従業員による情報の持ち出しや、外部からのサイバー攻撃の兆しを、起きてしまう前に掴みたいと考える企業が増えています。多くの組織はすでにPCや社内ネットワークのログを取得していますが、「取得はしているが、誰も見ていない」「アラートが多すぎて本当に危険な兆候を見分けられない」という状態に陥りがちです。専任のセキュリティ担当を置けない企業ではなおさら、兆候を早期に検知する仕組みが欠かせなくなっています。
脅威検知サービスには、社内の不正・情報漏えいの予兆を捉えるものと、外部からの攻撃や不正アクセスを捉えるものがあり、検知の仕組みも運用の仕方も大きく異なります。自社が守りたい対象に対して、どのタイプのどのサービスが合うのかを、どのような観点で比較すればよいのでしょうか。
本記事では、脅威検知サービスを「検知する対象」で2つのタイプに整理し、機能・仕組み・運用形態・費用の考え方を比較・解説します。内部の不正を捉える内部脅威検知と、外部からの攻撃を捉えるサービスの違い、検知の仕組み、検知後の支援まで含めた選び方を整理しました。情報システム・セキュリティの担当者が、自社に合うサービスを判断するための材料としてご活用ください。
また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
脅威検知サービスとは？
脅威検知サービスとは、社内の端末・ネットワーク・業務データや、クラウド環境の挙動を継続的に分析し、情報漏えいやサイバー攻撃につながる不審な動きを早い段階で見つけ出すサービスの総称です。守る対象や検知の仕組みによって複数の種類があり、提供形態もソフトウェア製品から専門家による監視サービスまで幅があります。
脅威は、社外から入ってくるものばかりではありません。退職予定者による情報の持ち出しや、権限を持つ社員によるポリシー違反といった内部の不正は、通常の業務操作との境目が曖昧で、人の目だけで見つけるのは困難です。
一方で、標的型攻撃やマルウェア感染、正規の認証情報を悪用した不正アクセスは、侵入から被害発生までの時間が短く、兆候を見逃すと被害が広がります。どちらも「起きてから対処する」のでは遅く、予兆や進行中の異常を検知して早期に対応することが被害の抑制につながります。
検知を支えるのは、大量のログやネットワーク通信の分析です。あらかじめ定義した不正のパターンと照合する方法に加え、利用者ごとの普段の行動を学習して、そこから外れた動きを異常として捉える方法が広く使われています。検知の精度を高め、誤検知を減らすために、機械学習による分析と専門アナリストによる確認を組み合わせるサービスもあります。
検知対象でみる脅威検知サービスの2つのタイプ
脅威検知サービスは、「何を検知するか」で大きく2つに分かれます。社内の人による不正・情報漏えいの予兆を捉えるものと、外部からの攻撃や不正アクセスを捉えるものです。自社がまず守りたいのはどちらなのかを起点にすると、候補を絞り込みやすくなります。ここでは各タイプが何を守り、どんな企業に向くかを整理します。検知の具体的な仕組みは次の章で扱います。
2つのタイプと、外部攻撃を捉える検知レイヤーの全体像は次のとおりです。
社内の不正・情報漏えいの兆しを検知するタイプ（内部脅威検知）
内部脅威検知は、従業員や業務委託先など、正規の権限を持つ人による情報の持ち出しや不正行為の予兆を捉えるタイプです。PCの操作ログ、ファイルの操作、勤怠、メールやクラウドストレージの利用状況といった社内に蓄積されるデータを分析し、「退職前の大量ダウンロード」「普段アクセスしない情報への接触」といった、通常業務から外れた振る舞いを異常として検知します。
機密情報や開発資産を抱える企業、個人情報を多く扱う企業で特に必要性が高く、退職者の増える時期やM&A・組織再編の局面でリスクが顕在化しやすい領域です。
内部脅威検知には、自社で操作ログを記録・点検する製品型と、ログの分析から異常の判断までを提供事業者に任せる運用代行型（分析システムと専門アナリストの組み合わせ）の2系統があります。既存のログを使って手軽に始めたい場合は前者が、分析や判断まで任せて運用の負担を抑えたい場合は後者が向きます。
内部脅威検知が分析の土台とするPCの操作ログでは、ファイルの持ち出しやUSBの利用、Web閲覧まで、どこまでを記録できるのかが気になるところです。取得できる情報の範囲や確認方法、運用上の注意点は、次の記事で詳しく整理しています。
外部からのサイバー攻撃・不正アクセスの兆しを検知するタイプ
外部からの攻撃を検知するタイプは、マルウェア感染、不正アクセス、侵入後の内部での不審な動きなどを捉えます。検知する場所によってさらに分かれ、PCやサーバーといった端末上の挙動を監視するもの、社内ネットワークを流れる通信を監視するもの、クラウド環境の操作やアクセスを監視するものがあります。これらを横断して分析し、一連の攻撃としてつなげて捉える仕組みも広がっています。
外部への接点が多い企業や、クラウド活用が進んだ企業で導入が進んでいます。従来のウイルス対策ソフトが既知の脅威の防御を担うのに対し、このタイプは「防ぎきれずに入り込んだ脅威」や「未知の手口」を、挙動の異常から見つけて素早い対応につなげる役割を担います。製品として自社で運用するものと、監視・対応まで専門家に任せられるものがあります。
以下に、2つのタイプの特徴と、該当する主なサービスを整理します。
| タイプ | 社内の不正・情報漏えいの検知（内部脅威検知） | 外部からのサイバー攻撃・不正アクセスの検知 |
|---|---|---|
| 主な検知対象 | 従業員・委託先による情報の持ち出し、ポリシー違反、退職前の不審な操作など | マルウェア感染、不正アクセス、侵入後の不審な通信・操作など |
| 分析するデータ | PC操作ログ・ファイル操作・勤怠・メール・クラウド利用状況 | 端末の挙動・ネットワーク通信・クラウド環境の操作ログ |
| 運用形態 | 自社で操作ログを点検する製品型と、分析・判断まで任せる運用代行型 | 自社運用する製品型と、監視まで任せられるマネージド型 |
| 該当する主なサービス | Eye"247" Work Smart Cloud、Internal Risk Intelligence（エルテス） | CrowdStrike Falcon、SentinelOne、Microsoft Defender XDR、Network Blackbox、Darktrace ほか |
※上記は各タイプにおける一般的な傾向です。個別のサービスにおける実際の対応範囲や提供形態については各社情報をご確認ください。
脅威検知の仕組み（検知手法の違い）
ここからは、脅威検知サービスが「どのように」不審な動きを見つけるのか、代表的な手法を整理します。手法によって検知が得意な脅威や運用の前提が変わるため、サービスを比較する前に押さえておくと判断がしやすくなります。
ログ分析とUEBA、専門アナリストによる内部脅威の検知
内部脅威の検知で中心となるのが、ログ分析とUEBA（ユーザーとエンティティの振る舞い分析）です。UEBAは、利用者ごとの普段の行動を機械学習で学習して基準をつくり、そこから外れた動きを異常として検知します。単独の操作ではなく、複数の行動を時系列でつなげて評価する点が特徴で、「普段と違う時間帯に、普段触らない情報を、大量にダウンロードした」といった兆候を捉えます。
機械の分析だけでは、業務上の正当な操作まで異常と判定してしまうことがあります。そのため、検知した異常を専門アナリストが再確認し、本当に注意が必要なものだけを通知する運用を組み合わせるサービスが多く見られます。自社に専任のアナリストがいなくても、分析と一次判断を任せられるのが、この手法を使った運用代行型サービスの利点です。
EDR・XDR・NDRによる外部攻撃の検知
外部からの攻撃の検知では、監視する場所によって手法が分かれます。EDR（エンドポイントでの検知・対応）は、PCやサーバーにインストールしたソフトが端末上の挙動を監視し、マルウェアの実行や不正なプロセスを検知して、隔離などの対応につなげます。NDR（ネットワークでの検知・対応）は、社内ネットワークを流れる通信を監視し、侵入後に広がる不審な通信や、外部への不正な送信を捉えます。
XDR（拡張された検知・対応）は、端末・ネットワーク・クラウドなど複数の監視対象の情報を統合して分析し、個別には見逃しやすい兆候を一連の攻撃としてつなげて捉えます。いずれの手法も、あらかじめ定義したパターンとの照合に加えて、挙動の異常やAIによる分析を用いることで、既知の脅威だけでなく未知の手口にも対応しようとする点が共通しています。
このうちXDRについて、EDRとの違いや監視できる範囲、他社製品との連携のしやすさまで踏み込んで製品を比べたい場合は、XDRに絞った次の比較記事が参考になります。
クラウド環境を対象とした脅威検出
クラウド上に業務システムやデータを置く企業では、クラウド環境そのものを対象とした脅威検出が必要になります。クラウド基盤の操作履歴やアクセスログ、ネットワークの通信記録を継続的に分析し、認証情報の悪用や設定の不備を突いた不正アクセス、通常と異なる操作を検知します。
これらは利用しているクラウド基盤に組み込まれた機能として提供されることが多く、エージェントの導入なしに使い始められるものもあります。一方で、対象が特定のクラウド基盤に限られる場合があるため、自社の利用環境に合うかを確認する必要があります。
脅威検知サービスの選び方
検知したい対象のタイプが定まったら、次の4つの観点で候補を整理すると、自社に合うサービスを絞り込みやすくなります。いずれも、自社の環境や運用体制に当てはめて判断できる観点です。
守りたい範囲と対応環境で選ぶ
まず、自社がどこを守りたいかを明確にします。従業員の操作を起点とする情報漏えいを防ぎたいなら内部脅威検知を、端末やネットワーク、クラウドのどこで攻撃を捉えたいかによって外部攻撃検知の手法を選びます。端末を広く守りたいならEDRやその上位のXDR、社内ネットワーク全体の通信を可視化したいならNDR、というように、守りたい範囲に検知の手法を合わせることになります。
対応環境の確認も欠かせません。クラウド環境の検知は特定の基盤向けに提供されることがあり、オンプレミスと複数のクラウドが混在する環境では、どこまでを一つのサービスでカバーできるかが変わります。自社が使っているOS・クラウド基盤・ネットワーク構成に対応しているかを、候補ごとに確認することが欠かせません。
自前で運用するか、任せるか（運用形態と導入期間）
脅威検知は、導入して終わりではなく、日々発生するアラートを確認し、本当に危険なものを見極めて対応する運用が前提になります。そこで重要なのが、その運用を自社で担うのか、提供事業者に任せるのかという選択です。専任のセキュリティ担当を置ける企業は製品を自社で運用する選択もできますが、人手が限られる場合は、監視・一次判断・対応支援まで任せられるマネージド型が現実的です。
導入にかかる期間も、運用形態によって変わります。既存のログを活用して分析を始められるサービスもあれば、端末へのソフト導入やネットワーク機器の設置が必要なサービスもあります。監視対象の規模やログの種類によって準備期間は変わるため、いつから検知を始めたいのかを基準に、導入までの流れを確認しておきます。
監視やアラートの一次判断まで外部に任せたい場合は、どこまでを代行してくれるか・課金単位・24時間監視の実際の中身がサービスごとに異なります。任せられる範囲で選ぶMDR（マネージド検知・対応）サービスは、次の記事で詳しく比較しています。
検知した後の対応・支援で選ぶ
検知はあくまで入り口で、検知した後に何ができるかで被害の抑え方が変わります。確認すべきは、異常を検知したときにサービス側が自動で対応してくれるのか、それともアラートの通知までなのか、という点です。端末上の脅威を自動で隔離する機能や、不正な通信を遮断する機能を持つサービスがある一方、通知を受けて対応するのは自社、というサービスもあります。
内部不正の検知では、検知後に社内でどう対応するかが難しく、法務や労務との連携が必要になる場面もあります。弁護士事務所との連携による有事対応の支援や、緊急時の相談窓口を備えるサービスもあるため、検知から対応までをどこまで支えてもらえるかを確認しておくと安心です。
費用で選ぶ
費用は、課金の単位に注目することが比較の起点になります。監視対象のユーザー数や端末数、処理するデータ量など、何を基準に課金されるかはサービスによって異なり、同じ規模でも総額が変わります。
製品として提供されるサービスは1端末あたりの月額や年額が示されていることが多く、運用代行型やクラウド基盤の機能として提供されるサービスは、監視対象や利用量に応じた個別見積りや従量課金となる場合があります。
目安としては、端末ごとに課金される製品型は1台あたり月数百円から数千円程度で始められることが多く、ネットワーク全体を監視するサービスや運用代行型は、監視対象の規模に応じた個別見積りとなるのが一般的です。
初期費用の有無、最小構成、マネージド運用を付けた場合の費用など、自社の規模で実際にかかる総額を見積もったうえで比較します。公開価格が示されていないサービスは、資料請求や問い合わせで条件に応じた見積りを取り、運用まで含めた費用で判断するとよいでしょう。
専任のセキュリティ担当がおらず、まず1つから始めたいという場合は、守りたい対象を絞って小さく始めるのが現実的です。社内の情報漏えいが気になるなら、既存のPC操作ログを活かせる内部脅威検知から、端末のマルウェアや不正アクセスが気になるなら、1端末あたりの料金が分かりやすいEDRから検討するとよいでしょう。
運用に人手を割けない場合は、監視から一次対応まで任せられるマネージド型や運用代行型を選ぶと、導入後の負担を抑えられます。
自社がどのタイプに適しているかの判断が難しい場合でも、貴社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
主要な脅威検知サービスの比較
ここからは、自社の課題や要件に合わせた比較・選定ができるよう、主要な脅威検知サービスを検知対象のタイプ別に整理して比較します。検知する対象・仕組み・運用形態・検知後の対応・費用の考え方を横断して確認できます。
| サービス名 | Eye"247" Work Smart Cloud | 内部脅威検知サービス（Internal Risk Intelligence） | Network Blackbox | CrowdStrike Falcon | SentinelOne（Singularity Platform） | Microsoft Defender XDR | Cortex XDR | Trend Vision One | Darktrace | Vectra AI | Deep Instinct | FFRI yarai | L2Blocker | Deep Discovery Inspector | Arctic Wolf Aurora Protect | Amazon GuardDuty |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 主な検知対象 | 従業員による情報の持ち出し・不正操作 （PC操作・USB・ファイル・印刷・個人情報含有ファイル） | 従業員・委託先による情報持ち出し・ポリシー違反の予兆 （生成AIへの機密アップロードも） | ネットワークの不審通信 （外部侵入・内部の不審通信・持ち出し。EDR非対応の制御機器も） | 端末のマルウェア・不正プロセス・ファイルレス攻撃 （侵入後の不審な動きも） | 端末のマルウェア・不正プロセス＋クラウド環境（コンテナ・VM）の脅威 | ID・端末・メール・クラウドアプリを横断した攻撃 （侵害アカウント・ランサムの横展開） | 端末・クラウド・ネットワーク・IDを横断した脅威 （ゼロデイ・ファイルレス・正規プロセス乗っ取り） | 端末・サーバー・クラウド・メール・ネットワークを横断した攻撃 | ネットワーク挙動から既知・未知の脅威 （内部の横移動・新種の手口。メール・クラウド・端末も横断） | ネットワークの不審通信 （侵入後の横移動・認証情報悪用。マルチクラウド・ID基盤・M365も） | 端末の既知・未知マルウェアを実行前に予測・阻止 （クラウドストレージ・NASのファイルも） | 端末の未知マルウェア・標的型/ゼロデイ攻撃・ランサムの亜種 （振る舞いで検知） | 社内LANの許可外端末（不正接続） （繋いではいけない機器の検知） | ネットワークの高度な脅威 （外部通信・内部通信の双方、標的型攻撃） | 端末のマルウェアを実行前にブロック （上位プランでビヘイビア検知・脅威ハンティング） | AWS環境の不正アクセス・マルウェア・認証情報悪用 （AWS利用が前提。オンプレ・他社クラウド・社内LANは対象外） |
| 検知の仕組み | ログ分析 （PC操作ログを1分間隔で記録・可視化） | マネージドUEBA （行動ログの機械学習分析＋専門アナリストの再分析） | NDR （フルパケットキャプチャ。シグネチャ＋ユーザー行為ベース検出＋コンテンツ分析） | EDR／XDR （次世代アンチウイルスと機械学習、攻撃の兆候による振る舞い検知） | EDR／XDR （端末上のAIが挙動から自律検知） | XDR （複数Defender製品のシグナルを相関） | XDR （単一データレイクでAI分析。自社向け検知ルールも追加可） | XDR （複数レイヤーのテレメトリを相関分析） | NDR起点の自己学習AI （組織の正常な挙動を学習し逸脱を検知） | NDR （振る舞い分析。200以上のAIモデルで通信を評価） | 予防特化型エンドポイント （独自のディープラーニングで実行前に判定） | 完全ふるまい型エンドポイント （5つの振る舞い検知エンジン、定義ファイル非依存） | 不正接続検知 （許可されていない端末の接続を監視するセンサー型） | ネットワーク型 （全ポート・100超プロトコルを監視。シグネチャ＋カスタムサンドボックス） | エンドポイント保護＋EDR （予測型AIモデル、旧Cylanceベース） | クラウド型 （CloudTrail・VPC・DNSなど既存ログを分析。異常検出・機械学習・脅威インテリジェンス） |
| 運用形態 | 自社運用 （クラウド型でログを点検） | マネージド （監視・判断を任せられる運用代行型） | 自社運用 （ミラーリングで導入） | 自社運用／マネージド （Falcon Completeで24時間365日に任せられる） | 自社運用 （AIによる自律対応） | 自社運用 | 自社運用／マネージド （Unit 42のMDRを同一テナントで利用可） | 自社運用 （SaaS、国内法人の日本語サポート） | 自社運用 （AIによる自律対応） | 自社運用／マネージド （国内はマクニカが販売・監視） | 自社運用 （他社EDRと併用する予防層） | 自社運用／マネージド （オンプレ・クラウド・マネージドから選べる） | 自社運用 （エージェント不要、既存LAN構成のまま） | 自社運用 （物理／仮想アプライアンス） | 自社運用／マネージド （SOCで24時間365日の監視・アラート選別） | 自社運用 （AWSのマネージドサービスとして有効化） |
| 検知後の対応 | デバイス制御で持ち出しを抑止 （USB使用禁止・印刷制限） | 重要アラートのみ通知／弁護士事務所と連携した内部不正ホットラインで有事対応支援 | EDR・SIEMと連携して遮断・隔離／保存パケットを遡って事後調査（フォレンジック） | 遠隔での端末隔離・通信遮断 | リアルタイムで隔離・停止／暗号化ファイルを攻撃前へ自動復旧（1クリックのロールバック、上位パッケージ） | 自動攻撃かく乱・自動デバイス隔離 （進行中の攻撃を自動で封じ込め） | 検知・調査・対応を同一基盤で（MDRで対応支援） | 脅威の検知・対応とリスクの可視化を同一基盤で | Cyber AI Analystが自動調査・優先度付け／Autonomous Responseで隔離・通信ブロックを自律実行 | 緊急度の高い脅威に絞り込んで通知／EDR・SIEMと連携して対応 | 実行前にブロック／脅威の自動分類・MITRE ATT&CKマッピング | EDR機能を標準搭載 （脅威ハンティング・端末隔離・レポーティング） | 不正端末のネットワーク接続を遮断 （収集・保留・ブロックの3モード） | XDRに連携し、端末・クラウドなど他レイヤーの検知と関連付け | 次世代AVで実行前ブロック／マネージド型はSOCがアラート選別まで | 検出結果をSecurity Hub・EventBridge・他社製品へ連携して対応 |
| 費用の目安 | 初期費用0円／月額400〜1,100円/台 （従量制・税別、14日間無料トライアル） | 要お問い合わせ （分析対象者数に応じた個別見積もり） | 要お問い合わせ | 月額7.99ドル〜/台 （グローバル公式価格。円建ては要お問い合わせ、15日間無料トライアル） | 要お問い合わせ （エンドポイント単位の年額ライセンス） | Microsoft 365 E5に含む （E5は1ユーザー月額8,995円。Defender製品の個別組み合わせも可） | 要お問い合わせ | 要お問い合わせ （クレジット消費型ライセンス、30日間無料体験） | 要お問い合わせ （監視対象デバイス数に応じた個別見積もり） | 要お問い合わせ | 1ライセンス年額4,200円〜 （税抜・販売代理店を通じた提供、新規5ライセンスから。30日間無料体験） | 要お問い合わせ | センサー14万円〜/セグメント （管理マネージャーは要お問い合わせ、評価機貸出あり） | 要お問い合わせ （構成に応じた見積もり） | 要お問い合わせ | 従量課金 （分析ログ量に応じる。新規アカウントは30日間無料トライアル） |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式資料を見る | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | サービス詳細 | 公式サイト |
※上記は各サービスの一般的な傾向です。個別のサービスにおける実際の機能・提供形態（標準・オプション等）については各社情報をご確認ください。
脅威検知サービスの個別紹介
ここからは、各サービスの検知対象・仕組み・運用形態・費用の考え方を、検知対象のタイプ別に個別に紹介します。
社内の不正・情報漏えいの兆しを検知するサービス
従業員や委託先による情報の持ち出し・不正行為の予兆を、社内のログから捉えるサービスです。
1. Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）
PCの操作ログを1分間隔で記録し、「誰が・いつ・どのファイルを・どう操作したか」を可視化するクラウド型サービスです。株式会社フーバーブレインが提供し、労務管理やIT資産管理と並んで、内部不正による情報漏えい対策を主な用途の一つに位置づけています。
USBなど外部メディアの使用履歴、ファイル操作ログ、印刷ログ、クリップボード操作ログを記録し、個人情報を含むファイルの検知・追跡にも対応します。USBの使用禁止や印刷枚数の制限といったデバイス制御により、持ち出しそのものを抑える使い方もできます。
初期費用は無料で、月額は1台あたりの従量制（最低5台から、税別）。14日間の無料トライアルがあり、導入実績は3,000社以上（2026年10月15日現在）です。
出典・参考資料（2件）
2. 内部脅威検知サービス（Internal Risk Intelligence）（株式会社エルテス）
2016年に提供を始めた純国産のマネージドUEBA（ユーザー・エンティティ行動分析）サービスで、株式会社エルテスが運営します。社員などの行動ログを機械学習で分析し、不正が起きた結果ではなく「予兆」の段階で内部不正を捉えることを狙います。
AIが各ユーザーの普段の行動からベースラインを学習して異常を検出し、その結果を専門アナリストが再分析したうえで、重要なアラートのみを通知します。PCログやグループウェア、勤怠、ファイル転送のログに加え、ChatGPTなど生成AIへの機密情報のアップロードも検知対象に含みます。
ITRの調査では、2024年度のUEBA運用監視サービス市場で売上金額シェア34.5%の第1位とされています。サービス開始からの分析対象は37万人、検知から連絡までは平均約30時間で、検知後は弁護士事務所と連携した内部不正ホットラインによる対応支援も用意されています。料金は分析対象者数などに応じた個別見積もりです。
出典・参考資料（2件）
外部からのサイバー攻撃・不正アクセスの兆しを検知するサービス
端末・ネットワーク・クラウドの挙動を監視し、マルウェアや不正アクセス、侵入後の不審な動きを捉えるサービスです。守る範囲によって、端末（PC・サーバー）を守るEDR・XDR型、社内ネットワークの通信や不正な接続を監視するNDR・不正接続検知型、クラウド環境を対象とするクラウド型に分かれ、監視から対応までを任せられるマネージド型もあります。
自社が守りたい範囲に近いものから確認するとよいでしょう。前掲の比較表の「主な検知対象」「検知の仕組み」の列でも、各サービスがどの範囲を守るかを見分けられます。
3. Network Blackbox（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンが提供する、ネットワークを流れる全パケットを収集して脅威を検知・分析するNDR（Network Detection and Response）製品です。端末に導入するEDRやログを集めるSIEMとは異なり、ネットワーク層での検知を担います。
検知には、既知の攻撃を捉えるシグネチャに加え、利用者の行為を記録して異常を見つけるユーザー行為ベースの検出や、送受信データを復元するコンテンツ分析を併用します。収集・検知・ハンティング・フォレンジック・対応の5機能を1製品に備え、保存したパケットを遡って検索できる点が事後調査で生きます。
導入はネットワークを複製するミラーリング方式で、監視対象の端末にソフトを入れる必要がありません。EDRを導入できない制御機器を含む通信も検知の対象にでき、Syslog・REST APIを通じてEDRやSIEMと連携します。料金は公式に非公開で、要お問い合わせです。
4. CrowdStrike Falcon（クラウドストライク合同会社）
単一のエージェントで、次世代アンチウイルスからEDR/XDRまでをカバーするエンドポイント防御製品です。開発元は米CrowdStrike, Inc.で、国内はクラウドストライク合同会社が窓口を担います。
マルウェアを実行前に止めるFalcon Preventは、機械学習と攻撃の兆候（不審な振る舞いのパターン）を組み合わせ、シグネチャの更新に頼らずに未知のマルウェアやファイルを使わない攻撃を捉えます。侵入後はFalcon Insight XDRがプロセスの連鎖で攻撃経路を可視化し、遠隔での端末隔離や通信遮断に対応します。
24時間365日の監視・対応を任せられるマネージドサービスFalcon Completeも選べます。価格はグローバル公式で1デバイス月額7.99ドルからの段階構成が示されていますが、日本円建ての価格は販売代理店を通じた見積もりとなります。15日間の無料トライアルが用意されています。
出典・参考資料（1件）
5. SentinelOne（Singularity Platform）（SentinelOne Japan株式会社）
エンドポイントを起点に、クラウドやアイデンティティまで単一の軽量エージェントで保護範囲を広げるEDR/XDRプラットフォームです。端末上で稼働するAI（Behavioral AI）が、ファイルやプロセスの挙動から脅威を自律的に検知し、リアルタイムで隔離・停止します。
検知した個々のイベントを時系列と因果関係で自動的に結びつけ、攻撃の全体像を可視化する特許技術「Storyline」を備えます。ランサムウェアで暗号化されたファイルを、OSの再構築なしに攻撃前の状態へ自動で復旧する1クリックのロールバック（EDR/XDRを含む上位パッケージの機能）も訴求されています。
クラウド領域では、クラウド上で動くサーバーやコンテナの保護と、クラウドの設定の継続的な点検などを同じ基盤で提供します。料金はエンドポイント単位の年額ライセンスですが公式には非開示で、国内は販売代理店を通じた見積もりが基本です。
出典・参考資料（1件）
6. Microsoft Defender XDR（日本マイクロソフト株式会社）
Microsoftが法人向けに提供するXDRで、単独で購入する製品ではなく、Defender for Endpoint（プラン2）やfor Identityなど複数のDefender製品を組み合わせることで有効化される統合レイヤーです。ID・エンドポイント・メール・クラウドアプリのシグナルを相関させ、ひとつのインシデントとして追跡できます。
複数の製品から集めた高確度のシグナルを相関させ、人の判断を待たずに進行中の攻撃を封じ込める自動攻撃かく乱や、侵害した端末をネットワークから自動的に切り離す自動デバイス隔離を備えます。ランサムウェアの横展開を遮断する用途に向きます。
XDR機能はMicrosoft 365 E5にも含まれ、すでにE5を利用している企業はライセンスを追加せずにXDRを有効化できます。E5の価格は1ユーザー月額8,995円（年払い・Teams込み、公式価格ページ）で、ほかにDefender製品を個別に組み合わせる形もあります。
7. Cortex XDR（パロアルトネットワークス株式会社）
エンドポイント・クラウド・ネットワーク・アイデンティティから集めたデータを単一のデータレイクで関連付けて分析するXDR製品です。予防を担うPreventと、検知・調査まで広げるProのライセンスがあり、いずれも同じエージェントで運用します。
AIによる検出と優先順位付けで、未知の脆弱性を突く攻撃やファイルを使わないマルウェア、正規プロセスの乗っ取りに対応します。既知の攻撃の痕跡（IOC）や独自の条件を使って、自社向けの検知ルールを追加できる柔軟さもあります。
運用を任せたい場合は、同社の脅威インテリジェンス部門Unit 42による24時間365日のマネージド検知・対応（MDR）を、同じテナント内で利用できます。価格は公式に非公開で、デモ申し込みや問い合わせを通じた見積もりとなります。
8. Trend Vision One（トレンドマイクロ株式会社）
トレンドマイクロが提供する統合サイバーセキュリティプラットフォームで、現行の公式表記はTrendAI Vision Oneです。エンドポイント・サーバー・クラウド・メール・ネットワークなど複数のレイヤーから集めたテレメトリを相関分析し、攻撃の全体像を可視化するXDRを中核に据えます。
脅威の検知・対応を担う機能に加え、自社の情報資産やクラウド設定のリスクを継続的に洗い出す機能など、複数のソリューションを同じ基盤で扱えます。SaaSで提供され、国内法人による日本語のサポートを受けられます。
ライセンスは、クレジットを消費して各ソリューションを有効化する単一ライセンス「TrendAI Flex」に一本化されており、使った分に応じて毎月引き落とされます。価格は公式に非公開で、全機能を30日間試せる無料体験が用意されています。
出典・参考資料（1件）
9. Darktrace（ダークトレース・ジャパン株式会社）
組織ごとの「正常な挙動」をAIが学習し、そこからの逸脱によって既知・未知の脅威を見つける自己学習型AI（Self-Learning AI）を中核とするサービスです。攻撃パターンのシグネチャに頼らないため、新種の脅威や内部からの不審な動きも検知の対象に含められます。
ネットワークの挙動分析（NDR）を起点に、メール・クラウド・OT・アイデンティティ・エンドポイントまでを横断して相関します。検知した異常はCyber AI Analystが自動で調査・優先度付けし、Autonomous Responseがデバイスの隔離や通信のブロックといった封じ込めを自律的に実行します。
ネットワーク製品Darktrace/NETWORKはGartner Magic Quadrant for NDRで2年連続のリーダーに位置づけられ、国内でも240社超の採用が公表されています。料金は監視対象のデバイス数に応じた個別見積もりで、無償の試験導入を経て導入する運用が一般的です。
10. Vectra AI（Vectra AI, Inc.）
ネットワークを流れる通信の挙動をAIで分析し、社内に侵入した脅威を検知・対応するNDR（Network Detection and Response、ネットワーク型の検知・対応）製品です。シグネチャ照合ではなく振る舞い分析を主軸に、オンプレミスからマルチクラウド、ID基盤、Microsoft 365までを監視対象に含めます。国内ではマクニカ株式会社が販売・サポート・監視を担います。
検知エンジン「Attack Signal Intelligence」は、攻撃者の振る舞いから学習した200以上のAIモデルで通信を評価し、緊急度の高い脅威に絞り込みます。端末上の挙動を見るEDRとは検知面が異なり、ネットワーク側から侵入後の横移動や認証情報の悪用を捉える役割を担います。
CrowdStrikeやMicrosoft DefenderといったEDR、Splunk・Microsoft SentinelなどのSIEMと連携でき、既存のセキュリティ基盤に組み込めます。料金は公式・代理店とも非公開で、トライアルの相談はマクニカが窓口です。第三者評価として2026年のGartner Magic Quadrant（NDR部門）でLeaderに選出されています。
出典・参考資料（2件）
11. Deep Instinct（Deep Instinct Ltd.）
マルウェア検知に特化して設計した独自のディープラーニング（深層学習）により、既知・未知の脅威を「実行前」の段階で予測して阻止する、予防を重視したエンドポイント型の製品です。悪性ファイルを20ミリ秒未満で判定し、実行そのものを止める設計を中核に据えています。
保護範囲はPC・サーバーの端末に加え、クラウドストレージやNAS、API連携によるアプリケーションのファイルスキャンへ広げられます。Microsoft Defenderなど他社のEDRと併用する予防層としての位置づけで、脅威の自動分類やMITRE ATT&CKへのマッピングも備えます。
国内はエムオーテックス（LANSCOPEブランド）などの販売代理店を通じて提供されます。同社経由の公開価格は1ライセンスあたり年額4,200円（税抜、2025年8月1日改定）で、新規導入は5ライセンスからです。30日間の無料体験版も用意されています。
出典・参考資料（2件）
12. FFRI yarai（株式会社FFRIセキュリティ）
東証グロース上場の国内ベンダー株式会社FFRIセキュリティが2009年から提供する、純国産のエンドポイントセキュリティ製品です。ウイルス定義ファイル（シグネチャ）に依存せず、プログラムの挙動を解析して脅威を検知し、開発・サポート拠点を国内に置く点を訴求しています。
攻撃を無害化する独自技術や、未知のプログラムを隔離環境で動かして調べるサンドボックス、機械学習などを含む5種類の振る舞い検知エンジンを組み合わせています。これにより、定義ファイルの更新を待たずに標的型攻撃・未知の脆弱性を突く攻撃・ランサムウェアの亜種などを検知します。
Microsoft Defenderやトレンドマイクロ製品との同居運用にも対応し、既存の対策へ振る舞い検知を加える形でも導入できます。
2018年11月以降はEDR機能を追加費用なしで標準搭載し、脅威ハンティング・端末隔離・レポーティングまで一体で利用できます。提供形態はオンプレミス・クラウド版（FFRI yarai Cloud）・マネージドサービスから選べ、料金は各販売店への問い合わせとなります。
出典・参考資料（2件）
13. L2Blocker（エクスジェン・ネットワークス株式会社）
社内LANに接続された許可されていない端末を検知し、ネットワーク接続を遮断する不正接続対策のアプライアンス型システムです。マルウェアの挙動を捉えるEDRやNDRとは検知面が異なり、「繋いではいけない機器がネットワークに繋がっていないか」を監視する役割を担います。
監視セグメントごとに専用センサーを設置し、ネットワーク内のARPパケットを読み取って不正端末を検知・遮断します。クライアント端末へのエージェント導入は不要で、既存のLAN構成を変えずにセンサーを接続して導入できます。収集・保留・ブロックの3つのモードで段階的に運用を始められます。
許可端末はホワイトリストとして台帳で管理し、未登録端末の利用申請や月次の利用状況レポートにも対応します。センサーのパッケージ版は監視セグメントごとに14万円（税区分・基準日の記載なし）、管理用のマネージャーはクラウド版・オンプレ版とも要問い合わせで、評価機の貸出があります。
出典・参考資料（1件）
14. Deep Discovery Inspector（トレンドマイクロ株式会社）
トレンドマイクロが提供する、ネットワーク型の脅威検出・可視化アプライアンスです。すべてのネットワークポートと100種類を超えるプロトコルを監視し、外部とやり取りする通信と社内ネットワーク内部の通信の双方を可視化します。
シグネチャによる検知に加え、ヒューリスティック分析やカスタムサンドボックス（仮想アナライザ）で高度な脅威を捉えます。サンドボックスは自社の実運用環境に近いOS・アプリケーション構成のイメージを作成でき、その環境でファイルやURLの挙動を観察して検出精度を高める設計です。
物理アプライアンスと仮想アプライアンスの双方で提供され、既存インフラの構成に合わせて選べます。検出した情報はXDRに連携し、端末やクラウドなど他のレイヤーの検知と関連付けられます。料金は非公開で、構成に応じた見積りとなります。
出典・参考資料（1件）
15. Arctic Wolf Aurora Protect（Arctic Wolf Networks, Inc.）
Arctic Wolfの「Aurora」プラットフォーム上で提供される、エンドポイント保護を中心とした製品です。BlackBerryのCylance買収で得た予測型AIモデルをベースに、マルウェアを実行前の段階でブロックする次世代アンチウイルス機能を提供します。日本市場向けの提供は2025年2月に始まりました。
上位のプランではEDR機能やビヘイビア検知、脅威ハンティング、MITRE ATT&CKマッピングが加わります。さらにArctic WolfのSOC（セキュリティ監視の専門チーム）による24時間365日の監視・アラート選別まで任せるマネージド型のプランもあり、自社で運用するか専門家に任せるかを体制に応じて選べます。
国内はテクマトリックス株式会社などの代理店が販売・導入を担います。料金は公式サイトでは非公開で、デモや問い合わせからの見積り対応が基本です。第三者機関Tolly Groupの検証では、収集したマルウェアサンプル1,000件に対し100%の検出・防御を記録したと報告されています（2025年8月発表）。
16. Amazon GuardDuty（アマゾン ウェブ サービス ジャパン合同会社）
Amazon Web Servicesが提供する、AWS環境向けのクラウドネイティブな脅威検出サービスです。利用にはAWSの利用が前提で、オンプレミスや他社クラウド、社内LANの通信は監視対象に含みません。EC2やS3、RDSといったAWS上のサービスの操作ログや通信を継続的に監視します。
CloudTrailやVPCフローログ、DNSログなどの既存ログを分析し、異常検出・機械学習・脅威インテリジェンスを組み合わせて不正アクセスやマルウェア、認証情報の悪用を検出します。保護はコンピュート・ストレージ・データベースといった対象ごとに個別に有効化できます。
料金は分析するログやデータの量に応じた従量課金で、保護プランやリージョンによって単価が変わります。GuardDuty未利用の新規アカウントには30日間の無料トライアルが用意されています。検出結果はSecurity HubやEventBridge、他社製品へ連携して対応につなげられます。
出典・参考資料（2件）
脅威検知サービスを導入するときの留意点
脅威検知サービスは、検知の仕組みによって、導入時に気をつける点が変わります。内部脅威検知では従業員の理解と個人情報への配慮が、外部攻撃の検知では運用負荷と既存環境との兼ね合いが、それぞれ検討のポイントになります。
内部脅威検知：従業員の理解と個人情報への配慮
内部脅威検知は、従業員の操作ログや振る舞いを分析する仕組みのため、導入にあたっては社内の理解を得ることが欠かせません。監視されていると感じた従業員の不信感につながらないよう、目的を明確にして運用することが大切です。
運用の目的は、特定の個人を監視することではなく、情報漏えいという会社と従業員の双方にとっての損失を未然に防ぐことにあります。何のために・どの範囲のデータを・どう扱うのかをあらかじめ社内規程で定め、従業員に周知したうえで運用することが、受け入れられるための前提になります。従業員の個人情報を扱うことになるため、利用目的の特定や社内での合意形成など、個人情報の取り扱いに関する配慮も求められます。
内部不正は、個人の事情という人的な側面と、不正をしやすい状態を放置する組織的な側面の両方から起こります。背景にある原因を押さえておくと、どこを検知で補い、どんな体制で再発を防ぐかを考えやすくなります。
検知後の対応についても、事前に進め方を決めておくことが重要です。異常を検知した際に、誰が確認し、本人への聞き取りをどう行い、必要に応じて法務や労務とどう連携するのかを整理しておくと、いざという場面で適切に対応できます。こうした体制づくりまで支援するサービスもあるため、自社だけで抱え込まず、提供事業者の支援を活用することも選択肢に入ります。
外部攻撃の検知：運用負荷と既存環境との兼ね合い
外部からの攻撃を検知するサービスは、導入後に多くのアラートが発生します。そのすべてを人手で確認するのは負担が大きく、誤検知への対応に追われて重要な兆候を見落とすおそれもあります。アラートの絞り込みや一次対応をどこまで自動化・代行できるかを、自社の運用体制に照らして確認しておくことが大切です。
既存のウイルス対策ソフトやファイアウォールと役割が重なる部分がある点にも注意します。何を既存の対策で守り、何を新たな検知サービスで補うのかを整理しておくと、二重の投資や設定の競合を避けられます。導入前に、自社の環境との相性や、既存の仕組みとの連携のしやすさを確認しておくとよいでしょう。
まとめ
脅威検知サービスは、社内の不正・情報漏えいを捉える内部脅威検知と、外部からの攻撃を捉えるサービスに大きく分かれ、検知の仕組みも運用の仕方も異なります。まず自社が守りたい対象を定め、守りたい範囲と対応環境、自前で運用するか任せるか、検知後の支援、費用という観点で比較すると、自社に合うサービスを選びやすくなります。
専任のセキュリティ担当を置けない企業では、検知だけでなく監視・判断・対応までを任せられるかどうかが、実際に使い続けられるかを左右します。本記事の比較表や診断ツールを活用し、自社の環境と体制に合ったサービスを見つけてください。気になるサービスがあれば、資料を取り寄せて機能や費用を具体的に比較することをおすすめします。
脅威検知は社内セキュリティの一部で、端末の保護や不正アクセス対策、情報漏えい防止まで含めて全体像から見直したい場合は、守る対象別にソリューションを整理した次の記事が出発点になります。
一括ダウンロードする
よくある質問（FAQ）
Q. 脅威検知サービスとは何ですか？
A. 脅威検知サービスとは、社内の端末・ネットワークやクラウド環境の動きを継続的に分析し、情報漏えいやサイバー攻撃につながる不審な兆候を早い段階で見つけ出すサービスです。守る対象によって、従業員による内部不正を捉える「内部脅威検知」と、外部からの攻撃や不正アクセスを捉えるタイプに分かれます。
ログ分析・UEBA・EDR・NDR・クラウド型検出といった仕組みで通常と異なる動きを検知します。単に防御するのではなく、防ぎきれなかった脅威や進行中の異常を早期に見つけて対応につなげる点が特徴です。
Q. 脅威検知サービスは内部脅威検知と外部攻撃検知のどちらを選べばよいですか？
A. 脅威検知サービスは、「従業員による情報の持ち出しを防ぎたいのか」「外部からの攻撃や不正アクセスを防ぎたいのか」という守りたい対象を起点に選ぶのが基本です。機密情報や個人情報の内部からの漏えいが心配なら、PC操作ログなどを分析する内部脅威検知を軸にします。マルウェアや不正アクセスを防ぎたいなら、端末・ネットワーク・クラウドの挙動を監視する外部攻撃検知のサービスを検討します。
両方のリスクに備えたい場合は、タイプの異なるサービスを組み合わせて導入する選択もあります。自社がまず守りたい対象を明確にすると、候補を絞り込みやすくなります。
Q. 脅威検知サービスは、既存のウイルス対策やログ取得だけでは不十分ですか？
A. 脅威検知サービスは、ウイルス対策ソフトが防ぎきれない未知の攻撃や内部不正の予兆を、挙動の異常から見つけ出す点で役割が異なります。従来のウイルス対策は既知の脅威の防御を担いますが、正規の認証情報を悪用した不正アクセスや、権限を持つ社員による情報持ち出しは、通常の操作との境目が曖昧で防ぎきれないことがあります。
また、ログを取得していても「誰も見ていない」状態では危険な兆候を見逃してしまいます。収集したログや通信の分析・判断までを担う脅威検知サービスは、こうした既存対策の隙間を埋める役割を果たします。
Q. 脅威検知サービスは専任のセキュリティ担当がいなくても運用できますか？
A. 脅威検知サービスは、監視・一次判断・対応支援までを提供事業者に任せられるマネージド型を選べば、専任のセキュリティ担当がいなくても運用できます。製品を自社で運用する形態は、日々のアラートを確認して対応する人材が必要になりますが、人手が限られる企業ではマネージド型が現実的です。
内部脅威検知では、分析と一次判断を代行する運用代行型が中心です。外部攻撃検知でも、SOC（セキュリティ監視の専門チーム）による24時間365日の監視・対応まで任せられるサービスがあり、自社の体制に合わせて「自前で運用するか、任せるか」を選べます。
Q. 脅威検知サービスの料金・費用はどのくらいかかりますか？
A. 脅威検知サービスの費用は、監視対象のユーザー数・端末数や処理するデータ量など、何を基準に課金されるかがサービスによって異なります。製品として提供されるサービスは1端末あたりの月額・年額が示されていることが多く、運用代行型やクラウド基盤の機能として提供されるサービスは、監視対象や利用量に応じた個別見積り・従量課金となる場合があります。
同じ規模でも課金単位によって総額が変わるため、初期費用の有無やマネージド運用を付けた場合の費用も含め、自社の規模で実際にかかる総額で比較することが大切です。公開価格が示されていないサービスは、資料請求や問い合わせで条件に応じた見積りを取るとよいでしょう。
Q. 脅威検知サービスの導入にはどのくらいの期間がかかりますか？
A. 脅威検知サービスの導入期間は、既存のログを活用して始められるものは短く、端末へのソフト導入やネットワーク機器の設置が必要なものは準備に時間がかかります。監視対象の規模や対象とするログの種類によって変わります。
運用代行型の内部脅威検知では、監視対象ユーザー数やログの種類に応じて数カ月程度の準備期間がかかる場合もあります。いつから検知を始めたいのかを基準に、候補ごとに導入までの流れと期間を確認しておくとよいでしょう。
Q. 内部脅威検知で従業員の操作を監視することは問題ありませんか？
A. 内部脅威検知は、監視の目的を情報漏えいの防止に限定し、扱うデータの範囲を社内規程で定めて従業員に周知したうえで運用すれば、過度な不信につながらずに導入できます。運用の目的は特定の個人を監視することではなく、会社と従業員の双方にとって損失となる情報漏えいを未然に防ぐことにあります。
従業員の個人情報を扱うことになるため、利用目的の特定や社内での合意形成など、個人情報の取り扱いに関する配慮も求められます。目的と運用ルールを明確にして従業員の理解を得ることが、受け入れられるための前提になります。
Q. 脅威を検知した後の対応は支援してもらえますか？
A. 脅威検知サービスは、検知後に自動で脅威を隔離・遮断するものから、アラートの通知までを担い対応は自社で行うものまで幅があり、検知後にどこまで支援するかはサービスによって異なります。外部攻撃検知では、端末上の脅威の自動隔離や不正な通信の遮断に対応する製品があります。
内部不正の検知では、検知後に社内でどう対応するかが難しく、法務や労務との連携が必要になる場面もあります。弁護士事務所と連携した有事対応の支援や、緊急時の相談窓口を備えるサービスもあるため、検知から対応までをどこまで任せられるかを選定時に確認しておくと安心です。
脅威検知サービスの料金・資料を一括チェック
MCB FinTechカタログでは、内部脅威検知から外部攻撃を捉えるEDR・NDRまで、脅威検知サービスの最新資料を無料で一括請求できます。検知対象・仕組み・運用形態・費用を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
