「ウイルス対策ソフトを入れているのに、なぜ侵入されるのか」。この問いに答えられるかどうかが、EDR（Endpoint Detection and Response）を理解できているかの分かれ目です。SC試験の午後問題では、マルウェア感染後の横展開をどうやって気づき、どこで封じ込めるかという「侵入された後」の物語が繰り返し出題されます。その主役がEDR、そして監視範囲を広げたXDRです。
私はCIOだった頃、パターンマッチング型のアンチウイルスを全端末に配って「これで安心」と思い込んでいた時期がありました。ところが実際には、正規のツールを悪用する攻撃やゼロデイの前では、シグネチャに載っていない脅威は素通りします。当時のインフラ環境ではログを人手で追うしかなく、痕跡を見つけたときには既に手遅れ、ということも珍しくありませんでした。EDR/XDRは、まさにその「気づけなかった」を技術で埋める仕組みです。
この記事では、EDRとXDRの定義と違い、エンドポイントでのテレメトリ収集と検知ロジック（シグネチャ・振る舞い・IoA）、SIEMやSOARとの関係、そして検知から隔離・調査・復旧までのインシデント対応フローを、SC試験で問われる観点に絞って解説します。読み終える頃には、午後問題の事例文で「EDRのアラート」と出てきたときに、その裏で何が起きているかを具体的に思い描けるようになります。
EDRとXDRとは何か：EPP（従来型アンチウイルス）との根本的な違い
まず押さえたいのは、EDRは従来型のアンチウイルスを置き換えるものではなく、発想がそもそも違うという点です。ここを混同すると、午後問題で「EPPで防げなかった攻撃をEDRがどう捉えたか」という問いに答えられません。このセクションでは、EPP・EDR・XDRという3つの言葉の関係を整理します。
EPPは「入口で止める」、EDRは「入った後に気づく」
EPP（Endpoint Protection Platform）は、いわゆる従来型のウイルス対策ソフトを含む「防御（Protection）」の仕組みです。既知のマルウェアのパターン（シグネチャ）と照合し、一致すれば実行前にブロックします。入口で止める発想であり、既知の脅威には有効です。
一方のEDR（Endpoint Detection and Response）は、防御をすり抜けた後を前提にしています。端末上のプロセス起動、ファイル操作、レジストリ変更、ネットワーク通信といった挙動を常時記録し、不審な動きを「検知（Detection）」して、隔離などの「対応（Response）」につなげます。EPPが門番なら、EDRは建物内に張り巡らせた監視カメラとログ、という関係です。
学び始めの人がよく誤解するのは「EDRを入れればアンチウイルスは要らない」という思い込みです。実際には多くの製品がEPPとEDRを統合していますが、役割は別物です。既知の脅威を安価に大量ブロックするのはEPPの仕事で、EDRはそこをすり抜けた少数の高度な脅威を捉えるために存在します。両者は競合ではなく多層防御の関係です。
XDRはEDRの監視範囲をエンドポイントの外へ広げたもの
XDR（Extended Detection and Response）は、その名のとおりEDRの検知・対応（Detection and Response）を「拡張（Extended）」したものです。エンドポイントだけを見ていたEDRに対し、XDRはメール、クラウド、ネットワーク機器、認証基盤など複数のレイヤーからテレメトリを集め、横断的に相関させて脅威を捉えます。
なぜ範囲を広げる必要があるのか。標的型攻撃は、メールで侵入し、端末で権限を奪い、ネットワークを横展開し、クラウド上のデータを盗む、というように複数の層をまたいで進行します。エンドポイントだけを見ていると、攻撃の一部分しか見えません。XDRは各層の点を線でつなぎ、一連の攻撃キャンペーンとして可視化することを狙います。
導入の順序としては、まずEDRでエンドポイントの可視性を固め、その上でXDRへ広げるのが堅実です。範囲を広げるほど収集データも運用負荷も増えるため、土台のないままXDRを入れてもアラートに溺れます。
MDRは「製品」ではなく「運用してくれる人」
もう一つ紛らわしいのがMDR（Managed Detection and Response）です。EDRやXDRが製品・技術を指すのに対し、MDRは外部の専門家がその監視・分析・対応を代行してくれるサービスを指します。24時間の監視要員を自社で抱えられない組織が、SOC機能をアウトソースする形態と考えると整理しやすいです。試験では「○○DR」の言葉が並んで出たとき、製品を指すのか運用サービスを指すのかを区別できるかが問われます。
学習の全体像＝進むべき道筋がひと目で分かる
〈セキュリティ学習メール〉
EDRの検知ロジック：テレメトリ収集とIoA・IoCによる振る舞い検知
SC試験の午後問題で本当に問われるのは、製品名ではなく「どうやって不審な挙動に気づくのか」という検知ロジックです。ここを理解していないと、事例文に散らばったログの断片を攻撃の流れとして組み立てられません。このセクションでEDRの中身を分解します。
エージェントが端末の挙動を余さず記録する
EDRの起点は、各端末に常駐するエージェントです。エージェントは以下のようなテレメトリ（挙動データ）を継続的に収集し、管理サーバーやクラウドの分析基盤へ送ります。
- プロセスの起動と親子関係（どのプロセスが何を起動したか）
- ファイルの作成・変更・削除
- レジストリやシステム設定の変更
- ネットワーク接続（接続先IP・ポート・通信量）
- ユーザーのログオンやアカウント操作
重要なのは、EDRが「マルウェアそのもの」を探すのではなく「挙動」を記録している点です。だからこそ、正規ツール（PowerShellやWMIなど）を悪用する環境寄生型（Living off the Land）の攻撃、つまりマルウェアファイルを残さない攻撃でも痕跡を捉えられます。この振る舞いベースという発想が、シグネチャ頼みのEPPとの決定的な違いです。
IoCとIoAの違いが検知の本質を分ける
EDRの検知は、大きく2種類の指標に基づきます。SC試験でも頻出の対比なので、正確に区別してください。表記は正式なとおり小文字を含むIoC・IoAで統一します。
- IoC（Indicator of Compromise、侵害指標）：既に侵害が起きたことを示す「痕跡」。既知のマルウェアのハッシュ値、悪性IPアドレスやドメイン、特定のファイル名などが該当します。過去の攻撃から得られた具体的な値であり、既知の脅威の検出に強い反面、未知の攻撃や値を変えてくる攻撃には弱いです。
- IoA（Indicator of Attack、攻撃指標）：攻撃者が「今まさに何をしようとしているか」という振る舞いのパターン。たとえば「Officeソフトがコマンドシェルを起動し、そこから外部へ通信した」という一連の動きは、ファイルの中身が未知でも攻撃の兆候として捉えられます。
学び始めの人が混同しやすいのはこの2つです。IoCは結果の痕跡、IoAは進行中の意図、と覚えると区別できます。ゼロデイや環境寄生型に強いのはIoAで、EDRの真価はここにあります。一方、IoCは脅威インテリジェンスとして共有・再利用しやすく、両者は補完関係です。
検知方式は多層で、機械学習も組み合わさる
EDRは単一の検知方式に頼りません。実際の製品では次のような方式が層をなしています。
- シグネチャ/ハッシュ照合：既知マルウェアのIoCとの一致。高速で誤検知が少ないが未知には無力。
- 振る舞い検知（ルールベース）：IoAに基づき、危険な操作の連鎖をルールで検出。
- 機械学習/統計的分析：正常時のベースラインからの逸脱（アノマリ）を検出。内部不正や新種の兆候に有効。
- 脅威インテリジェンス連携：外部から取り込んだ最新のIoC・攻撃手法情報と照合。
これらを組み合わせることで、既知にも未知にも網をかけます。ただし振る舞い検知やアノマリ検知は誤検知（フォールスポジティブ）が付き物です。CIO時代にWAFの導入を見送った理由の一つも、シグネチャのチューニングと誤検知対応にかかる運用コストへの不安でした。EDRでも同じで、初期は正常な業務操作をアラートとして拾ってしまうため、除外設定（チューニング）を地道に積み重ねる運用が欠かせません。「アラートが多すぎて全部は見ない」状態こそ、攻撃者に付け入る隙を与えます。
MITRE ATT&CKが検知能力の共通言語になる
EDRの検知結果を語るとき、業界共通の物差しになるのがMITRE ATT&CKです。これは実際の攻撃で観測された戦術（Tactics）と技術（Techniques）を体系化した知識ベースで、EDR製品は検知したイベントをこのフレームワークのテクニックにマッピングします。
これにより「このアラートは権限昇格の段階だ」「ここは横展開のテクニックだ」と、攻撃の進行段階を共通の語彙で説明できます。製品選定でも、MITRE Engenuity ATT&CK Evaluations という第三者評価で実際の攻撃グループの手口をどれだけ検知できたかが客観指標として使われます。SC試験でも、TTP（戦術・技術・手順）やATT&CKは脅威インテリジェンスの文脈で問われるため、EDRの検知ロジックとセットで押さえておくと理解が深まります。ATT&CKとCTIそのものの詳しい仕組みは、脅威インテリジェンス（CTI）とMITRE ATT&CK完全解説で解説しています。
XDRとSIEM・SOARの関係：ログ相関とインシデント対応フロー
EDR単体の検知を、組織全体の対応につなげる仕組みがXDR・SIEM・SOARです。SC試験の午後問題は「アラートが上がった後、誰が何をどの順で行うか」というフローを問うため、これらの役割分担とログ相関の考え方が得点源になります。
XDRとSIEMは「似て非なるログ相関」
SIEM（Security Information and Event Management）は、ファイアウォール、サーバー、認証基盤など多様な機器のログを一元的に収集し、相関分析して脅威を検知する仕組みです。範囲を横断する点はXDRと似ていますが、性格が異なります。
- SIEM：あらゆるログを幅広く集める汎用基盤。何を集め、どう相関ルールを書くかを利用者が設計する自由度の高さが強みであり、同時に運用の難しさでもあります。監査・コンプライアンス用途にも使われます。
- XDR：セキュリティベンダーが用意した検知ロジックとレイヤー間の相関があらかじめ組み込まれた、脅威検知に特化した仕組み。EDRを起点に、メールやクラウドの情報を製品側で自動的に紐づけます。
ざっくり言えば、SIEMは「箱と材料を渡すので自分で組み立てる」、XDRは「組み立て済みで届く」という違いです。両者は排他ではなく、XDRの検知結果をSIEMに集約して監査ログと突き合わせる、といった併用も一般的です。
SOARが対応を自動化する
SOAR（Security Orchestration, Automation and Response）は、検知後の対応を自動化・省力化する仕組みです。たとえば「EDRが端末を隔離したら、該当ユーザーのアカウントを一時停止し、チケットを起票し、担当者に通知する」という一連の対応手順（プレイブック）を自動実行します。
検知（EDR/XDR/SIEM）と対応（SOAR）を分けて理解しておくと、午後問題で「どのコンポーネントがどこまで担うか」を問われたときに迷いません。検知したものを人手だけで捌くと時間がかかり、被害が広がります。SOARは初動の速度を上げるための仕組みです。
EDRを軸にしたインシデント対応の4フェーズ
検知ロジックとコンポーネントが分かったら、それをインシデント対応のフローに乗せます。EDRが特に力を発揮するのは初動です。ここでは検知後の流れを段階で示します。
- 検知・トリアージ：EDRがIoAに基づくアラートを発報。SOC担当者がアラートの深刻度と誤検知の可能性を評価し、本物のインシデントかを見極めます。
- 封じ込め（隔離）：本物と判断したら、EDRの機能で該当端末をネットワークから隔離します。ここが重要で、EDRは管理通信だけを残して他の通信を遮断できるため、端末を物理的に抜線しなくても横展開を止めつつ調査を続行できます。
- 調査・分析：EDRが記録したテレメトリから、プロセスの親子関係（プロセスツリー）と時系列（タイムライン）を再構成し、侵入経路・影響範囲・攻撃の目的を特定します。「最初に何が起動し、どこへ通信したか」を遡れるのがEDRの強みです。
- 復旧・根絶：不正なプロセスの停止、悪性ファイルの削除、脆弱性の修正を行い、端末を業務ネットワークへ戻します。得られたIoCは脅威インテリジェンスとして共有し、次の検知に活かします。
この流れは、CSIRTやSOCの役割分担、そしてインシデントレスポンスの各フェーズと重なります。EDRは「検知」と「封じ込め」「調査」の実行手段を提供する存在だ、と位置づけると全体像がつかめます。新卒エンジニアがつまずきやすいのは、隔離を「端末をシャットダウンすること」と勘違いする点です。シャットダウンするとメモリ上の証拠が消えるため、揮発性の高い情報を保全する観点からは、ネットワーク隔離のまま生かして調べるのがセオリーです。
SC試験での出題パターンと対策
EDR/XDRは、午前IIの用語問題と午後の事例問題の両方で狙われます。ここでは出題のされ方と、間違えやすいポイントを整理します。
午前IIで問われる定義と区別
午前IIでは、EDR・EPP・XDR・SIEM・SOAR・MDRといった用語の定義と役割の区別が問われます。特に「EPP（防御）とEDR（検知・対応）の違い」「IoCとIoAの違い」「SIEMとXDRの違い」は定番の対比です。選択肢では、EDRの説明とEPPの説明を入れ替えた引っかけや、「検知」と「防御」を取り違えさせる選択肢が用意されます。役割を一語で言えるようにしておくと確実に取れます。
午後で問われる検知ロジックとログ相関
午後問題では、マルウェア感染や標的型攻撃の事例の中で、EDRのアラートやログが手がかりとして登場します。問われるのは、次のような読解と判断です。
- 複数のログ（EDR・プロキシ・認証ログ）を相関させ、攻撃の時系列を組み立てる
- プロセスツリーから侵入の起点と横展開の経路を特定する
- 検知後にまず取るべき対応（多くは「該当端末の隔離」）を選ぶ
- なぜシャットダウンではなくネットワーク隔離なのか、証拠保全の観点から説明する
インシデント対応問題は時系列整理が肝であり、EDRのテレメトリはその時系列を提供する情報源だと意識して読むと、断片が線でつながります。
つまずきやすい引っかけの整理
- EDRはマルウェアを防ぐもの、ではない：EDRは防御の最後の砦ではなく、すり抜けた後に気づき対応する仕組みです。「EDRを入れれば感染しない」という選択肢は誤り。
- IoCとIoAの向き：過去の痕跡（IoC）と進行中の兆候（IoA）を逆に説明する選択肢に注意。
- 隔離＝停止ではない：ネットワーク隔離と端末シャットダウンを同一視しない。証拠保全の観点で区別する。
【演習】EDR/XDR理解度チェック（全10問）
EDR/XDRは午前IIでは用語の定義と区別が、午後では事例文中のログ相関とインシデント対応フローの読解が問われます。定番のひっかけは「防御（EPP）と検知・対応（EDR）の取り違え」「IoCとIoAの向きの逆転」「ネットワーク隔離と端末シャットダウンの混同」の3点です。以下の練習問題で本記事の理解度を確認してみましょう。
まとめ：EDR/XDRは「侵入された後」を戦うための可視化装置
EDR/XDRを一言でまとめれば、「防げなかった攻撃に気づき、被害を最小化するための可視化と対応の仕組み」です。EPPが入口で止める防御なら、EDRは館内の監視カメラとログであり、XDRはその視野をエンドポイントの外へ広げたものだと整理できます。
CIO時代の私が抱えていた「侵入されても気づけない」という不安の正体は、端末の挙動を記録し遡れる仕組みがなかったことでした。当時はログを人手で追うしかなく、痕跡を見つけたときには手遅れという場面を何度も見てきました。EDRのテレメトリとIoAベースの検知、そしてネットワーク隔離という封じ込めは、まさにその不安を技術で埋めるものです。
新卒エンジニアに教えるときにいつも強調するのは、「EDRを入れれば安全」ではなく「EDRは気づくための道具であり、活かすのは運用だ」という点です。誤検知のチューニングを怠りアラートを見なくなれば、どんな高性能なEDRも意味を失います。SC試験の午後問題も、まさにこの「検知した後、人と仕組みがどう動くか」を問うています。IoCとIoAの違い、隔離とシャットダウンの違い、EDR・XDR・SIEM・SOARの役割分担を自分の言葉で説明できるようにしておけば、事例問題のログの断片が攻撃の物語として立ち上がって見えてくるはずです。
本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。
参考資料
- IPA 情報処理推進機構「情報処理安全確保支援士試験」出題範囲・シラバス
- MITRE ATT&CK（https://attack.mitre.org/）
- IBM「EDR（エンドポイントの検知と対応）とは」（https://www.ibm.com/jp-ja/topics/edr）
- NIST SP 800-61「Computer Security Incident Handling Guide」
学習の全体像＝進むべき道筋がひと目で分かる
〈セキュリティ学習メール〉