とことこロゴス
メニュー

EDR

読み：いーでぃーあーる　／　英語表記：Endpoint Detection and Response

PCやサーバなどのエンドポイント上の動作を継続的に記録・監視し、侵入後の不審な挙動の検知と調査・対応を支援するセキュリティ製品である。侵入される可能性を前提に、問題の端末をネットワークから隔離するなどの措置を遠隔から行える。

イマシルちゃんの解説

ウイルス対策ソフトは、知られているマルウェアを見つけて侵入を止めるのが得意なんだ。
でも新しい手口や、正規のツールを悪用する攻撃はすり抜けてしまうことがあるよ。
EDRは、侵入されることも前提にして、PCやサーバの中の動きを見張るセキュリティ製品なんだ。
プログラムの起動やファイルの変更、通信の記録を集め続けて、怪しい振る舞いを見つけると管理者に知らせるよ。
見つけた後は、その端末をほかの機器と通信できないように切り離したり、怪しいプログラムを止めたりできるの。
いつ何が起きたかを後からたどれるから、被害の広がりを早く調べられるんだ。

より深い解説

定義と位置付け

EDR（Endpoint Detection and Response）は、端末で起きた出来事を集めて分析し、攻撃の検知・調査・対応までを支援する製品群の総称である。2013年にGartnerのアナリストAnton Chuvakinが「endpoint threat detection and response」と呼んだのが始まりとされ、現在はEDRの呼び方が定着している。特定の規格名ではないため、収集する情報や対応機能の範囲は製品ごとに異なる。

ここでいうエンドポイントは、ネットワークの末端で利用者やサービスが使う機器を指す。業務PC、サーバ、仮想マシン、スマートフォンなどが含まれる。ルータやスイッチのようなネットワーク機器は、通常は監視対象に含めない。

EDRは「侵入を完全には防げない」という考え方に立つ。境界のファイアウォールやメールの検査をすり抜けた攻撃も、最終的には端末上で何らかのプログラムを動かす。その痕跡を端末自身で記録しておけば、侵入の発見が遅れても経緯をさかのぼれる。これは複数の対策を重ねる多層防御の一部であり、EDRだけで入口対策が不要になるわけではない。

EPP・ウイルス対策ソフトとの違い

EDRと最も混同しやすいのが、従来のウイルス対策ソフトを発展させたEPP（Endpoint Protection Platform）である。EPPは、マルウェアを端末で実行させないことを主な目的とする。対してEDRは、侵入された後の活動を見つけ、調べ、止めることを目的とする。

観点EPP（ウイルス対策ソフトなど）EDR
主な目的マルウェアの実行を未然に防ぐ侵入後の活動の検知・調査・対応
主な検知方法パターンマッチング、振る舞い検知、機械学習など端末の活動記録を継続して集め、規則や分析で異常を探す
記録する範囲主に検知したファイルや事象正常に見える操作も含めた活動の履歴
検知後の措置ファイルの検疫・削除端末の通信遮断、プロセスの停止、調査の実行など

既知のマルウェアの特徴（シグネチャ）と照合する方式は、未知の検体や中身を少し変えた検体を見逃しやすい。プログラムの動作から判断するビヘイビア法はEPPでも使われる。違いは、EDRが「怪しいと判定したもの」だけでなく、判定の前後にある活動の履歴も残す点にある。

実際の製品では、EPPとEDRを一つのエージェントで提供するものが多い。「EDRを導入した＝ウイルス対策が不要」とも「EPPがある＝EDRの機能もある」とも限らないため、導入済みの機能を個別に確認する。

仕組み：記録・分析・対応の流れ

EDRは、端末に導入するエージェント（センサーとも呼ぶ）と、情報を集めて分析する管理サーバ（クラウドサービスの場合が多い）で構成される。処理の流れは次のとおりである。

  1. 端末に入れたこのソフトウェアが、端末上の活動を記録する。プロセスの起動と親子関係、実行時のコマンドライン、ファイルやレジストリの変更、ネットワーク接続、ログオンなどが対象になる。
  2. 記録した活動データ（テレメトリと呼ぶ）を管理サーバへ送る。
  3. 管理サーバは、既知の攻撃の痕跡であるIoC（Indicator of Compromise：侵害の痕跡）との照合や、振る舞いの規則・機械学習による分析を行う。
  4. 疑わしい活動を見つけるとアラートを出す。関連するアラートは一つの事案としてまとめられることが多い。
  5. 分析者は、プロセスの親子関係を木の形で示したプロセスツリーや時系列の表示を使い、侵入の起点と影響範囲を調べる。
  6. 必要に応じて、端末の通信遮断、プロセスの停止、ファイルの削除などの対応を管理画面から指示する。

攻撃の手口を整理する共通の分類として、MITRE ATT&CKが使われる。初期侵入、実行、権限昇格、侵入範囲の拡大などの戦術ごとに具体的な技術が整理されており、検知結果をこの分類に対応付ける製品も多い。

Microsoft Defender for Endpointの例では、プロセス、ネットワーク活動、ログオン、レジストリやファイルの変更などを継続して収集し、6か月分を保持すると説明されている。一方で、端末のすべての操作を記録する監査・ログ製品ではないとも明記されている（Microsoftの概要資料）。保持期間や記録の粒度は製品・契約によって異なる。

振る舞いから攻撃を見つける例

正規のツールだけを使う攻撃は、ファイルの特徴だけでは見つけにくい。OSに標準で入っているPowerShellなどを悪用する手口を「環境寄生型（Living off the Land）」と呼ぶ。次は、EDRが記録した活動の独自例である。

時刻記録された活動
10:02メールに添付された文書ファイルを利用者が開く
10:02文書作成ソフトがPowerShellを子プロセスとして起動する
10:03PowerShellが外部のWebサーバからファイルを取得する
10:04取得したプログラムが起動し、外部のサーバと定期的に通信を始める
10:30同じプログラムが社内のファイルサーバへ認証を試みる

PowerShellもファイル取得も、一つずつ見れば業務で起こり得る。しかし文書作成ソフトがシェルを起動し、外部から取得したプログラムが定期通信を始める流れは不自然である。EDRは個々の操作ではなく、プロセスの親子関係と前後のつながりから異常を判断できる。

この例で定期的な通信先は、攻撃者が遠隔操作に使うC&Cサーバの可能性がある。社内のファイルサーバへの認証の試みは、侵入した端末を足場にほかの機器へ広がる横展開（ラテラルムーブメント）の兆候である。記録をさかのぼれば、最初に開いた添付ファイルが侵入の起点だと特定できる。

通信遮断などの対応機能

EDRの代表的な対応機能が、端末のネットワーク隔離である。この状態の端末は、ほかの社内機器やインターネットと通信できなくなる。ただし多くの製品では、管理サーバとの通信だけは維持する。このため、遮断中も遠隔から調査を続け、作業が終われば元の状態に戻せる。

対応機能目的注意点
端末の通信遮断ほかの機器への拡大や外部への送信を止める利用者の業務が止まる
プロセスの停止悪意のあるプログラムの動作を止める業務アプリを誤って止めない
ファイルの削除・検疫不正なファイルを取り除く調査用の証拠を先に確保する
遠隔での調査ファイルやメモリの情報を集める実行できる操作の権限を管理する
遮断リストへの登録同じファイルの実行をほかの端末でも止める誤登録の影響が全端末に及ぶ

端末の電源を切ると、メモリ上にしか存在しない情報が失われる。ネットワークだけを遮断する方法は、被害の拡大を止めながら調査用の情報を残す手段として有効である。どの段階で誰が通信遮断を判断するかは、インシデントハンドリングの手順で事前に決めておく。

XDR・NDR・SIEMとの区別

EDRが見るのは端末の内部である。ネットワーク機器しか通らない通信や、メール・クラウドサービス上の操作は、EDR単独では見えない。そこで監視範囲の異なる仕組みと組み合わせる。

名称主な監視対象役割
EDR端末内部のプロセスやファイルの活動端末での検知・調査・対応
NDRネットワークを流れる通信通信の異常から攻撃を検知する。エージェントを入れられない機器も観測できる
XDR端末、ネットワーク、メール、クラウド、IDなど複数の領域の情報を横断して関連付け、検知と対応をまとめる
SIEM多様な機器やシステムのログログを集約・相関分析し、検知・調査・保管に使う

NDR（Network Detection and Response）は、ミラーポートなどから得た通信を分析する。IoT機器や複合機のようにエージェントを導入できない機器の異常も捉えられる点がEDRとの違いである。XDR（Extended Detection and Response）は、EDRの考え方を端末以外へ広げた製品群であり、同じベンダーの製品同士の連携を前提とするものも多い。

SIEMは製品の種類を問わずログを集める汎用の基盤である。EDRのアラートや活動記録をSIEMへ送り、ファイアウォールや認証のログと突き合わせる構成がよく採られる。外部の専門事業者がEDRを監視して対応まで代行するサービスはMDR（Managed Detection and Response）と呼ばれる。

導入・運用の設計

EDRは導入した端末しか見えない。展開漏れの端末やサポート対象外のOSは死角になるため、資産管理の台帳と導入状況を突き合わせる。サーバに導入する場合は、処理負荷や除外設定を検証環境で確かめる。

エージェントは、管理サーバ（多くはインターネット上のクラウド）へHTTPSで通信する。社内からインターネットへの通信をプロキシサーバ経由に限定している環境では、エージェントにその設定を与えるか、通信先を許可する必要がある。この経路が止まると、アラートの送信も隔離などの指示も届かない。

アラートの量も設計の対象である。誤検知が多いと、分析者が重要なアラートを見落とす「アラート疲れ」が起きる。業務で使うツールを除外する場合は、ファイル名だけでなくパスや署名者で範囲を絞る。広すぎる除外は、攻撃者に悪用される死角になる。

攻撃者は検知を逃れるため、EDRのエージェントを停止・削除しようとすることがある。管理者権限があっても設定を変えられないようにする改ざん防止機能を有効にし、エージェントが通信しなくなった端末を監視する。夜間や休日のアラートに誰が対応するかも決めておく。社内のSOCで対応するのか、MDRなどへ委託するのかで、隔離を実行してよい権限の範囲も変わる。

トラブル時の切り分け

観測した状態確認すること
管理画面で端末がオフラインと表示される端末の稼働、エージェントのサービス状態、管理サーバへの通信経路（プロキシ・ファイアウォール）
業務アプリが突然止められたEDRの検知履歴、ブロックした規則、除外設定の要否
隔離を解除したのに通信できない解除指示が届いたか、端末側の別のファイアウォール設定
侵害が疑われるのにアラートがないエージェントの導入状況、検知方針の設定、記録の保持期間
端末の動作が遅くなったスキャン設定、除外の候補、他のセキュリティ製品との競合

午後での問われ方

この用語が出てくる記事

↑