ゼロトラストにおけるEDRの役割とは？EPP・NDR・XDRとの違いと導入の進め方

社内でゼロトラストへの移行を検討する中で、エンドポイント対策として「EDR」という言葉を見聞きした方は多いでしょう。ただ、ゼロトラストという大きな枠組みの中でEDRが結局どこを守る何なのか、自分の中でつながっていないという方も少なくないはずです。攻撃者の侵入を前提に考えるゼロトラストでは、端末を常に疑って監視する仕組みが欠かせません。その役割を担うのがEDRです。

一方で、EDRは万能ではありません。予防を担うEPPとの違いや、ネットワーク側を見るNDR、複数の領域を横断するXDRとの役割分担を理解しないまま導入すると、守れていると思い込んでいた範囲に死角が残ります。自社のどこにEDRを位置づけ、どの順序で導入すればよいのかを判断するには、まずそれぞれの対策が「何を守る対策か」を押さえる必要があります。

本記事では、ゼロトラストにおけるEDRの役割を起点に、EPPとの違い、EDR・NDR・XDRの守備範囲とEDRがカバーしない死角、段階的な導入の進め方、製品・サービスを選ぶときの観点までを解説します。端末の監視・対応から、侵害の痕跡を調べる診断、ネットワーク側の監視まで、実際に活用できるサービスもあわせて紹介します。

ゼロトラストの中でEDRが担う役割

ゼロトラストの中でEDR（Endpoint Detection and Response）が担うのは、侵入をあらかじめ想定したうえで、端末（PC・サーバーなど）の上で起きる不審な動きを検知し、調査・対応する層です。社内外のネットワークや端末を「もう攻撃者が入り込んでいるかもしれない」という前提で捉え、入口で防ぎきれなかった脅威を端末側で見つけて食い止める役割を果たします。

この「侵入を前提にする」という考え方は、ゼロトラストの定義そのものに根ざしています。米国国立標準技術研究所（NIST）は、ゼロトラストを次のように定義しています。

Zero trust (ZT) provides a collection of concepts and ideas designed to minimize uncertainty in enforcing accurate, least privilege per-request access decisions in information systems and services in the face of a network viewed as compromised.

出典：NIST Special Publication 800-207「Zero Trust Architecture」§2｜米国国立標準技術研究所（NIST）

日本語にすると「ゼロトラストとは、ネットワークはすでに侵害されているという前提のもとで、情報システムやサービスへのアクセスを要求ごとに正確かつ最小権限で認める判断の不確実性を、最小限に抑えるための概念と考え方の集まり」という意味です。

ここで鍵になるのが「ネットワークはすでに侵害されているとみなす（a network viewed as compromised）」という捉え方です。従来の境界型セキュリティが「社内ネットワークの中は安全、外は危険」と境界を引いて守っていたのに対し、ゼロトラストでは社内であっても安全な領域とは考えません。

NISTは原則の一つとして「ネットワーク上のどこにいるかだけでは信頼を与えない」「組織が保有するすべての資産について、本質的に信頼されるものはない（No asset is inherently trusted）」と示しており、端末も例外なく常に監視・検証の対象になります。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-207「Zero Trust Architecture」§2.1 Tenets of Zero Trust｜米国国立標準技術研究所（NIST）

ゼロトラストの全体像とEDRが守る層

ゼロトラストは単一の製品ではなく、守る対象ごとの複数の仕組みを組み合わせて実現する考え方です。アクセスのたびに利用者と端末を検証し、必要最小限の権限だけを与え、通信や端末の状態を継続的に監視します。EDRはこのうち「端末」を担当し、入口の防御をすり抜けて端末に到達した脅威を、挙動の監視によって見つけ出します。

ゼロトラストの構成要素と、それぞれを担う主な仕組み、その中でのEDRの位置づけを一覧にすると、次のとおりです。EDRが守るのは「端末」の層であり、認証やネットワークの層は別の仕組みが担います。

※ゼロトラストの構成要素と担う仕組みの一般的な整理です。製品により担う範囲は異なります。

この層分けは、EDRが端末の層だけで孤立して働くという意味ではありません。EDRが捉えた端末の状態（マルウェア感染や不審な挙動の有無）は、認証・アクセス制御の判断材料として使えます。リスクが高い端末からのアクセスを制限する、といった形で端末の層は認証の層とつながります。

こうして端末の状態をアクセス可否の判断に反映させることで、「要求ごとに最小権限で認める」というゼロトラストの考え方に、端末側のEDRが結びついて機能します。具体的な連携のしかたは、後述の「選ぶときの観点」でIPAの例とあわせて取り上げます。

端末は攻撃の主要な入口であり、侵入後に真っ先に不審な動きが現れる場所でもあります。だからこそ、端末を常に疑って監視するEDRが、ゼロトラストの中で重要な一角を占めます。ただし後述のとおり、EDRが見られるのはあくまで端末の中であり、ネットワークを流れる通信や、端末から端末への横移動はEDR単体ではカバーしきれません。

EDRとは｜侵入を前提に端末を監視・対応する仕組み

EDRは、端末の操作や動作を監視し、サイバー攻撃を受けたことを見つけ次第、対応するためのソリューションです。独立行政法人情報処理推進機構（IPA）は、EDRを次のように説明しています。

エンドポイント（パソコン・サーバ・スマートデバイス等）の操作や動作の監視を行い，サイバー攻撃を受けたことを発見し次第対処するソリューションである。

出典：ゼロトラスト導入指南書〜情報系・制御系システムへのゼロトラスト導入〜 p.17｜独立行政法人情報処理推進機構（IPA）

EDRの仕組み

EDRは端末にインストールしたエージェントを通じて、プロセスの起動・ファイルの操作・通信などの挙動を継続的に記録します。集めたログを相互に関連付けて分析し、マルウェアそのものを見つけるだけでなく、「正規のツールが不審な順序で使われている」といった攻撃の兆候を挙動のパターンから検知します。入口で止める発想ではなく、入り込んだ後の振る舞いから異常を見つける点が、EDRの基本的な考え方です。

EDRの主な機能（検知・調査・対応）

EDRの機能は、侵入後の一連の流れに沿って整理できます。まず端末上の不審な挙動や攻撃の兆候を検知し、次に端末のログを解析して何が起きたのか（侵入経路や影響範囲）を調査します。そのうえで、感染した端末の隔離やマルウェアの駆除、復旧の支援といった対応につなげます。

IPAも、EDRの要素として攻撃の兆候の検知、ログデータの解析と関連付け、リアルタイム監視、アンチウイルスとの連携、インシデント対応・フォレンジック調査への活用を挙げています。

これらの機能は、攻撃を未然に防ぐというより、「防ぎきれずに入られた」ことを前提に被害を最小限に抑えるためのものです。この性格が、次に説明するEPP（予防）との違いにつながります。

EPP（予防）とEDR（検知・対応）の違い

EDRを理解するうえで欠かせないのが、EPP（Endpoint Protection Platform）との違いです。EPPはいわゆるアンチウイルスソフトを含む、端末をマルウェア感染から守るための予防の仕組みです。IPAは両者の違いを次のように整理しています。

EPP（Endpoint Protection Platform）は，アンチウイルスソフトとも呼ばれている。エンドポイントにマルウェアなどが感染しないよう保護することを目的としたセキュリティ対策ツールの総称であり，従来から個人・企業等で広く利用されている。

マルウェアに感染しないようにする EPP に対し，EDR はマルウェア侵入を許してしまった後の被害を抑えることを主目的としたセキュリティ対策である。

出典：ゼロトラスト導入指南書 p.17｜独立行政法人情報処理推進機構（IPA）

整理すると、EPPは「感染の前」に入口で防ぐ対策、EDRは「感染の後」に端末上の被害を抑える対策です。両者は対立するものではなく、役割が異なります。守るタイミングと目的の違いを並べると、次のとおりです。

EPPだけでは足りない理由を整理します。ゼロトラストが前提とするように、攻撃は巧妙化し、入口の防御をすり抜けて侵入される可能性を完全には排除できません。侵入されたときに、その事実に気づかず被害が広がることを避けるために、端末上の不審な挙動を検知して対応するEDRが必要になります。EPPで防ぎ、EPPで防ぎきれなかったものをEDRで見つける、という二段構えが、侵入前提の考え方に沿った備えです。

EDR・EPP・NDR・XDRの守備範囲とEDRの死角

ゼロトラストを進めると、EDR以外にもNDR・XDR・SASE・SIEMといった対策が登場します。いずれも似た略語ですが、守る対象が異なります。それぞれが「どこを守る対策か」を一望できるよう整理すると、次のとおりです。

※上記は各対策の一般的な守備範囲の整理です。製品によってカバー範囲や呼称は異なるため、個別の仕様は各社情報をご確認ください。

EDRとEPPはどちらも端末を守る対策で、EPPが予防、EDRが侵入後の検知・対応を担います。NDR（Network Detection and Response）はネットワークを流れる通信を監視し、XDR（Extended Detection and Response）は端末・ネットワーク・クラウドなど複数の領域の情報を横断的に相関分析します。

SASEは社外からのアクセスや通信経路を安全に制御する仕組み、SIEMは各種ログを集約して分析する仕組みです。EDRはこの中で「端末」を担当する対策だと位置づけられます。

このうちXDRは、EDRが見る端末の情報に、ネットワークやクラウドなど複数領域の情報を加えて相関分析する、EDRの発展形にあたる仕組みです。EDRの次の一手としてXDRへの拡張を考える場合は、EDRとの具体的な違いや、製品ごとに監視できる範囲・他社製品との連携を比べた次の記事が判断の助けになります。

EDRがカバーしない死角｜ネットワーク側と横移動

EDRは端末上の挙動を監視しますが、裏を返せば端末の外で起きることは見えません。ネットワークを流れる通信そのものや、ある端末から別の端末へと侵入を広げる横移動（ラテラルムーブメント）は、端末側のEDRだけでは捉えきれない死角になりえます。

ネットワーク側の見えにくさについては、IPAもゼロトラストの構成要素を検証するなかで、通信経路を制御するSASEのような仕組みを導入しても、その経路を通らない通信は捉えられないと指摘しています。

SASE を通過しない通信（内部から内部への通信など）は検知できず，検知するためにはクラウド側に認証基盤を置いて，必ず通過する仕組みを作る必要があることがわかった。

出典：ゼロトラスト導入指南書 p.18｜独立行政法人情報処理推進機構（IPA）

内部から内部への通信が見えにくいという死角は、端末側のEDRでも同じ構図で起こります。そこで、ネットワーク上の通信を監視して脅威を検知・対応するNDRや、内部を細かく区切って横移動を抑えるマイクロセグメンテーションを組み合わせ、端末側とネットワーク側の両方から多層で守る考え方が必要になります。

EDRは端末を守る要ですが、それだけでゼロトラストが完成するわけではなく、カバーしない範囲を他の対策で補うことが前提になります。

自社でのEDRの位置づけと段階的な導入の進め方

EDRを含むゼロトラストは、一度にすべてを入れ替えるものではありません。NISTも、ゼロトラストへの移行はインフラやプロセスを丸ごと置き換えるのではなく、段階的に進める取り組みだと説明しています。

Implementing a ZTA is a journey rather than a wholesale replacement of infrastructure or processes. An organization should seek to incrementally implement zero trust principles, process changes, and technology solutions that protect its highest value data assets.

出典：NIST Special Publication 800-207「Zero Trust Architecture」§7｜米国国立標準技術研究所（NIST）

ここで示されているのは、最も価値の高いデータ資産を守るところから、ゼロトラストの原則・プロセス・技術を少しずつ取り入れていくという進め方です。

導入の進め方（現状把握から優先度づけへ）

NISTは、ゼロトラストへ移行するにはまず自社の資産（物理・仮想）、利用者とその権限、業務プロセスを詳しく把握する必要があるとしています。EDRの導入もこの流れに沿って進めると、無理がありません。

まず着手したいのは、いま社内の端末に何を入れているか（EPPだけなのか、EDRは未導入か）の棚卸しです。そのうえで、個人情報や機密データを扱う端末・部門など、侵害されたときの影響が大きく守る優先度の高い対象を洗い出しておくことが出発点になります。

次に、優先度の高い端末からEDRを適用し、検知されるアラートの量や誤検知の傾向を見ながら運用を慣らしていくとよいでしょう。そこで得た手応えをもとに対象範囲を段階的に広げていくと、現場の負荷を抑えながら進められます。

運用に人手がかかる問題とSOC・MDRでの補完

EDRは導入して終わりではなく、検知したアラートに適切に対応してはじめて効果を発揮します。この運用には人手が必要で、自社だけで対応しきれない場合には外部の力を借りる選択肢があります。IPAも、アラート対応について次のように整理しています。

EDR は導入したのちに、検知されたアラートに適切に対応することで真価を発揮する。アラート対応について、内製・外注といった選択肢がある。

出典：ゼロトラスト移行のすゝめ p.32｜独立行政法人情報処理推進機構（IPA）

専任のセキュリティ担当者を置きにくい企業では、アラートの監視・分析・対応を担うSOC（セキュリティ運用監視）や、その運用を代行するMDR（マネージド検知・対応）といった外部サービスを組み合わせる方法もあります。

IPAは、技術力に不安がある場合、試験運用中のアラート対応を自社で行いつつ、対応の難しい部分だけをSOC事業者へ外注する進め方も挙げています。EDRを選ぶときは、製品の機能だけでなく、運用までを自社の体制でどう回すかをあわせて考えることが大切です。

運用の外注先となるMDRは、代行してもらえる範囲（検知だけか対応・復旧まで含むか）や課金単位、24時間監視の中身がサービスごとに大きく異なります。どこまでを任せられるサービスが自社に合うかを見極めたいときは、主要なMDRサービスを条件別に比べた次の記事が目安になります。

EDR製品・サービスを選ぶときの観点

ここまでを踏まえ、EDRの製品・サービスを選ぶときに確認したい観点を整理します。自社の現状と運用体制に照らして、次の点を見ていくと判断しやすくなります。

• 検知の精度：未知の脅威も含めて不審な挙動をどこまで捉えられるか。IPAは、脅威インテリジェンス（最新の攻撃手口に関する情報）を活用した検知が有効だとしています。
• 自動隔離・復旧の機能：脅威を検知したときに、感染端末の自動隔離やファイルの復旧まで対応できるか。被害の封じ込めの速さに関わります。
• 既存ツールとの連携：EPPやログ基盤、認証の仕組みと連携できるか。IPAは、リスクが高いと判断された端末からのアクセスを制限するIDaaS（クラウドで認証を管理する仕組み）連携などを挙げています。
• 自社の運用体制に合うか：運用の中でポリシーを調整（チューニング）し、アラート対応を内製できるか、外注が必要か。運用負荷に見合った体制を組めるかが継続のカギになります。

出典・参考資料（1件）

• 参考資料：ゼロトラスト移行のすゝめ｜独立行政法人情報処理推進機構（IPA）

これらの観点は、端末のEDRだけで完結するものではありません。前述のとおりEDRには死角があるため、端末の予防・検知、侵害の有無を調べる診断、ネットワーク側の監視といった複数の対策を組み合わせて、多層で守る視点が欠かせません。

EDR・端末対策を支えるサービスの活用

ここからは、ゼロトラストにおける端末の守りを具体的に支えるサービスを紹介します。端末での予防と検知・対応を担うセキュリティソフト、すでに侵害されていないかを事後に調べる診断、EDRの死角であるネットワーク側を補うNDRと、守る層の異なる3つのサービスを取り上げます。それぞれが多層防御のどこを担うのかを押さえると、自社に足りない対策が見えてきます。

ここで取り上げるのは端末とネットワークを中心とした一例です。認証・ログ管理・入口対策まで含め、守る対象別にどんなタイプのサービスがあるのかを一望して比較検討に進みたい場合は、社内セキュリティソリューション全体を守る対象別に整理した次の記事が、全体像の把握に役立ちます。

1. Eye"247" Safety Zone（株式会社フーバーブレイン）

Eye”247″ Safety Zoneは、EPP（予防）とEDR（侵入後の検知・対応）を単一の製品に組み合わせた、端末向けのセキュリティソフトです。株式会社フーバーブレインが提供し、Bitdefenderと共同開発した検知エンジンを採用しています。入口でのマルウェア対策と、侵入後の端末の監視・対応を1つの製品で担える点が特徴です。

検知方式としては、アプリケーションの動作を常時監視して不審な動きを見つける振る舞い検知や、機械学習ベースの検知エンジンを備えます。ランサムウェア対策では、動作を監視してファイルを自動でバックアップし、被害時にクライアント側で直近のバックアップから復旧できる機能を標準で搭載しています。

検知状況はブラウザベースの管理コンソールで一元的に確認でき、端末の状態を可視化できます。料金は導入台数や契約期間に応じた個別見積もりで、公式には要問い合わせです。専任のセキュリティ担当者を置きにくい中堅・中小企業に向いています。

2. CoWorker 端末侵害診断サービス（CoWorker株式会社）

CoWorker株式会社が提供する端末侵害診断サービスは、常駐して監視するEDRとは異なり、対象端末からログを収集して事後に解析する、スポット／定期実施型の端末フォレンジック診断です。「すでに侵害や情報の持ち出しが起きていないか」を調べる点で、侵入前提の考え方に沿ってEDRを補う位置づけになります。退職者のPC診断、在籍者端末の定期健康診断、生成AIの利用環境の診断という3つのシナリオを扱います。

診断は、自社開発のAI「Blue Agent」が端末のログを短時間で解析し、その結果をセキュリティ専門家が精査するハイブリッド体制で進めます。マルウェア感染の痕跡、認証情報の流出、個人クラウドへのデータ同期、不審なUSB・ネットワーク接続などを調べ、リスク優先度付きのレポートと報告会を提供します。

従来のフォレンジック調査は費用が高く専門家も限られていましたが、AIの活用で手早く実施しやすくした点が特徴です。料金は1台あたりの単価制で、台数の段階に応じたボリュームディスカウントが設けられています。

こうした事後の診断を一度きりでなく定期的に行う必要がある背景を、同社は次のように説明しています。

3. Network Blackbox（株式会社クワッドマイナージャパン）

株式会社クワッドマイナージャパンが提供するNetwork Blackboxは、ネットワークを流れる通信を収集して脅威を可視化・分析・対応するNDR（Network Detection and Response）製品です。EDRがカバーしきれないネットワーク側の死角を補う役割を担います。EDRの置き換えではなく、EDRやSIEMと連携して多層防御を組む補完的な位置づけの製品です。

フルパケットキャプチャを基盤に、通信の収集、検知、脅威ハンティング、フォレンジック、対応の機能を備えます。検知は、既知の攻撃を見つけるシグネチャベースの検知に加え、ネットワーク上のユーザー行為を記録して通常と異なる動きを捉える方式や、送受信データの内容を分析する方式を併用します。

脅威ハンティングではMITRE ATT&CK（攻撃者の手口を体系化した知識ベース）のフレームワークを活用し、通信を遡って調べるフォレンジックにも対応します。EPPやEDRを導入できない制御機器などネットワーク側からしか見られない領域の監視にも用いられ、他のツールとはSyslogやREST API経由で連携します。料金は要問い合わせです。

まとめ

ゼロトラストの中でEDRが担うのは、攻撃者の侵入を前提に、端末上の不審な挙動を検知して対応する層です。入口で防ぐEPPに対し、EDRは防ぎきれずに入られた後の被害を抑えます。両者は役割が異なり、組み合わせて使うものです。

一方でEDRは端末の中しか見られず、ネットワーク上の通信や端末間の横移動は死角になります。この死角は、通信を監視するNDRや内部を区切るマイクロセグメンテーションで補います。

導入は一度に全部ではなく、現状把握から優先度の高いところへ段階的に進め、運用の人手はSOC・MDRで補う選択肢もあります。製品選びでは、検知精度・自動隔離や復旧・既存ツールとの連携・自社の運用体制に合うかを見ていくとよいでしょう。端末の予防と検知・対応、侵害の有無を調べる診断、ネットワーク側の監視を組み合わせ、多層で守る視点が、ゼロトラストにおけるEDR活用の要点です。

よくある質問（FAQ）

Q. ゼロトラストにおけるEDRとは何ですか？

A. ゼロトラストにおけるEDR（Endpoint Detection and Response）とは、攻撃者の侵入をあらかじめ想定したうえで、端末（PC・サーバーなど）上の不審な挙動を検知し、調査・対応するためのソリューションです。入口で防ぎきれなかった脅威を端末側で見つけて食い止める役割を担い、ゼロトラストの中では「端末」を守る層に位置づけられます。

社内であっても安全な領域とは考えず、端末も常に監視・検証の対象とするゼロトラストの原則に沿った仕組みです。

Q. ゼロトラストにEDRは必須ですか？

A. ゼロトラストは「ネットワークはすでに侵害されている」とみなす考え方のため、侵入後に端末上の異常を検知・対応するEDRは、端末を守る層として欠かせない要素です。入口の防御をすり抜けて端末に到達した脅威は、端末側で見つけて食い止めるほかありません。

ただしEDRが見られるのは端末の中だけなので、EDRを入れればゼロトラストが完成するわけではなく、認証やネットワーク側の対策と組み合わせて初めて機能します。

Q. 既存のアンチウイルス（EPP）があれば、EDRは不要ですか？

A. EPP（アンチウイルス）だけでは、入口の防御をすり抜けて侵入された後の被害に気づけません。そのため、EDRによる侵入後の検知・対応が別途必要です。 EPPは感染の「前」に入口で防ぐ対策、EDRは感染の「後」に端末上の被害を抑える対策で、守るタイミングと目的が異なります。

両者は対立するものではなく、EPPで防ぎ、EPPで防ぎきれなかったものをEDRで見つける二段構えが、侵入を前提とするゼロトラストの考え方に沿った備えになります。

Q. EPP・EDR・XDRのうち、どれから導入すればよいですか？

A. 一般的には、まず端末の予防を担うEPPと、侵入後の検知・対応を担うEDRで端末の守りを固め、複数の領域を横断して見たい段階でXDRへ広げるという順序で考えると整理しやすくなります。XDRは端末・ネットワーク・クラウドなど複数領域の情報を相関分析する仕組みで、EDRの置き換えというより発展形にあたります。

どれを優先するかは、いま自社の端末に何を入れているか（EPPだけか、EDRは未導入か）を棚卸しし、最も守るべき端末・業務から段階的に適用していくのが無理のない進め方です。

Q. EDRとNDRは両方必要ですか？

A. EDRは端末、NDRはネットワークを流れる通信と見ている対象が異なります。そのため、両方を組み合わせると端末側とネットワーク側の双方を多層で守れます。 EDRだけでは、ネットワーク上の通信や、ある端末から別の端末へ侵入を広げる横移動（ラテラルムーブメント）が死角として残ります。

この死角を、通信を監視するNDRや、内部を細かく区切るマイクロセグメンテーションで補う考え方が必要です。自社のネットワーク構成や守るべき資産に応じて、組み合わせを検討するとよいでしょう。

Q. 専任のセキュリティ担当者がいなくてもEDRは運用できますか？

A. EDRは検知したアラートへの対応に人手が必要ですが、SOC（セキュリティ運用監視）やMDR（マネージド検知・対応）といった外部サービスを活用すれば、専任者を置けない企業でも運用できます。 EDRは導入して終わりではなく、アラートに適切に対応してはじめて効果を発揮します。

対応の難しい部分だけを外部へ外注する進め方もあるため、製品の機能だけでなく、運用までを自社の体制でどう回すかをあわせて考えることが大切です。

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、EDR・端末対策をはじめとする社内セキュリティソリューションの最新資料を無料で一括請求できます。守る対象別に製品の機能や特徴を比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。