1つ目は費用です。XDRは既存のEDRライセンスに上乗せする形か、上位エディションへの移行として費用が発生します。取り込むレイヤを増やすほど、必要なモジュールやライセンスも増えます。

2つ目は連携設定の負荷です。メール・クラウド・ID基盤のログを取り込むには、それぞれのサービス側で連携の設定と権限付与が必要になります。他社製品のログを取り込む場合は、対応するコネクタがあるか、ログ形式が合うかの確認も要ります。

3つ目は、チューニングをしなければアラートは減らないという点です。導入直後は自社環境固有の正常な操作も検知対象になり、かえって件数が増えることがあります。監視の目的と対象を絞り、除外ルールを積み上げる作業を経て、はじめて件数が落ち着きます。

4つ目は運用体制です。インシデントとして束ねられても、最終的に「攻撃かどうか」「どこまで止めるか」を判断するのは人です。夜間・休日をどうするかを含め、自社で持つのか外部に委ねるのかを導入前に決めておく必要があります。

XDR製品の4つのタイプ｜自社はどの型に当てはまるか

XDR製品は、統合の対象を自社ベンダーの製品群に置くか、他社製品まで広げるかと、運用を自社で持つか外部に委ねるかの2つの軸で性格が分かれます。この2つは独立した軸なので、どちらか一方だけでは絞り込めません。さらに、エージェントを入れられない機器が多い環境では、ネットワーク側の検知基盤をXDRと組み合わせる選択肢もあります。

この4つは、製品を1つずつ振り分けるための排他的な箱ではありません。1つの製品が複数の性格を併せ持つことは普通にあり、たとえば自社製品でレイヤを揃える型でも日本語の運用代行を用意している製品や、ネットワーク側の検知基盤でも他社XDRへの連携先を公式に並べている製品があります。型は候補を絞る出発点として使い、最終的な確認は比較表の各列で行ってください。

統合の対象による分け方について、IBMは自社の解説ページで次のように述べています。

また、アナリストやベンダーは、XDRソリューションを、ソリューション・ベンダーのみからのセキュリティー・ツールを統合する ネイティブXDRと、ベンダーに関係なく組織のセキュリティー・エコシステム内のすべてのセキュリティー・ツールを統合するオープンXDRのいずれかに分類しています。

出典：Extended Detection and Response（XDR）とは｜IBM

以下では、この2つの型に運用形態とネットワーク側の検知基盤を加えた4つの型で整理します。

1. 自社ベンダーの製品群で固めるネイティブ型XDR

エンドポイント・メール・クラウド・IDを同一ベンダーの製品スイートで揃え、相関分析まで一体で提供する型です。各レイヤのセンサーが同じ設計思想で作られているため、取り込んだデータの粒度が揃い、相関の精度を出しやすい構成になります。

すでに同じベンダーの製品を業務システムやメール基盤で使っている場合、追加のライセンスを有効化するだけで対象レイヤを広げられることもあります。一方で、他社製品のログを取り込む経路が限られるか、別のログ分析基盤を経由する構成になりやすい点は確認が必要です。

2. 他社製品のログも束ねるオープン型XDR

自社製品に閉じず、他ベンダーのEDR・ファイアウォール・NDR・クラウドサービスのログを取り込んで相関分析する型です。すでに複数ベンダーの製品が混在している環境で、既存投資を残したまま可視化の範囲を広げたい場合に向きます。

確認したいのは、取り込める他社製品が公式にどこまで示されているかです。汎用のログ形式に対応していれば形式上は取り込めますが、そのログを製品側の相関分析にどこまで活かせるかは別問題になります。自社が使っている製品名が公式の連携先一覧に挙がっているかどうかが、実務上の判断材料になります。

同じ「オープン」を掲げていても、取り込みの深さは分かれます。公式ドキュメントで他社のEDR・ファイアウォール・ID基盤を製品名まで名指ししているものもあれば、syslogなど汎用のログ形式で受け取れるとまでしか示しておらず、主要な他社EDRからの取り込み可否が公開情報では確認できないものもあります。前者は導入前に対応可否が判断でき、後者は問い合わせやPoCで確かめる前提になります。

この差は運用開始までの時間に効いてくるので、比較表の「他社製品のログ取り込み」列と各製品の紹介を突き合わせてください。

3. 運用まで任せられるMDR一体型XDR

XDRの機能に、24時間365日の監視と初動対応を行う専門アナリストの運用がセットで付く型です。自社にセキュリティ運用の専任チームを置けない、あるいは夜間・休日の対応が空いている体制で選ばれます。

この型では、製品の機能よりも運用サービスの範囲のほうが選定を左右します。監視するだけで通知して終わりなのか、端末の隔離まで実行してくれるのか、日本語で相談できるのか。同じ「MDR付き」でも、含まれる範囲は製品によってかなり異なります。

4. XDRに取り込むネットワーク側の検知基盤（NDR）

XDRそのものではなく、XDRやSIEMの相関分析にネットワーク側のテレメトリを供給する型です。エージェントを導入できない機器が多い環境や、生産設備・制御系のネットワークを抱える組織で、XDRと組み合わせて検討されます。

侵入の入口がネットワーク機器に移っている現状では、この層を持つかどうかで、侵入の瞬間を記録に残せるかが変わります。通信を保存しておく製品であれば、後から遡って影響範囲を確かめることもできます。選定では、自社が導入するXDRやSIEMへ連携できるかが公式情報で示されているかが判断材料になります。

XDRと両方を持つかどうかは、エージェントを入れられない機器が業務上どれだけ重要かで決まります。端末とサーバーにエージェントを入れきれるなら、XDRが標準で取り込むネットワークの情報で足りることが多くなります。制御機器や複合機、取引先の持ち込み端末が重要な位置を占めるなら、その領域はXDR単体では視界に入りません。

併用する場合はライセンスが別建てになりますが、運用の一次判断は受け取り側のXDRに集約できます。

4つのタイプの比較

※上記は各タイプにおける一般的な傾向です。個別のサービスにおける実際の対応範囲や提供形態については各社情報をご確認ください。

XDR製品の選び方｜型を絞ったあと、製品を見分ける5つの確認項目

型が絞れたら、次は同じ型のなかで製品を見分ける段階に入ります。ここでは、資料や公式サイトの段階で確認できる5つの項目を挙げます。

1. どのレイヤまで標準で取り込めるか

最初に確認すべきは、エンドポイント・ネットワーク・メール・クラウド・IDの各レイヤについて、標準ライセンスで取り込めるのか、追加モジュールが必要なのか、他社製品の連携が前提なのかという3段の区別です。

「XDR対応」と書かれていても、実際にはエンドポイントとメールだけが標準で、ネットワークとクラウドは別ライセンスというケースは珍しくありません。この区別を確認せずに進めると、導入後に想定していた範囲が見えず、追加見積もりが必要になります。

判断の起点は自社環境です。侵入経路として現実的に懸念しているのがVPN機器やリモートデスクトップであればネットワーク層が、クラウドストレージからの持ち出しであればクラウドとID層が、それぞれ優先すべきレイヤになります。この項目は、後述する比較表のレイヤ5列で製品ごとに確認できます。

2. 既に入れている他社製品のログを取り込めるか、将来持ち出せるか

2つ目は、既存投資との接続です。確認するのは3点あります。

1点目は、自社が使っている製品名が、公式の連携先一覧に挙がっているか。名指しで挙がっていれば、取り込んだデータを相関分析に使える可能性が高くなります。2点目は、一覧にない製品について汎用のログ形式で受け取れるか。3点目は、蓄積したログを後から他の基盤へ持ち出せるかです。

この3点目は見落とされがちですが、数年後に製品を乗り換える場面で効いてきます。取り込む入口だけでなく、出口も確認しておくと、後の選択肢が狭まりません。1点目と2点目は比較表の「他社製品のログ取り込み」列で確認でき、3点目のログの持ち出しは公開情報に載らないことが多いため、資料請求や商談で直接確認する項目になります。

3. 既存のSIEM・ID基盤とどう役割を分けるか

すでにSIEMを運用している場合、XDRとの重複投資にならないかが論点になります。実務では、XDRを検知・対応の実行基盤、SIEMを長期保存と監査対応、XDR以外のログの受け皿として役割を分ける構成が採られます。この場合、XDRからSIEMへインシデント情報を転送できるかが接続点になります。

ID基盤との連携も同様です。認証イベントを取り込めるかどうかで、盗まれた認証情報による不正なサインインを検知できるかが変わります。自社が使っているID管理サービスが連携対象に含まれているかを確認してください。SIEMへの転送可否とID基盤の連携先はいずれも公開情報では判断しづらいため、資料請求や商談での確認項目にしてください。

ただし認証イベントの取り込みで分かるのは、盗まれた認証情報が使われた後の兆候です。入口側で認証そのものを固める手当ても併せて見直すのであれば、認証方式や、VPN・既存の社内システムに認証だけを追加できるかで製品を比較した以下の記事が参考になります。

4. 運用をどこまで任せられるか

運用代行の有無は「あり／なし」では判断できません。見るべきは次の4点です。

• 対応時間：24時間365日か、平日日中のみか
• 対応範囲：検知して通知するまでか、端末の隔離などの初動対応まで実行するか
• 言語：日本語で相談・報告を受けられるか。製品の管理画面が日本語でも、運用サービスは英語のみという組み合わせがあります
• 最小契約数：数十ライセンスからの最小構成が定められている場合があり、小規模では条件を満たさないことがあります

5. 検知精度と、誤検知のチューニング負荷

検知精度は公開情報だけでは判断しづらい項目です。第三者評価の結果を公表している製品もありますが、評価対象のライセンス構成や試験条件が自社環境と一致するとは限りません。

実務で効いてくるのは、むしろ誤検知を抑え込むための手間です。除外ルールを画面から設定できるか、対象を絞った検知ルールを自分で書けるか、初期チューニングをベンダーや販売代理店が支援するか。この3点は、導入後の運用負荷を大きく左右します。実際の精度と手間は、後述するPoCで自社環境のログを流して確かめるのが確実です。

XDRの費用と、投資対効果をどう説明するか

比較表の料金欄を読む前に、価格がどのような形で提示されるのかを押さえておきます。

公開されている価格の水準

XDR製品の価格は、多くが個別見積もりです。そのなかで公式サイトに価格を掲載している製品は、おおむね次の課金単位を採っています。

• 端末単位：1台あたりの月額または年額。国内では1台あたり月額500円・700円（いずれも税抜）を公開している製品があり、米ドル建てでは1台あたり年額179.99米ドル・184.99米ドル・229.99米ドルを公開している製品があります（税の扱いは製品ごとに注記が異なります）
• ユーザー単位：1ユーザーあたりの月額。検知・対応の各製品を束ねたスイートとして1ユーザー月額1,799円（税抜・年払い）、中小企業向けに機能を絞った構成として1ユーザー月額449円（税抜・年払い）が公開されています
• ライセンス数の階段制：契約ライセンス数が増えるほど単価が下がる方式。同じ製品でも数十ライセンスと数千ライセンスで単価が数倍変わります
• データ量課金：取り込むログの量に応じた従量制。取り込むレイヤを増やすほど費用が上がるため、対象の絞り込みが費用に直結します

ここに挙げたのは公式サイトで価格を公開している製品の水準であり、XDR全体の相場を示すものではありません。日本国内では販売代理店を経由した見積もりになる製品も多く、公開価格がそのまま適用されるとは限りません。

自社の規模に当てはめるときは、公開価格に付いている前提条件を必ず確認してください。米ドル建ての年額には「5〜100台のワークステーションを対象とした価格」と注記されているものがあり、それを超える規模では別途見積もりになります。1ユーザー月額の統合スイート価格は、検知・対応以外の機能も含んだライセンス全体の値段で、XDR部分だけの費用ではありません。

ライセンス数の階段制を採る製品では、数十ライセンスと数千ライセンスで単価が数倍変わります。

そのため概算を作るときは、公開価格をそのまま台数で掛けるのではなく、自社の台数・ユーザー数を伝えたうえで見積もりを取り、同じ条件で並べるのが確実です。

数百名規模までで、複数レイヤの統合まで踏み込むと予算や運用工数が見合わないと感じる場合は、対象をエンドポイントとアカウントの不正利用に絞る選択肢もあります。中小企業の予算で導入できる検知の製品や、IT導入補助金・サイバーセキュリティお助け隊サービスの使い方は以下の記事にまとめています。

運用委託を付ける場合の費用の考え方

運用代行を付ける場合、費用は製品ライセンスとは別建てになるのが一般的で、公開価格を出している製品はほとんどありません。見積もりを取る際は、費用差が生まれる要素を先に整理しておくと比較しやすくなります。

差が出るのは、監視の時間帯（24時間365日か平日日中か）、対応範囲（通知までか初動対応までか）、報告の頻度と形式、日本語対応の有無、そして最小契約ライセンス数です。同じ「MDR付き」でも、この5点の組み合わせで金額の桁が変わります。相見積もりを取るときは、この5点を揃えたうえで比較してください。

投資対効果の示し方

XDRは被害を防いだ額を直接示しにくい投資です。そのため社内で説明するときは、削減できる工数と、統合による費用の相殺で組み立てるのが現実的です。

工数の面では、現在1件のインシデント調査に何時間かかっているかを実測し、そのうち複数の管理画面を突き合わせる作業に費やしている時間を分けて示します。費用の面では、XDRに統合することで解約できる既存製品のライセンス費用を差し引きます。

市場環境も補助的な材料になります。業界団体の調査では、国内のEDR製品市場は2023年度が496億円（前年度比27.0%増）、2024年度見込が595億円（同20.0%増）、2025年度予測が684億円（同15.0%増）と推計されています。SOC事業の市場も2023年度1,973億円、2024年度見込2,062億円、2025年度予測2,165億円と伸びが続く見通しです。

同調査は、大手企業では製品導入が一巡し、運用委託の需要にあわせた導入・乗り換えが増えているとも述べています。

出典・参考資料（1件）

• 出典：国内情報セキュリティ市場 2024年度調査報告（2025年6月30日）｜NPO日本ネットワークセキュリティ協会（JNSA）

ただし、これらはEDR製品とSOCサービスの市場規模であって、XDR固有の数値ではありません。市場の伸びは補足として添え、説明の主軸は自社の実測工数に置くほうが説得力を持ちます。

自社がどのタイプに当てはまるか判断が難しい場合もあります。そのような場合でも貴社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。

【比較表】XDR製品14選を対応レイヤ・他社ログの取り込み・運用形態で比較

ここからは、XDR製品10件と、XDRに取り込むネットワーク側の検知基盤（NDR）4件の計14件を、4つのタイプに分けて比較します。4つの表はすべて同じ列で構成しているので、型をまたいで読み比べられます。

レイヤの列（エンドポイント・ネットワーク・メール・クラウド・ID）は、次の4つの値で書き分けています。

• 標準：そのXDRのライセンス範囲で、追加購入なしに取り込めるもの
• オプション：上位プラン、追加モジュール、同じベンダーの別製品の購入が必要なもの
• 他社製品の連携で対応：自社のセンサーを持たず、他社製品のログを取り込むことで補うもの
• －：公式情報でそのレイヤへの対応を確認できなかったもの（非対応と断定するものではありません）

運用代行の列には、提供時間と対応言語を併記しています。夜間・休日をどう埋めるかは製品選定の分かれ目になるためです。料金の列は、公式サイトが公開している価格のみを実額で載せ、それ以外は「要お問い合わせ」としています。

ネイティブ型XDRの比較表

※2026年8月時点の各社公式情報に基づきます。実際の対応範囲・提供形態については各社情報をご確認ください。

オープン型XDRの比較表

※2026年8月時点の各社公式情報に基づきます。実際の対応範囲・提供形態については各社情報をご確認ください。

MDR一体型XDRの比較表

※2026年8月時点の各社公式情報に基づきます。実際の対応範囲・提供形態については各社情報をご確認ください。

ネットワーク側の検知基盤（NDR）の比較表

この型はXDRにテレメトリを供給する側なので、「他社製品のログ取り込み」列は、XDR・SIEMへ連携して渡せるかとして読んでください。取り込む方向ではなく、渡す方向の可否を示しています。

※2026年8月時点の各社公式情報に基づきます。実際の対応範囲・提供形態については各社情報をご確認ください。

XDR製品14選の詳細

ここからは、各製品の対応レイヤ・他社製品との連携・運用形態・料金を個別に見ていきます。タイプごとにまとめているので、絞り込んだ型のブロックから読み始められます。ただし型は排他ではないため、運用代行の有無や他社ログの取り込み可否で絞りたい場合は、型をまたいで比較表の該当列を見てください。日本語の運用代行を持つ製品は、運用を任せる型以外にもあります。

自社ベンダーの製品群で固めるネイティブ型XDR

同一ベンダーの製品スイートでレイヤを揃える構成です。すでに同じベンダーの製品を業務基盤で使っている企業にとって、短期間で対象レイヤを広げやすい選択肢になります。

1. TrendAI Vision One（旧称: Trend Vision One）（トレンドマイクロ株式会社）

エンドポイント・ネットワーク・メール・クラウド・アイデンティティ・データの6領域を単一コンソールで扱い、集めたテレメトリを相関分析する統合セキュリティプラットフォームです。2026年4月に法人向け事業が「TrendAI」ブランドへ移行したことにともない、製品名も「Trend Vision One」から現在の表記に変わりました。

6領域はいずれもXDRの検知領域として用意されていますが、相関分析に載せるには、そのレイヤに対応する同社製のセンサーやエージェントを導入することが前提になります。他社製品のログは、Syslog（CEF・LEEFを含む）で送信できる製品をコレクター経由で取り込む方式と、Microsoft・AWS・Cisco・Splunkなどを検証済みとして挙げるマーケットプレイス経由の統合が公式に示されています。

運用代行はTrend Service One（Essentials／Complete）として別に用意され、24時間365日でメール・エンドポイント・サーバー・クラウドワークロード・ネットワークのデータを監視し、優先順位付けから封じ込めまでを担います。日本国内での提供体制や対応言語の詳細は、公式ページには明記されていません。

料金は2026年1月にクレジット制へ一本化され、2月から「TrendAI Flex」の名称で提供されていますが、単価・総額とも公式サイトに記載がなく問い合わせが必要です。契約期間は1年から5年で、ボリュームディスカウントや複数年割引は適用されず、未使用クレジットは契約終了時に失効します。無料体験版は30日間です。

2. SentinelOne（Singularity Platform）（SentinelOne Japan株式会社）

米国のSentinelOne社が開発し、日本法人のSentinelOne Japan株式会社が国内で提供する「Singularity Platform」です。単一のエージェントと統合管理コンソールでEPP（次世代アンチウイルス）・EDR・XDRを扱い、攻撃の流れを自動で組み立てる「Storyline」で個々のイベントを1つのシナリオとして表示します。

ネイティブに扱える範囲はパッケージで変わります。Singularity Completeはエンドポイントとクラウドワークロードが対象（データ保持14日）で、上位のCommercialでアイデンティティの検知・対応と90日のデータ保持が加わります。

ネットワーク（Singularity Network Discovery）やデータレイク／AI-SIEMは独立した製品として掲載されており、主要パッケージへの標準内包は公式ページに明記がありません。

他社製品のログは「Singularity Marketplace」からノーコードで取り込む方式です。ファイアウォールやメールゲートウェイ、ID基盤、SIEM/SOARなどのデータを共通スキーマ（OCSF）に正規化するため、取り込み元が違っても同じクエリで横断的に検索できます。

運用代行は「Wayfinder MDR」のEssentials／Eliteで、24時間365日の監視・トリアージと対応を委託できます。料金は公式サイトが米ドル建てで、Completeが1エンドポイントあたり年額179.99ドル、Commercialが229.99ドル（5〜100台を対象とした税別価格）。

Enterpriseは問い合わせで、国内サポートの提供時間は公式の日本語サイトに記載がなく、代理店経由での確認になります。

3. Microsoft Defender XDR（日本マイクロソフト株式会社）

ID・エンドポイント・メール・クラウドアプリのシグナルをMicrosoft Defenderポータルで関連付け、1件のインシデントとしてまとめます。単独では購入できず、複数のDefender製品を展開すると自動的に有効になる統合レイヤという位置づけの製品です。

相関の中核になるのは、Defender for Endpoint プラン2（エンドポイント）、Defender for Identity（Active Directoryのシグナル）、Defender for Office 365 プラン2（メール・コラボレーション）、Defender for Cloud Apps（SaaS・クラウドサービス）の4製品です。

展開するワークロードを増やすほど、検知と自動対応の範囲が広がります。

公式サイトが円建てで公開しているのはバンドルの価格です。Microsoft 365 E5はTeams込みで1ユーザー月額8,995円、Teamsを除く構成で7,713円、E3系のライセンスを前提に5製品を束ねたMicrosoft Defenderスイートは1,799円（いずれも年払い・税抜）。

中小企業向けには、最大300ユーザー・1人あたり5台までのMicrosoft Defender for Businessが449円で用意されています。

一方で、Defender for EndpointやDefender for Identityを単体で購入する場合の価格は、公式の料金ページに掲載がありません。XDRの相関は複数のDefender製品の組み合わせで成り立つため、総額はライセンス構成ごとに見積もりで確かめることになります。

他社製品のログについては、Defender XDR単体で直接取り込む機能は公式には確認できず、SIEMのMicrosoft Sentinelを経由する構成が案内されています。Sentinelは公式ドキュメントによればSyslog・CEF・REST APIのコネクタで350以上のデータソースに対応しますが、Sentinel側のライセンスとデータ取り込みの費用が別に発生します。

運用代行のMicrosoft Defender Experts MDRは、既存のDefenderライセンスとは別売りで価格は公開されていません。Plan 1は24時間体制のインシデントキュー管理と脅威ハンティング、Plan 2はSentinelで集めた他社製品のテレメトリまで対象を広げ、Sentinelの利用と最低1,500ライセンス席が条件になります。

このMDRについて、公式ドキュメントには「現在、このサービスは英語でのみ利用できます」と明記されています。管理画面やドキュメントが日本語化されていても運用委託のやり取りは英語になるため、日本語での報告・相談を前提とする場合は確認が必要です。

4. Sophos Endpoint（旧称: Sophos Intercept X）（ソフォス株式会社）

2025年10月のポートフォリオ再編で、「Intercept X」から「Sophos Endpoint」へ名称が変わった製品です。検知・対応の機能はSophos EDR、Sophos XDR、Sophos MDRという独立したライセンスに整理され、エージェントと管理コンソール（Sophos Central）は従来のまま引き継がれました。

開発は英国のSophos社で、国内はソフォス株式会社が提供しています。

XDRのライセンスでは、エンドポイントとサーバーに加えて、ファイアウォール・メール・Microsoft 365といった複数のデータソースを横断して検知と対応を行います。同じ2025年10月の再編で、MDR・XDRの利用者向けにサードパーティ統合を標準搭載する構成へ変更され、ID脅威の検知・対応（Sophos ITDR）はMDRのアドオンとして追加されました。

運用代行のSophos MDRは、世界6拠点のSOCによる24時間365日の監視・脅威ハンティング・インシデント対応で、Threat Advisor／Essentials／Completeの3階層があります。2022年4月からは東京のデータセンターを使った日本語版のサービスも提供しています。料金は公式サイトに記載がなく代理店経由の見積もりで、30日間の無料お試し版が用意されています。

他社製品のログも束ねるオープン型XDR

複数ベンダーの製品が混在している環境で、既存の投資を残したまま可視化の範囲を広げたい場合に向く構成です。連携先が公式にどこまで示されているかが判断材料になります。

5. Palo Alto Cortex XDR（パロアルトネットワークス株式会社）

エンドポイントに導入する自社エージェントを中核に、ネットワーク・クラウド・IDのデータを機械学習で相関分析するXDRです。Cortex 製品群のなかでは、SOC機能を統合するCortex XSIAM、クラウドセキュリティのCortex Cloudと共通のデータ基盤で連携しながら、独立した製品として提供が続いています（英語版公式サイト、2026年8月時点）。

標準で取り込める範囲は、エンドポイントに加えてAWS・Azureなど主要クラウドの監査ログ、OktaやDuoの認証ログまで広がります。ネットワークは自社の次世代ファイアウォールとネイティブに連携し、クラウドワークロードの脆弱性やコンプライアンスの可視化にはPrisma Cloud（別ライセンス）との連携が必要になる場合があります。

他社製品のログはsyslog・HTTP・Filebeatなどの標準フォーマットや専用コネクタで取り込む方式で、公式ドキュメントにはMicrosoft 365監査ログ、Google Workspace、他社ファイアウォールやWebサーバのログが対応例として挙がっています。

一方でCrowdStrikeやSentinelOneといった他社EDR製品からの取り込み可否は公式サイト上で明示されておらず、導入前の個別確認が要ります。

運用代行はUnit 42 Managed Detection and Responseが担い、24時間365日体制で検知・調査から封じ込めまで対応します。Unit 42の日本語サービスは2026年1月に国内で本格開始しましたが、Cortex XDR向けMDRの国内提供範囲は個別に確認が必要です。料金は初期費用・月額とも非公開で、販売代理店経由の見積もりになります（2026年8月時点）。

6. Check Point Infinity XDR/XPR（チェック・ポイント・ソフトウェア・テクノロジーズ株式会社）

検知・対応のXDRに、攻撃の拡大を防ぐ予防（XPR）を組み合わせた一体型の製品です。2023年にHorizon XDR/XPRとして発表され、日本語公式サイトは現在もInfinity XDR/XPRの表記ですが、英語版の管理者ガイドではCheck Point XDRへの名称整理が進んでいます（2026年8月時点）。

公式が挙げる検知レイヤはエンドポイント・ネットワーク・メール・モバイルで、いずれもHarmony EndpointやQuantum Security Gatewayなどの自社製品を接続して使う構成です。クラウドのCloudGuardやActive Directory・Oktaといったアイデンティティ基盤は、管理者ガイド上は情報を補完するエンリッチメント用途の連携として記載されています。

公式管理者ガイドには、SyslogまたはAPIで取り込める他社製品が名指しで並んでいます。

エンドポイント側はMicrosoft 365 Defender for Endpoint・CrowdStrike Falcon・SentinelOne・Trend Micro Vision One、ネットワーク側はFortinet・Palo Alto Networks・Ciscoの次世代ファイアウォール、ID基盤はOktaが挙げられています。

運用代行は2025年7月発表のMDR 360°／MXDR 360°が24時間365日で提供し、運用込みのManaged XDRライセンスも用意されています。ただし日本語での提供可否は公式サイトに明示がありません。料金は初期費用・月額とも非公開でユーザー単位またはボリューム方式の課金ですが、30日間の無料トライアルが公開されており、自社環境で試してから判断できます。

運用まで任せられるMDR一体型XDR

専任のセキュリティ担当が少なく、夜間・休日の監視体制を自社で持てない場合の選択肢です。この型には性格の異なる2種類が混在します。複数レイヤを相関したうえで運用まで委ねられる製品と、取り込む対象をエンドポイントに絞る代わりに、国内ベンダーが日本語で運用を丸ごと引き受ける製品です。

後者はレイヤの広がりでは前者に及びませんが、端末側を確実に守れれば十分で運用の手を空けたい場合には現実的な選択肢になります。

7. CrowdStrike Falcon（クラウドストライク合同会社）

米国CrowdStrike, Inc.が開発するクラウド型のセキュリティプラットフォームで、検知・対応を担うFalcon Insight XDRは上位プランのFalcon Enterpriseに追加費用なしで含まれます。ID・クラウド・データ保護の各モジュールを導入していれば、その情報も検知の判断材料に加えられると公式の製品ページは説明しています。

メールやネットワーク機器のログ、他社製品のテレメトリは、別ライセンスのFalcon Next-Gen SIEMを経由して取り込む構成です。AWS・Okta・Zscalerなど500以上の事業者との連携が公表されており、Microsoft Defenderのログはエージェントを追加せずに取り込めます。サードパーティのデータは1日10GBまで無償で取り込めると公式に記載があります。

運用まで委ねる場合は、検知から対応までを専門アナリストが担うFalcon Complete Next-Gen MDR（24時間365日）を追加します。料金は個別見積もりです。MDRそのものの提供言語は公式サイトに記載がなく、問い合わせ・調達の窓口はクラウドストライク合同会社と国内代理店が日本語で対応します。

ライセンス自体は公式サイトに1台あたりの価格があり、Falcon Enterpriseは1台あたり年額184.99米ドルです（2026年8月時点の公式価格ページ）。国内では代理店経由の見積もりになる場合があります。

8. Cybereason（サイバーリーズン合同会社）

エンドポイントでの検知・対応を核に、ネットワーク・ID・クラウド・ワークスペース・モバイルのログを横断して1つの攻撃ストーリーに組み立てるXDRです。関連する挙動をMalOpという単位にまとめて示す設計で、クラウド提供のほか、エアギャップ環境向けにオンプレミス版のCybereason On-Premも用意されています。

取り込める他社製品は、公式サイトにレイヤごとの製品名で挙げられています。ワークスペースはMicrosoft 365やGoogle Workspace、IDはActive DirectoryやOkta、ネットワークはCisco・Palo Alto Networks・Fortinetなどが並び、自社で使っている製品名で連携の可否を確かめられます。

MDRサービスは日本・ボストン・テルアビブの3拠点のSOCで運営され、24時間365日の監視を日本語で受けられます。検知時は調査と抑止策の提示まで行い、上位のCompleteプランでは抑止措置の実施も代行します。料金は初期費用・月額とも公式ページに記載がなく個別見積もりで、米国本社は2025年11月にLevelBlueの傘下に入りましたが、日本法人による提供は続いています。

9. ESET PROTECT MDR（キヤノンマーケティングジャパン株式会社）

防御（EPP）・検知（XDR機能のESET Inspect）・24時間365日の監視運用を1つのプランにまとめたのがESET PROTECT MDRです。製品を開発するのはスロバキアのESET, spol. s r.o.で、国内ではキヤノンマーケティングジャパン株式会社が総販売代理店として供給とサポートを担っています。

取り込む対象はエンドポイントが中心で、クライアント（Windows・Mac・Linux）とサーバーの活動を収集・分析して不審な挙動を検知します。ネットワーク・メール・クラウド・IDを標準で取り込む構成は公式の製品比較表に示されておらず、他社製品のログを束ねる用途には向きません。XDR機能が含まれるのはMDRとEliteの2プランで、下位のプランには入りません。

問い合わせ窓口は、キヤノンマーケティングジャパングループの国内セキュリティエンジニアが日本語で対応します。プランは最小26ライセンスのMDR Liteと、従業員1,000名以上を対象とする最小100ライセンスのMDR Ultimateの2区分です。

MDR Liteは26〜49ライセンスで1ライセンス年額14,300円、100〜249ライセンスで10,920円（いずれも税抜、2026年7月時点のキヤノン公式価格ページ）と、契約数に応じて単価が下がります。

10. LANSCOPE サイバープロテクション（エムオーテックス株式会社）

自社にSOCを置けない企業に向けて、検知エンジンの提供から運用代行までを国内ベンダーがまとめて引き受ける形のサービスです。AIアンチウイルスのAurora Protect、EDRのAurora Focus、運用代行のAurora Managed Endpoint Defenseで構成され、検知エンジンはAurora系とディープラーニング型のDeep Instinctの2系統から選べます。

対象はエンドポイントに絞られ、製品構成はアンチウイルス・EDR・運用代行の3層です。ネットワークやメール、クラウド、IDのログを取り込むレイヤは含まれず、連携先として案内されているのは同社のLANSCOPE エンドポイントマネージャーになります。対応OSはWindowsとLinuxで、5台から導入できます。

運用代行のAurora Managed Endpoint Defenseは24時間365日の有人監視で、対応が必要なアラートを選別して通知し、緊急時には攻撃対応の代行も行います。ライセンス料金はAurora Protect単体が1台あたり月額500円、Aurora Focusを加えると月額700円と公式の製品ページに記載があります。

運用代行とDeep Instinctの料金は公式に記載がなく、要お問い合わせです。

XDRに取り込むネットワーク側の検知基盤（NDR）

エージェントを導入できない機器や制御系ネットワークを抱える環境で、XDRと組み合わせて検討される構成です。自社が導入するXDR・SIEMへ連携できるかが選定の起点になります。

11. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、公式サイトによればネットワークをミラーリングして流れるパケットを100％保存し、収集・検知・脅威ハンティング・フォレンジック・対応までを1つの製品で担うオンプレミス型のNDRアプライアンスです。開発元は韓国のQuad Miners Inc.で、日本国内では日本法人の株式会社クワッドマイナージャパンが提供します。

検知は3つの方式を組み合わせます。既知の攻撃パターンを照合するシグネチャベース、利用者の行為から異常を捉える振る舞い分析、送受信データを復元してマルウェアの侵入や機密データの外部流出を捉えるコンテンツ分析です。MITRE ATT&CKに沿ったシナリオベースの相関検知により、攻撃の連なりを追う脅威ハンティングも行えます。

XDRやSIEMへの接続は、Syslog（CEF形式）とREST APIによる外部連携に対応します。あわせて、開発元自身のXDRプラットフォーム「QUADX」にセンサーとして統合し、収集したパケットと証跡データをSIEM機能へ供給する構成も用意されています。

導入がミラーリングだけで完結するため、IoT機器や産業用制御機器のようにエージェントを入れられない機器も検知の対象に含められます。公式サイトでは、IT・OT双方のネットワークを可視化の対象とすることが示されています。

料金は公開されておらず、ネットワーク規模やデータの保存期間に応じた個別の構成見積もりになります。監視運用を代行するサービスについても、提供元の公式サイトに案内はありません（いずれも2026年8月時点）。国内では日本法人のほか、2024年1月に総代理店契約を結んだ株式会社フーバーブレインを含む代理店経由でも提供されており、運用支援は代理店側のメニューとして用意されています。

12. Darktrace（ダークトレース・ジャパン株式会社）

英国のDarktrace Limitedが開発し、日本ではダークトレース・ジャパン株式会社が展開する検知プラットフォームです。自己学習型AIが組織ごとの通常の挙動を学習し、そこからの逸脱として脅威を捉えるため、シグネチャに現れない新種の攻撃や内部の不審な通信も対象になります。

他社製品との連携は、公式のテクノロジーパートナーページに製品別で示されています。CrowdStrike FalconやSentinelOne、Cybereasonのアラート・テレメトリを取り込んでAIの判断材料に加えるほか、Microsoft DefenderスイートのデータはMicrosoft Graph Security API経由で取得します。

逆に、Darktrace側のインシデントを外へ送り出す経路も示されています。Splunk・IBM QRadar・Rapid7 InsightIDRのダッシュボードでAI Analystインシデントやモデル侵害アラートを分析でき、Palo Alto Networks Cortex XSOARではアラートを起点にしたプレイブックで対応を自動化できます。

製品はDarktrace/NETWORKを中核に、メール・クラウド・OT・アイデンティティ・エンドポイントがそれぞれ個別のモジュールとして分かれています。必要なモジュールを組み合わせてカバー範囲を構成する設計のため、制御システムまで見る場合はDarktrace/OTというように、対象領域ごとに導入範囲を決めることになります。

運用面では、2024年6月に提供を開始したManaged Detection & Responseがあり、英国・米国・シンガポールの3拠点で24時間365日の監視・調査・初期トリアージを担います。料金は公開されておらず、監視対象のデバイス数に応じた個別見積もりです。国内は販売代理店を通じた提供が中心となります。

13. Vectra AI（Vectra AI Japan株式会社）

ネットワークの通信の振る舞いをAIで分析し、侵入後の横展開や認証情報の悪用を捉えるNDRです。米国のVectra AI, Inc.が開発し、国内では日本法人のVectra AI Japan株式会社と、代理店のマクニカ株式会社が窓口を担います。

検知エンジン「Attack Signal Intelligence」が、公式サイトによれば150以上のAIモデルで通信を分類し、良性のイベントを自動で解決したうえで、対象ごとに緊急度を付けます。

エンドポイントの検知エージェントを自社では持たず、他社EDRとのAPI連携でその領域を補う設計です。

公式の連携先一覧には、CrowdStrike FalconやMicrosoft Defender for Endpoint、SentinelOneといったEDRのほか、Microsoft SentinelやSplunk、IBM QRadarなどのSIEM、Cortex XSOAR・Splunk SOARといったSOARが挙がっています。

対象範囲は、オンプレミスのデータセンターやリモートワーク環境に加え、AWS・Azure・Google Cloudなどのクラウド、Active DirectoryとMicrosoft Entra IDのID基盤、Microsoft 365、IoT/OT機器まで広がります。エージェントを置けない機器も、通信の分析から検知の対象に含められます。

運用の代行はVectra MXDRとして提供され、全面的に任せるか、自社SOCとの分担にするかを選べます。国内ではマクニカが監視サービスとMDR、トライアル相談の窓口を担い、公式サイトでは三菱電機や遠鉄グループなどの導入事例が公開されています。料金は公式・代理店ともに非公開で、要お問い合わせとなります。

14. FortiNDR（フォーティネットジャパン合同会社）

フォーティネットジャパン合同会社が国内で提供する、Fortinetのネットワーク検知製品です。AIと機械学習でネットワークのメタデータを継続的に分析し、横展開・データの持ち出し・権限昇格といった攻撃者の挙動を検知します。公式サイトによれば、600万件超の不正・安全な特徴量を学習済みの「バーチャルセキュリティアナリスト」機能を備え、暗号化された通信も復号せずに分析します。

他製品との連携は、FortinetのSecurity Fabricを経由してNGFW・EDR・SIEM・SOAR・XDRと統合する設計で、公式サイトでは500以上のサードパーティコネクタへの対応が示されています。2026年3月には、FortiNDRのテレメトリを検出精度の向上に用いる形でFortiGuard SOC-as-a-Serviceを強化したことも発表されています。

OT環境への対応では、Modbus TCPやBACnet、OPCなど65以上のOT特有のプロトコルにエージェントレスで対応し、資産インベントリの可視化も行います。提供形態は、エアギャップ環境に対応するオンプレミス型と、米国・欧州リージョンでデータを保管しログを365日保持するFortiNDR Cloudの2系統です。

国内では正規販売代理店を通じたマネージドサービスもあり、株式会社セキュアヴェイルが2024年11月に24時間365日のSOC監視を付けたマネージドNDRサービスを開始しています。料金は公式サイト・データシートともに記載がなく、見積もりにはフォーティネットまたは正規販売代理店への問い合わせが必要です。

XDR導入の進め方｜PoCと段階導入で失敗を避ける

製品を数本に絞ったあとの進め方を整理します。選び方の節がカタログ上の確認だったのに対し、ここからは自社環境で実際に確かめる段階です。

導入の全体像

導入はおおむね4つの段階で進みます。まず、どのレイヤから取り込むかを決めます。すべてを一度に取り込もうとすると、連携設定の負荷とアラート件数が同時に跳ね上がるため、侵入経路として懸念の大きいレイヤから順に広げるのが現実的です。

次に、候補製品でPoC（実証）を行い、自社環境のログを実際に流して検証します。そのうえで、対象部門や拠点を区切って段階的に展開し、最後に運用設計を固めます。この4段階のうち、失敗が起きやすいのはPoCと運用設計の2つなので、以下で個別に掘り下げます。

PoCで確認すること

PoCで確かめるのは、資料では判断できない4点です。

• 自社環境のログを実際に取り込めるか：連携先一覧に載っていても、バージョンや構成によって取り込めないことがあります。実際のログを流して確認します
• 誤検知がどの程度出るか：自社固有の業務システムや運用スクリプトが検知対象になっていないかを見ます。除外ルールを設定する手間もここで測れます
• 既存のSIEM・ID基盤と連携できるか：インシデント情報の転送、認証イベントの取り込みが想定どおり動くかを確認します
• 問い合わせに日本語で対応してもらえるか：PoC期間中の質問への回答速度と言語は、導入後のサポート品質を測る材料になります

PoCの期間は、無料トライアルを用意している製品であれば15日から30日程度が一般的です。この期間内に上記4点を確かめられるよう、検証項目と担当者を先に決めておいてください。

運用設計とアラートのチューニング、人材の確保

導入後の成否を分けるのは運用設計です。決めておくべきは、誰が一次判断を行うか、どのレベルのインシデントで誰にエスカレーションするか、夜間・休日はどう扱うか、そして自動対応をどこまで許容するかの4点になります。

アラートのチューニングは一度で終わりません。運用を始めてから数か月かけて、誤検知の除外と検知ルールの調整を繰り返すことになります。この工数を導入計画に織り込んでおかないと、アラートが放置される状態に陥ります。

人材を自社で確保できない場合は、運用代行を組み合わせる判断が必要です。全面的に委託するほかに、平日日中は自社で対応し夜間・休日のみ委託する、一次判断だけ委託して対応の実行は自社で行う、といった分担も選べます。導入前にどこまでを自社で持つかを決めておくと、製品選定の幅も定まります。

まとめ

XDRは、エンドポイントに閉じていた検知の範囲を、ネットワーク・メール・クラウド・IDまで広げ、それらを1つのインシデントとして束ねる仕組みです。侵入の入口がVPN機器やリモートデスクトップに移り、侵入後は正規の認証情報を使って内部を移動する現状では、端末の記録だけで経路と影響範囲を確定するのは難しくなっています。

ただし「XDR対応」という表示だけでは製品を選べません。同一ベンダーの製品群で固めるネイティブ型か、他社製品のログまで束ねるオープン型か。運用まで任せられるMDR一体型か。エージェントを入れられない機器を抱えるなら、ネットワーク側の検知基盤を組み合わせる構成も選択肢に入ります。

自社の既存製品と運用体制から型を絞り、そのうえで対応レイヤと連携先を製品ごとに確かめるのが、遠回りに見えて確実な進め方です。

絞り込みの起点は3つで足ります。主要な製品を単一ベンダーで揃えているか複数ベンダーが混在しているか、夜間・休日の監視を自社で持てるか、エージェントを入れられない機器が業務の重要な位置にあるか。

この3つに答えれば型が決まり、型が決まれば候補は数本まで落ちます。あとは比較表で、優先したいレイヤが「標準」になっている製品と、いま使っている製品が連携先に挙がっている製品を残してください。

MCB FinTechカタログでは、掲載しているXDR製品の資料を無料で請求できます。気になる製品が絞り込めたら、資料を取り寄せて自社環境での取り込み可否を確かめてください。

よくある質問（FAQ）

Q. EDRからXDRへ移行すべきタイミングはどう見極めればよいですか？

A. XDRへの移行を検討する分かりやすい目安は、EDRのアラートを起点にした調査で、メール・クラウド・ネットワークのログを人手で突き合わせる作業が常態化しているかどうかです。

具体的には、侵入経路の特定に複数の管理画面を行き来している、クラウドやテレワークの利用が広がって端末の監視だけでは範囲が足りない、アラート件数に対して一次判断が追いつかず対応が後回しになっている、のいずれかに当てはまる状態が続いているなら検討時期です。

逆に、守る対象がほぼ社内の端末に限られ、EDRのアラートを当日中にさばけているのであれば、XDRより先に検知ルールのチューニングや運用体制の整備に投資するほうが効果が出ることもあります。

Q. XDRを導入すると、いま使っているEDRは入れ替えになりますか？

A. XDRを導入してもEDRへの投資が無駄になるわけではありませんが、選ぶ型によって、エンドポイントのエージェントごと入れ替えになる場合と、既存のEDRを残したまま使える場合に分かれます。

ネイティブ型は同一ベンダーのセンサーから取れるテレメトリを前提に相関分析する設計のため、別ベンダーのEDRを使っている場合はエンドポイント側の入れ替えを伴うことが多くなります。オープン型は他社製品のログを取り込む前提なので、既存のEDRを残せる可能性が高くなります。

判断の手がかりになるのは、自社が使っているEDRの製品名が候補製品の公式な連携先一覧に挙がっているかどうかです。名指しで挙がっていない場合は、汎用のログ形式で受け取れるのか、受け取ったログを相関分析にどこまで使えるのかを個別に確認してください。

Q. すでにSIEMを運用している場合、XDRとSIEMは両方必要ですか？

A. XDRとSIEMは役割が重なる部分もありますが、実務ではどちらかに寄せるのではなく、検知・対応の実行をXDR、長期保存と監査対応・XDR以外のログの受け皿をSIEMというように役割を分ける構成が採られます。

SIEMはセキュリティ製品に限らず組織内のログを広く集める基盤で保存期間も長く取れる一方、検知から対応までの実行機能を標準で備えているとは限りません。XDRは対象を検知・対応に絞り、相関分析から端末の隔離までを1つの製品で完結させます。

すでにSIEMがある場合の接続点は、XDRからSIEMへインシデント情報を転送できるかどうかです。取り込み量に応じて費用が決まるSIEMでは、XDR側で相関済みの情報を送る構成にすることで、SIEMに流し込むログの量を抑えやすくなります。

Q. XDRを導入すれば、SOC（監視・運用の体制）は不要になりますか？

A. XDRを導入しても、アラートを最終的に判断して対応を決めるSOCの役割そのものがなくなるわけではありません。

XDRが減らせるのは、複数の管理画面を突き合わせる調査の手数と、着手すべきアラートの件数です。「これは本当に攻撃なのか」「どこまで止めるのか」という判断そのものを代行する製品ではありません。

自社にSOCを置けない場合の現実的な選択肢は、運用代行がセットになった型を選ぶか、既存製品の運用だけを外部のセキュリティ事業者に委託するかのいずれかです。委託した場合も、報告を受けて社内の意思決定を行う担当は自社側に必要になります。

Q. XDRとNDRは両方必要ですか？

A. エージェントを導入できない機器の比率が、両方を持つかどうかの分かれ目になります。端末とサーバーにエージェントを入れきれる環境であれば、XDRが標準で取り込むネットワークの情報で足りることが多くなります。

一方、生産設備の制御機器、複合機やネットワークカメラ、取引先の持ち込み端末といったエージェントを入れられない機器が業務上の重要な位置を占める場合、その領域はXDRの視界に入りません。通信の側から可視化するネットワーク側の検知基盤を足す判断になります。

併用する場合、ライセンスは別建てになります。ただし運用の一次判断は、供給されたテレメトリを受け取るXDR側の画面に集約できるため、管理画面が2つに増えるとは限りません。導入前に決めておきたいのは、連携の可否と、どちらの画面でアラートを見るのかの2点です。

Q. 中小企業や数百名規模の会社でもXDRの費用は現実的ですか？

A. XDRは大企業専用の仕組みではなく、公開されている価格では中小企業向けに機能を絞った構成で1ユーザー月額449円（税抜）、端末単位では月額500〜700円台（税抜）といった水準もあります。ただし規模が小さい場合は最小契約ライセンス数の条件に注意が必要です。

取り込むログの量に応じた従量制を採る製品もあるため、監視の対象レイヤを侵入経路として懸念の大きいところから絞ることが、そのまま費用の抑制につながります。

費用が跳ねやすいのは運用代行を付ける場合です。数十ライセンスからの最小構成が定められていることがあり、小規模では条件を満たさないケースもあります。見積もりを依頼する段階では、最小契約数と対応範囲を先に押さえておくと比べやすくなります。

Q. 無料で使えるXDRやオープンソースの選択肢はありますか？

A. 商用のXDR製品に恒常的な無料プランはほとんどなく、無償で試せるのは15〜30日程度の無料トライアルが中心です。

オープンソースのログ収集基盤や検知エンジンを組み合わせて近い構成を自作する方法もありますが、各製品からログを取り込む仕組みの開発と維持、検知ルールの作成、基盤そのものの運用をすべて自前で担う前提になります。人手が足りないことがXDR検討の動機であれば、自作は課題の解決にならないことが多いでしょう。

費用を抑えたい場合は、すでに契約している業務基盤やEDRのライセンスに検知の統合機能が含まれていないか、上位エディションへの移行で対象レイヤを広げられないかを先に確認するほうが現実的です。

Q. 海外ベンダーのXDR製品でも、日本語でサポートを受けられますか？

A. XDRの日本語対応は製品ごとに差があり、管理画面やドキュメントが日本語でも、運用代行（MDR）のやり取りは英語のみという組み合わせがあります。

運用代行を英語でのみ提供すると公式ドキュメントに明記している製品がある一方、国内のデータセンターを使った日本語の運用代行を提供している製品もあります。製品の日本語化と、運用サービスの言語・対応時間は分けて確認してください。

国内では販売代理店を経由して導入する製品も多く、その場合は代理店が一次サポートを担うこともあります。PoCの期間中に、問い合わせへの回答速度と言語を実際に確かめておくと判断しやすくなります。

XDR製品の料金・対応範囲を一括チェック

MCB FinTechカタログでは、XDR製品の最新資料をワンクリックで一括入手できます。対応レイヤや料金体系を各社の資料で見比べたい場合は、下記からまとめてご請求ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。