EDR / XDR

何を守るのか

EDR（Endpoint Detection and Response）は、端末（エンドポイント）の操作を常時記録し、侵入された後の不審な挙動を検知して、調査・対応まで行う仕組みです。「いつ何が起きたか」を追跡できることが核心で、攻撃の発見と封じ込めを支えます。

前提が EPP とは異なります。EDR は「防ぎきれず侵入される」ことを織り込み、その後の被害を最小化する次の砦として位置づけられます。

仕組み・位置づけ

EDR エージェントは端末上で、プロセスの起動、ファイル操作、通信、ログインなどの活動を継続的に記録します。集めたデータを分析し、攻撃の兆候を見つけ出します。

• 不審な挙動を検知し、アラートを上げる。
• 攻撃の経路や影響範囲を時系列で追跡（調査）できる。
• 該当端末をネットワークから隔離するなど、封じ込めの対応を行う。

EPP との違い

役割の境界を押さえると理解しやすくなります。

• EPP は侵入を「防ぐ」。脅威の実行前に止めるのが目的。
• EDR は侵入「後」を担当。検知・調査・対応に重きを置く。

EPP がドアの鍵なら、EDR は室内の監視カメラと初動対応に近いものです。両者は同じエージェントに統合され、連携して使われることが一般的です。

XDR への拡張

XDR（Extended Detection and Response）は、EDR の考え方を端末だけにとどめず、対象を広げたものです。ネットワークやメール、クラウドなど複数の領域からデータを集め、横断的に相関分析します。これにより、単一の端末だけでは見えなかった攻撃の全体像をつかみやすくなります。

導入・運用のポイント

EDR は導入すれば自動で守ってくれる製品ではなく、上がってきたアラートを人が読み解き、調査・判断する運用が前提です。専門知識と人手が要るため、自社で抱えきれない場合は MDR（運用代行サービス）に委託する選択肢が広がっています。