EDRとは？EPPとの違いや機能・製品選びのポイントをわかりやすく解説

EPPとの違い

EDRと似た言葉にEPP（Endpoint Protection Platform）があります。EPPはアンチウイルスソフトとも呼ばれ、PCなどの端末に侵入しようとするマルウェアを検出して除去するためのソリューションです。

EDRとEPPはどちらも「サイバー攻撃対策」のソリューションですが、目的に大きな違いがあります。マルウェア感染前の対策がEPP、感染後の被害を最小限に食い止めるための対策がEDRです。

また、EPPは侵入を防ぐのと同時に受けた攻撃の修復能力を有しているのに対して、EDRは侵入されたことを管理者に通知・対応策の提案を行います。ログから侵入経路などを調査して、対応策を練る段階においての貴重なデータ提供の役割を担うのもEDRです。

NGAVとの違い

NGAV（Next Generation Anti-Virus）は次世代型アンチウイルスと呼ばれ、未知のマルウェアに対応できるソリューションです。NGAVはソフトウェアの振る舞い（動作）から不審なソフトウェアを検知し、感染前に対処します。

EDRとNGAVは同じエンドポイントセキュリティのソリューションですが、目的が異なります。EDRはマルウェア感染後の対策・NGAVはマルウェアを感染前に検知するソリューションです。

また、NGAVとEPPは目的が同じソリューションですが、性能に違いがあります。EPPは決まったプログラムやコードなどからマルウェアを検知するため、未知のソフトウェアは検知できません。NGAVはEPPでは検知できない未知のマルウェアも発見できる可能性があります。ただし、未知だけど不審ではないプログラムにも反応してしまう場合があるのが、NGAVの弱点といえるでしょう。

監視・検知機能

EDRの監視・検知機能では、サーバーやネットワーク環境の挙動を監視し、悪意のある活動がみられないかを常に見張っています。マルウェアがサーバーに侵入した際にはその存在を検知し、管理者に対して速やかに攻撃の詳細や有効な対処情報を提供します。

保有している多くのエンドポイントに対して常にマルウェアの監視・検知を行い、不審な部分があれば迅速に対処法の提示を人の手で行うことは容易ではありません。EDRの監視・検知機能があることで俗人化せず、極めて速やかに、マルウェアなどに対しての適切な対応が実現できます。

分析機能

EDRはマルウェアなどの挙動を分析し、どのエンドポイント端末から侵入したか・侵入経路・攻撃の範囲や状況などを明らかにします。これらは管理者に共有され、今後のセキュリティ対策において重要な情報となるでしょう。また、攻撃の動きや方法などを分析し情報を蓄積していくことで、より一層速やかに不審な動きを検知できるようになり、管理者への迅速な情報提供が可能です。

被害を最小限にとどめ、拡大させないような対応ができるのは、EDRの分析機能が働いているためだと言えます。

インシデント対応機能

EDRのインシデント対応機能とは、攻撃を確認した際にマルウェアなどの遮断を行う機能のことです。インシデントは出来事・事象を意味し、セキュリティの分野では「危険性のある事象」という内容になります。EDRのインシデント対応では、該当アプリケーションの遮断やネットワークの切断・マルウェアが検知されたツールを自動停止するなどの対応が挙げられます。

インシデント対応機能によっていち早くマルウェアの動きを封じられるため、被害が可能な限り少なくなることに期待できると言えるでしょう。

予防機能

EDRの予防機能とは、エンドポイントの脆弱性に対して対策を講じ、マルウェアに感染しづらい環境を整える機能のことです。主にエンドポイント端末にインストールされているアプリケーションを監視し、必要に応じてバージョンアップさせるなどを行い最新の状態を保てるようにします。

アプリケーションのアップロードは、脆弱性となる部分に対しての対策が必要など、理由がなければ行われません。最新バージョンにすることで、マルウェアの標的となりうる箇所を排除でき、感染予防につながります。

検知方法

EDRは製品により、検知方法が異なります。エージェント型とエージェントレス型があり、エージェント型は端末にシステムのインストールが必要です。エージェント型とエージェントレス型のメリットとデメリットは、以下のとおりです。

エージェント型は端末へのインストールが必要ですが、多くの情報を分析できます。インストールに問題がない場合には、エージェント型を選択することで、より強固なセキュリティを実現できるでしょう。

料金体系

EDRツールの料金体系はサービスにより異なります。年間契約を導入しているサービスが多く、エンドポイントの台数やコールセンターサポート有無などの状況により、料金が変化する場合がほとんどです。

EDRを導入するとランニングコストがかかるため、コストパフォーマンスのよい製品を選ぶことが大切だと言えます。料金と同時に対象となるサービス範囲の確認を必ず行いましょう。ただし、機能が多ければよいと言うわけではありません。自社の状況を考慮し、エンドポイントの台数や必要な機能・サポートからサービス選定を行うのが重要です。

サービスの提供形態

ITソリューションは、一般的に「オンプレミス型」「クラウド型」のいずれかでサービスを導入しますが、EDRもどちらかのサービス形態で導入することになります。オンプレミスは社内サーバーやソフトウェアなど企業が保有するシステム内に構築するのに対し、クラウドはインターネットを経由してサービスが提供される形態です。

オンプレミス型とクラウド型のメリットとデメリットは、以下のとおりです。

テレワークが推進されていることから、社外に持ち出した端末も管理できるクラウド型を導入する企業が多くなっています。ただし、インターネット環境がなくなると常時管理ができなくなるため、インターネット接続状況に不安のある場合には、あまり向いていません。

対してオフィス内のみで利用している端末を管理したいという場合には、サービス内容をカスタマイズしやすいオンプレミス型の導入でもよいでしょう。しかしながら、コスト・導入後の管理・テレワークへ移行の可能性などから考えると、クラウド型に勝るメリットが多いとは言い難い方法です。

インターネット環境の観点で問題がない場合には、クラウド型を選択するほうがスムーズな場合が多いでしょう。

他ツールとの連携の可否

ファイアウォールやアンチウイルスツールなどのような、インターネット接続環境などのセキュリティ対策はすでに導入している企業も多いと思います。ほかセキュリティツールを導入しているうえでEDRの導入を検討しているという場合には、既存のツールと連携できるEDRの導入がおすすめです。

セキュリティ対策をより強固にするためには、インターネット接続・内部サーバーなど多方面から対策を行うことが不可欠です。さらに、各ツールが分析や所持している情報を紐づけられれば、セキュリティレベルは向上すると考えられます。

既存のセキュリティツールから情報を受け取り、得た情報も踏まえてデータ分析するEDR製品もあるため、現在導入しているツールとの連携が可能か否かを考慮すると、より高いセキュリティを実現できるでしょう。