日本語
メニュー

ウイルス対策ソフト・EDR・XDRの違い：防ぐか見つけるか・記録・対応・範囲を比較

どれも端末を攻撃から守る仕組みですが、目的と見る範囲が違います。ウイルス対策ソフト(EPP: Endpoint Protection Platform)は、既知のマルウェアのパターンや怪しい特徴をもとに、ファイルが実行される前に止めることを目指します。EDRは、侵入を完全には防げない前提で、端末の上のプロセスやファイル、通信の動きを記録し続け、怪しい振る舞いを見つけて調べ、端末の隔離などの対応までを助けます。XDRは、端末だけでなく、ネットワーク、メール、クラウド、IDの認証などの記録もまとめて関連づけ、組織全体での攻撃の流れを見つけようとするものです。多くの組織では、まず止める仕組みと、すり抜けたものを見つけて対応する仕組みを組み合わせて使います。

項目ウイルス対策ソフト(EPP)EDRXDR
主な目的マルウェアを実行される前に見つけて止める(予防)侵入された後の怪しい動きを見つけ、調べて対応する(検知と対応)端末・ネットワーク・メール・クラウドなどをまたいだ攻撃を、まとめて見つけて対応する
見る範囲端末の上のファイルと、実行しようとするプログラム端末の上のプロセスの起動、ファイルやレジストリの変更、通信、ログオンなどの動き端末に加えて、ネットワーク、メール、クラウドのサービス、IDの認証などの記録
主な検知の方法既知のマルウェアのパターン(シグネチャ)との照合。ファイルの特徴から怪しさを判定する仕組みを持つ製品も多い振る舞いの規則や、攻撃の手口の知識(ATT&CKなど)と照らした検知。IoCでの検索複数の情報源の出来事を関連づけた検知。1つずつでは弱い兆しを組み合わせて判断する
記録の残し方検知した結果が中心。端末の動きを長く残すことは少ない端末の動きを継続して記録し、さかのぼって調べられるようにする複数の情報源の記録を1か所に集めて保存する
見つけた後の対応ファイルの削除や隔離プロセスの停止、端末のネットワークからの隔離、影響範囲の調査を、管理画面から遠隔で行う端末の隔離に加え、アカウントの停止やメールの削除など、範囲をまたいだ対応
未知の攻撃への強さパターンにない新しいマルウェアや、OSの正規の機能を悪用する攻撃は見逃しやすいファイルを使わない攻撃や正規のツールの悪用も、振る舞いから見つけやすい端末だけでは見えない攻撃の流れ(メールで侵入し、横に広がるなど)を見つけやすい
運用の負担比較的小さい。自動で止めるのが基本警告を判断して調べる人が必要。SOCや外部の監視サービスと組み合わせることが多い対象が広く、連携の設定と、警告を判断する体制が必要
限界すり抜けたものが端末の中で何をしたかは分かりにくい端末の外(ネットワーク機器、クラウド、管理されていない端末)は見えない製品ごとに連携できる範囲が違う。記録を集めるだけでは、判断する人や手順の代わりにならない

数値は代表的な目安で、世代や製品によって異なります。

どんなときに使うか

ウイルス対策ソフト(EPP)
すべての端末に入れる基本の対策です。既知のマルウェアの多くを、人の判断を待たずに止められます。
EDR
侵入をすり抜けられる前提で、早く見つけて被害を小さくしたいとき。インシデントレスポンスの調査で、端末で何が起きたかをさかのぼるのにも使います。
XDR
端末・メール・クラウドなどの監視を別々の画面で行っていて、攻撃の流れをまとめて追いたいとき。SIEMと役割が重なるので、すでにある仕組みとの分担を決めて使います。

よくある質問

EDRを入れれば、ウイルス対策ソフトは要りませんか？

役割が違うので、多くの場合は両方を使います。ウイルス対策ソフトは既知のマルウェアを実行前に自動で止めることに強く、EDRはすり抜けた攻撃の動きを見つけて調べ、対応することに強い仕組みです。1つの製品の中で、両方の機能をまとめて提供するものも多くあります。

EDRは、なぜ人の対応が必要なのですか？

EDRが出す警告には、正規の管理作業や業務のツールの動きを怪しいと判定したものも含まれるためです。本当に攻撃なのかを判断し、影響の範囲を調べ、隔離などの対応を決めるには、担当者やSOC、外部の監視サービスによる運用が必要になります。警告を見る人がいないと、記録があっても被害を小さくできません。

XDRとSIEMは何が違いますか？

どちらも複数の情報源の記録を集めて関連づけますが、SIEMはさまざまな機器のログを広く集めて分析・保存する基盤で、XDRは端末やメールなど決まった種類の情報源を深く連携させ、検知から対応までを1つの仕組みで行うことに重点を置くものとして説明されることが多いです。製品によって境目は違うので、何を集め、どこまで自動で対応できるのかを確かめて使います。

理解度チェック

従来のウイルス対策ソフトと比べた、EDR(Endpoint Detection and Response)の特徴として正しいものはどれか。

  1. A端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する
  2. B既知のマルウェアのファイルの特徴と一致するかだけを調べて、一致したファイルを削除するが、振る舞いは記録しない
  3. C端末ではなくネットワークの境界に置いて、外部から届くパケットを、IPアドレスとポート番号をもとに遮断する
答えと解説を見る

正解：A. 端末のプロセスの起動や通信などの振る舞いを記録し続けて不審な動きを検知し、端末の隔離などの対応を支援する

従来のウイルス対策ソフトは、主にファイルを既知のマルウェアの特徴と照らし合わせ、侵入を入口で防ぐことを目的にしています。EDRは、侵入を完全には防げないことを前提に、端末で起きたプロセスの起動、ファイルや設定の変更、ネットワークの通信などを記録し続け、不審な振る舞いを検知します。記録をさかのぼって侵入の経路や影響の範囲を調べたり、遠隔から端末をネットワークから隔離したり、不審なプロセスを止めたりできるのが特徴です。現在は、ウイルス対策の機能とEDRを1つの製品で提供するものも多くあります。

侵入した攻撃者が、独自のマルウェアをできるだけ使わずに、PowerShellやWMI、標準のリモート管理の機能など、もともとOSに入っている正規のツールで活動する手法を「環境寄生型(Living off the Land)」と呼ぶ。この手法への対策の考え方として、最も適切なものはどれか。

  1. A正規のツールの実行ファイルはデジタル署名されているので、署名を確かめるウイルス対策ソフトを入れれば検知できる
  2. B正規のツールを使った攻撃は検知できないので、侵入された後の対策はあきらめ、入口の防御だけに投資する
  3. C正規のツールが誰によって、どの引数で、どの親プロセスから実行されたかを記録して、ふだんと違う使われ方を検知し、管理用のツールを使える人や端末を絞る
答えと解説を見る

正解：C. 正規のツールが誰によって、どの引数で、どの親プロセスから実行されたかを記録して、ふだんと違う使われ方を検知し、管理用のツールを使える人や端末を絞る

環境寄生型の攻撃では、使われるプログラム自体は正規の署名付きのものなので、ファイルの特徴で既知のマルウェアを見分ける方法では検知できません。そこで、EDRやOSのログ(PowerShellのスクリプトの記録や、プロセスの起動の記録など)で、コマンドの引数や親子関係を集め、「文書ファイルを開いたアプリケーションからPowerShellが起動された」「エンコードされた長いコマンドが実行された」といった、ふだんの業務と違う使い方を手掛かりに検知します。あわせて、管理用のツールを使える利用者や端末を限り、実行できるアプリケーションを許可したものだけに絞ることで、攻撃者が使える道具を減らします。

セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。

  1. ASIEMは端末の振る舞いを記録するソフトウェア、SOARは通信を暗号化する装置、SOCは脆弱性に付けられる識別番号である
  2. BSIEMは対応の手順を自動で実行する仕組み、SOARは各機器のログを集めて分析する仕組み、SOCは製品の脆弱性に対応する開発のチームである
  3. CSIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である
答えと解説を見る

正解：C. SIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である

SIEM(Security Information and Event Management)は、ファイアウォール、サーバ、EDR、クラウドなどのログを1か所に集めて時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で、攻撃の疑いを警告として示します。SOAR(Security Orchestration, Automation and Response)は、警告に対して、情報の収集、端末の隔離、アカウントの停止といった決まった手順をプレイブックとして自動で実行し、分析者の手間を減らします。SOC(セキュリティオペレーションセンター)は、これらの仕組みを使って監視、警告の分析、インシデントかどうかの判定と報告を行う組織で、24時間の体制をとることも多くあります。SOCが判定したインシデントへの対応は、CSIRTが中心になって進めることが多くあります。

  1. 脅威の検知で使われるIoC(Indicator of Compromise)とIoA(Indicator of Attack)の説明として、正しいものはどれか。
  2. ゼロデイ攻撃の説明として正しいものはどれか。

サイバー攻撃と防御の実務の練習問題へ

関連する用語の解説

EDR(Endpoint Detection and Response)
Endpoint Detection and Responseの略。PCやサーバなどの端末(エンドポイント)で起きたプロセスの起動、ファイルや設定の変更、ネットワークの通信などを記録し続け、不審な振る舞いを検知して、調査と対応(端末の隔離、プロセスの停止など)を支援するセキュリティの製品。既知のマルウェアのファイルを見分ける従来のウイルス対策ソフトと違い、侵入を完全には防げないことを前提に、侵入後の活動を見つけることを目的とする。
SIEM(セキュリティ情報イベント管理)
Security Information and Event Managementの略。ファイアウォール、サーバ、EDR、クラウドのサービス、認証の基盤などのログを1か所に集めて形式と時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で攻撃の疑いを検知し、警告として示す仕組み。調査のためのログの検索や、規則で求められるログの長期の保存にも使われる。SOC(セキュリティオペレーションセンター)の分析者が監視に使う、中心的な道具の1つである。
セキュリティオペレーションセンター
組織のネットワーク、端末、クラウドを継続して監視し、SIEMやEDRの警告を分析して、インシデントかどうかを判定し、対応する担当者に報告する組織や拠点。略してSOCと呼ばれる(チップのSoCとは別の言葉である)。24時間の体制をとることが多く、自前で持たずに外部の事業者に委託する組織も多い。判定したインシデントへの対応は、CSIRTと連携して進める。
IoC(侵害の痕跡)
Indicator of Compromiseの略で、システムが侵害されたことを示す具体的な痕跡。マルウェアのファイルのハッシュ値、C2サーバのIPアドレスやドメイン名、特有のファイル名などがある。組織の間や脅威インテリジェンスで共有され、自組織のログや端末と照らし合わせて、同じ攻撃を受けていないかを調べるのに使う。ハッシュ値やIPアドレスは攻撃者が簡単に変えられるので、攻撃者の振る舞いに注目するIoA(Indicator of Attack、攻撃の兆候)や、手口に基づく検知と組み合わせる。
インシデントレスポンス
サイバー攻撃などのセキュリティのインシデントが起きたときに、被害を見つけて広がりを止め、原因を取り除いて業務を戻し、教訓を次に生かす一連の活動。米国のNISTのSP 800-61の第2版(2012年)では、準備、検知と分析、封じ込め・根絶・復旧、事後の活動の4段階で示され、2025年の第3版ではサイバーセキュリティフレームワーク(CSF) 2.0に合わせた形に整理し直された。組織の中ではCSIRTが中心になり、SOC、システムの担当者、法務、広報、経営者などと連携して進める。
ラテラルムーブメント
組織のネットワークに侵入した攻撃者が、最初に乗っ取った端末を足場に、盗んだ認証情報や正規の管理用のツールを使って、ほかの端末やサーバへ次々に侵害を広げること。水平展開とも呼ばれ、目的のデータや管理者の権限を持つシステムに近づくために行われる。端末ごとに異なる管理者のパスワード、端末同士の不要な通信の遮断(マイクロセグメンテーション)、特権のアカウントの管理、認証のログの監視などで防ぎ、検知する。
MITRE ATT&CK
米国の非営利の研究組織MITREが公開している、実際の攻撃で観測された攻撃者の手口の知識ベース。攻撃者の目的を表す「戦術(タクティクス)」(初期アクセス、永続化、権限昇格、ラテラルムーブメント、持ち出しなど)と、それを達成する具体的な方法を表す「テクニック」に分けて整理し、テクニックには識別番号を付けている。防御の側が、検知や対策がどの手口を押さえているかを確かめたり、脅威インテリジェンスの報告で手口を共通の言葉で表したりするのに使う。
ゼロデイ攻撃
ソフトウェアの脆弱性が見つかってから、修正のプログラム(パッチ)が提供されるまでの間に、その脆弱性を悪用して行われる攻撃。パッチで防げないため、多層の対策で被害を抑える。

関連する比較