EDRを導入する理由は？期待できる効果や導入方法|セキュリティ対策 Lab

投稿日時: 2025年07月02日更新日時: 2026年08月24日

2024年から2025年にかけての攻撃者のデータは、従来のウイルス対策ソフト（AV）が前提としていた「マルウェアを持ち込んで実行する」という攻撃モデルが多数派でなくなったことを示しています。CrowdStrikeの「2025 Global Threat Report」によると、2025年上半期のインシデントの81%において、攻撃者は既知のマルウェアをシステムに配置せず、正規の管理ツールや有効な認証情報だけで侵入・横移動を完了させました。これはシグネチャベースの検知が機能する前提そのものが崩れていることを意味します。

こうした脅威の変化を背景に、米国政府は2021年10月8日の大統領行政管理予算局覚書（M-22-01）でEDR（Endpoint Detection and Response）の全連邦政府機関への義務的展開を指示しました。「サイバー防御をリアクティブからプロアクティブへ転換するための中核」という位置づけです。英国NCSCも組織のセキュリティ管理の標準的な構成要素としてEDRの導入を推奨しており、日本の政府情報システムのセキュリティ要件でも推奨が明記されています。

本記事では、権威ある公的機関と調査報告のデータをもとに、EDRを導入する必要性とその限界、実践的な導入・運用のポイントを整理します。

EDRを導入すべき理由のサマリー（CISA・CrowdStrike・Mandiantのデータより）

CrowdStrike：2025年H1の侵入の81%がマルウェア不使用（Valid credentials悪用・LotL手法）→ シグネチャ型AVでは検知不能
Mandiant M-Trends 2024：世界平均のドウェルタイム（侵入から検知まで）は11日。EDR未整備環境では長期潜伏を許す
米国白ハウスM-22-01（2021年）：大統領令14028に基づき全連邦政府機関にEDR義務展開を指示。CISAが監視役
CISAのインシデント対応教訓：公開システムにEDRなし・アラートが監視されていないと、3週間検知が遅れた実例を公開
EDR市場：2025年時点で65億ドル規模（Dimension Market Research推計）、2034年に505億ドルへ成長予測
CISA Red Team評価：EDR単独への過度な依存はリスク。ネットワーク・アイデンティティ監視との組み合わせが不可欠
日本：警察庁・内閣サイバー統括室ともにVPN経由の侵入後の内部横断を主要な被害パターンとして特定しており、侵入後の検知能力が問われている

整理表——EDRの導入判断に関わる主要指標

指標	数値・内容	出典
マルウェア不使用の侵入割合	81%（2025年H1）	CrowdStrike Global Threat Report 2025
世界平均のドウェルタイム（検知まで）	11日	Mandiant M-Trends 2024
ランサムウェア被害組織の侵害前インフォスティーラーログ出現率	54%	Verizon DBIR 2025
米連邦政府機関へのEDR義務化	M-22-01（2021年10月8日）で義務化	米国 OMB
CISAがEDR推奨する場面	SharePoint脆弱性悪用後・GeoServer侵害後など複数のIR事例で明示	CISA アドバイザリ
EDR世界市場規模（2025年）	約65億ドル（2034年に505億ドル予測）	Dimension Market Research

EDRとは何か——Gartnerが定義し、米国政府が義務化した「侵入後の防御」

EDR（Endpoint Detection and Response）とは、企業内のPC・サーバー・モバイルデバイスなどのエンドポイントで起きている行動を継続的に記録・監視し、不審な挙動を検知して対応する仕組みです。

「エンドポイント脅威検知と対応（Endpoint Threat Detection and Response）」という概念はGartnerのアナリストAnton Chuvakin氏が2013年に定義しました。以後EDRは「既知のシグネチャへのマッチングで防ぐ」従来型セキュリティの限界を補う技術として急速に普及し、現在ではCISA・NSA・NCSOがセキュリティ要件として明記するまでになっています。

EDRとアンチウイルスの違いを一言でまとめると、アンチウイルスは「既知の悪意あるファイルを入口で止める」のに対し、EDRは「すでに侵入した後の不審な行動を内部で検知する」という点にあります。両者は補完関係にあり、どちらかで十分というものではありません。

なぜ今EDRが必要なのか——「マルウェアを使わない攻撃」の急増

ネットワークエンジニアとサーバーサイドエンジニアを合計10年経験した立場から言えば、攻撃の変化が最も顕著に現れているのは「侵入後の行動の巧妙さ」です。

攻撃者が使う手法は大きく変化しています。CrowdStrikeが「Living-off-the-Land（LotL）」と呼ぶ手法では、PowerShell・WMI・PsExec・RDPなどWindowsに標準搭載されている管理ツールだけを使って横移動します。これらはセキュリティ製品が「悪意あるファイル」として分類できないため、シグネチャ検知ではほぼ不可能です。Sophos Threat Reportでも「侵害された認証情報がインシデント対応事例の41%の起点になった」と記録されています。

Mandiant M-Trendsのデータでは世界平均のドウェルタイムが11日ですが、EDRが整備されていない環境では数週間から数か月間の潜伏が許されるケースもあります。CISAが公開した実際のインシデント対応事例では、「EDRアラートが継続的にレビューされていなかった、公開されているシステムにエンドポイント保護がなかった」ため、脅威アクターが最初の侵入から3週間検知されなかった事例が記録されています。

また、ランサムウェアの54%はインフォスティーラーが先行しているというVerizon DBIR 2025のデータは、「ランサムウェア対策」の議論をランサムウェアが展開されてからの対応ではなく、侵入後の早期検知という観点で設計し直す必要があることを示しています。

米国・英国・イスラエルの公的機関はEDRをどう位置づけているか

米国：大統領令で連邦政府機関に義務化

バイデン政権の大統領令14028（EO14028「国家のサイバーセキュリティ改善」）に基づき、OMBは2021年10月8日にM-22-01覚書を発行しました。この覚書は「EDR導入を通じてサイバー防御をリアクティブからプロアクティブへ転換する」ことを明示し、全連邦政府機関に対して①現在のEDR能力の評価（120日以内）、②CISAへのEDR展開へのアクセス提供（90日以内）を義務付けています。CISAはその後、SharePoint・GeoServerなど多数の脆弱性への対応アドバイザリで「post-exploitation活動に対抗するためにEDR保護を展開する」ことを明示的に推奨しています。

英国：NCSC Cyber Essentials Plusの評価項目に組み込み

英国NCSCはCyber Essentials/Cyber Essentials Plusスキームにおいてエンドポイント保護の要件を定めており、上位の認証ではEDR相当の行動監視能力の有無が審査対象に含まれます。NCSC Annual Review 2025では「EDRは組織の標準的なセキュリティ管理の一部であるべき」という立場が明確です。

イスラエル：国家サイバー局（INCD）がEDRを国家スタンダードに

イスラエル国家サイバー局（INCD）はITシステムのセキュリティフレームワークの一部としてEDRの展開を推奨しており、特に重要インフラ事業者への適用を促進しています。イスラエルでは政府機関・金融・エネルギー分野でのEDR義務化が進んでおり、国家安全保障の観点からエンドポイントの可視性を「最低限の要件」と位置づけています。

EDRで何ができるか——6つの核心機能

①継続的な行動記録（テレメトリ）——エンドポイントで実行されたすべてのプロセス・ファイル操作・レジストリ変更・ネットワーク接続を記録します。これはインシデント発生時の根本原因分析（RCA）とフォレンジック調査の基盤であり、証拠保全の観点でも重要です。

②行動ベースの異常検知——プロセスの親子関係、通常は使われない管理ツールの実行、深夜の大量データ転送など、ルールではなく「正常からの逸脱」を検知します。これがLiving-off-the-Land攻撃への唯一の現実的な対処手段です。

③自動隔離・封じ込め——不審と判定されたエンドポイントをネットワークから自動で切り離し、被害の横展開を防ぎます。特にランサムウェアが広がる前の数十分の差が被害規模を決定します。

④脅威ハンティングの支援——蓄積された行動ログをもとに、アラートが上がっていない段階でも脅威の兆候を能動的に探索します。脅威ハンティングの概念は政府の能動的サイバー防御政策とも整合しており、成熟した運用の中核機能です。

⑤フォレンジック分析——インシデントの根本原因（どこから入り、何をし、どこへ行ったか）を可視化します。「攻撃を止めた後に何が起きたかを説明する」という監査・法的対応上の要件に対応します。

⑥外部脅威インテリジェンスの統合——主要EDRベンダーはCISAのKEV（既知の悪用済み脆弱性）カタログ・MITREの脅威フレームワーク・グローバルなTI（脅威インテリジェンス）フィードとの統合機能を提供しており、現在進行中の脅威への対応を加速します。

EDRの限界——「EDR単独依存」のリスクをCISAが警告

EDRを万能と見なすことには危険があります。CISAのRed Team評価報告書は「組織がEDRだけに過度に依存しており、ネットワークレベルの保護が欠如していることが重大な脆弱性につながった」という発見を公開しています。

EDRが対応しにくい領域が3つあります。まずネットワーク内の通信（EDRはエンドポイントを見るため、デバイス間の横移動トラフィックを捉えるにはNDRとの組み合わせが必要）です。次にクラウドや SaaS環境（エンドポイントエージェントが展開できないSaaSのIDやクラウドリソースへのアクセスは別の監視が必要）です。そして設定ミスやサプライチェーンリスク（EDRは実行された悪意ある行動を検知するが、アクセス権の設定ミスや信頼されたサプライヤーを経由した攻撃は見えにくい）です。

NIST CSF 2.0が推奨する「Identify（識別）→Protect（保護）→Detect（検知）→Respond（対応）→Recover（復旧）」のフレームワークにおいて、EDRは「Detect」と「Respond」を強化するツールです。「Protect」と「Identify」はIAM・パッチ管理・脆弱性管理が担う領域であり、EDRだけで全体を代替できるものではありません。

導入を検討する際の5ステップ

Step1：守るべき資産の棚卸し（現状把握）——自社のエンドポイント数・OS種別・クラウド/オンプレの構成を把握します。EDR運用の共通課題でも指摘されているように、資産台帳が不完全なままEDRを展開すると、エージェント未配置の端末が死角になります。

Step2：運用体制の設計（誰が見るか）——EDRが生成するアラートを誰が、どの時間帯に、どのレベルで対応するかを先に決めます。アラートが出ても誰も見ないEDRは投資の無駄です。社内体制が整わない場合はMDR（Managed Detection and Response）の活用を検討します。

Step3：製品の選定とPoC——主要なEDR製品の比較を参照しながら、自社環境との適合性（Windows/Mac/Linux対応、クラウド連携、日本語サポート等）を確認します。可能であれば重要部署でのPoC（概念実証）を経て全社展開に進むことで、誤検知の多さや運用負荷の実態を事前に把握できます。

Step4：段階的な展開とチューニング——全社一括展開ではなく重要資産から段階的に展開し、誤検知を減らしながらポリシーを調整します。初期は1日数百件のアラートが出ることも珍しくありません。この段階を飛ばして全社展開するとSOCやIT部門が疲弊します。

Step5：定期的なチューニングと効果測定——EDRは「入れて終わり」ではなく継続的な改善が前提です。月次でアラートの質（真陽性率・誤検知率）を評価し、検知ポリシーを更新します。MTTR（平均対応時間）の短縮を定量目標として経営層に報告することで、継続的な投資の正当性を示せます。