検知（EDR）／多層防御防ぎきれなかった後に気付く――運用まで任せられるEDR「らくらくEDRプレミア」

多くの企業がパソコンにウイルス対策ソフトを入れています。ただ、そのソフトウェアが得意とするのは既に知られたウイルスを見つけて防ぐことです。今の攻撃は、既知のパターンに当てはまらない手口や、正規のツールを悪用する手口も使います。入り口で防ぎきれず端末まで入られたとき、その後の不審な動きに気付けるか。その役割を担うのがEDR（Endpoint Detection and Response）です。

ウイルス対策ソフトでは見つけにくい攻撃がある

ウイルス対策ソフト（アンチウイルス）は、既知のウイルスのパターンと照らし合わせて、危険なファイルを見つけて防ぎます。長く使われてきた基本の備えであり、今も欠かせません。

ただ、この仕組みには前提があります。「既に知られている」脅威であることです。近年は、まだ知られていない手口や、パソコンに元々入っている正規のツールを悪用する手口（ファイルレス攻撃）も使われます。こうした攻撃は、既知のパターンに当てはまらないため、ウイルス対策ソフトだけでは見つけにくいことがあります。

加えて、いったん侵入されると被害が広がるまでの時間は年々短くなっていると報告されており、いち早く気付く備えの重要性が増しています。

出典：「情報セキュリティ10大脅威 2025」（IPA）

＊四つの層に、決まった順番はありません。検知の層を取り上げるのは、入口対策の次に検討されることが多いからであって、他の層より優先すべき、という優先順位を示すものではありません。

EDR（検知と対応）とは

EDR（Endpoint Detection and Response）は、パソコンやサーバーといった端末（エンドポイント）の動きを常に記録し、不審なふるまいを見つけて対応する仕組みです。ウイルス対策ソフトが「入れない」ことを目指すのに対し、EDRは「入られた後」に注目します。

具体的には、端末の中で起きている操作や通信を監視し、あやしい動きを検知します。感染が疑われる端末をネットワークから切り離して、被害が他の端末へ広がるのを抑える対応もできます。防ぐことと、気付いて食い止めることは役割が違います。EDRはこの「気付いて食い止める」を受け持つ層です。

ただし、EDRを入れれば侵入がなくなるわけではありません。EDRは検知や対応を担う仕組みです。入り口で防ぐ層や、止まった業務を戻す復旧の層、そして社員一人一人の気づき（教育）と組み合わせて、初めて守りとして働きます。

「らくらくEDRプレミア」という選択肢

「らくらくEDRプレミア」は、クラウドストライク（CrowdStrike）の「Falcon」を中核にしたサービスです。Falconは、エンドポイントセキュリティで高い評価を得ている製品です。次世代アンチウイルス（NGAV）で既知・未知のマルウェアの侵入をブロックし、EDRで侵入後の動きを可視化、さらに専門家による脅威ハンティングで、仕組みだけでは見つけにくい脅威を人の目で探します。Active Directoryを使う環境向けに、IDの悪用を検知するITDRもオプションで選べます。

こうした高度な製品は、検知した内容を読み解き、対応を判断するのに専門知識が要ります。そこを、大塚商会のSOC（セキュリティオペレーションセンター）が運用支援として支えます。アラートの内容確認や対応のアドバイス、端末の隔離、設定変更の支援、月次レポートの提供までを引き受けます。専門の担当が社内にいなくても、検知の層をそろえて運用を続けやすいのが特徴です。1台・1カ月からという小さな単位で始められます。

入口で防ぐFortiGateやCloud Edge、戻すためのバックアップ（Arcserve）と組み合わせることで、「防ぐ・気付く・戻す」がつながります。

選ぶとき・運用するときに見ておきたい点

EDRを選ぶときは、機能そのものだけでなく、運用を続けられるかどうかが要になります。確認しておきたいのは、次のような点です。

検知したあやしい動きを、誰が読み解き、対応を判断するのか。自社で担うのか、運用支援に任せられるのか
導入後に、担当者の負担がどれくらいになるのか

EDRは入れて終わりではなく、日々の運用が続いて初めて検知の層として機能します。製品を選ぶことと同じくらい、運用を続けられる体制が重要になります。

メーカーに縛られず、運用まで

検知の層にも、製品は数多く存在します。大塚商会は特定のメーカーやサービスに縛られず、お客様の環境と体制に合わせて適した製品を選べる立場にあります。評価の高いCrowdStrike「Falcon」を、運用支援まで付けて小さく始められる形でご提案できるのも、そのためです。

そして、EDRは導入して終わりではありません。日々の監視や、検知したときの対応が続いて初めて、検知の層として機能します。脅威ハンティングは専門家が24時間365日にわたって行い、大塚商会のSOCが検知内容の確認や対応の支援を担います。専門の担当が社内にいない環境でも、導入後の運用まで含めてお任せいただけます。地域と専任の担当がつく体制のため、長くご相談いただけます。

派手な新しさよりも、確かに続く守りを。5年後も、今日と同じように業務が回っている。そのための備えを、一緒に設計していきます。

「入られた後」に気付く備えを

ウイルス対策ソフトの更新のタイミングは、検知の層をあらためて見直す機会になります。防ぐだけでなく、入られた後に気付いて食い止める備えまで、あわせて考えていきましょう。