ホーム > News > ウイルス対策ソフトがあるのに、なぜEDRが必要なのか

ウイルス対策ソフトがあるのに、なぜEDRが必要なのか

  • セキュリティーコラム

「ウイルス対策ソフトを入れているのに、なぜEDRが必要なのか」。中小企業のお客様から最もよくいただく質問です。結論から言えば、両者は守っている場所が違います。ただしEDRにも、期待してよい部分とそうでない部分があります。警察庁が2026年9月10日に公表した最新の統計を手がかりに、専任のセキュリティ担当を置けない企業の視点で整理します。

目次

「メールの添付ファイル」のイメージはもう古い

警察庁が2026年9月10日に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期に警察へ報告されたランサムウェア被害は123件でした。2020年下半期の統計開始以降、半期として最多です。規模別では中小企業が79件と約6割を占めています。

注目すべきは侵入経路です。感染経路について回答が得られた36件のうち、VPN機器からの侵入が18件、リモートデスクトップが9件。合わせて4分の3が「外から社内につなぐ入り口」を経由していました。

警察庁は資料の中で、近年はインターネットに露出した箇所から遠隔で内部に侵入される手口が多くを占めており、標的型攻撃メール等の添付ファイルによる感染は少なくなっていると明記しています。未修正の脆弱性や漏えいした認証情報を使い、「正規の入り口から」侵入されるというのが現在の実態です。

ウイルス対策ソフトとEDRは、守る場所が違う

ウイルス対策ソフト（EPP）は、端末に入ってこようとする不正なファイルを入口で止める仕組みです。既知のウイルスのパターンや、怪しい挙動をするファイルを検知してブロックします。非常に有効な仕組みであり、今も必要です。

ただし前章の侵入経路を思い出してください。盗まれたIDとパスワードでVPNから侵入された場合、不正なファイルは一つも入口を通っていません。正規の利用者として入られ、管理者権限を奪われ、OSに最初から入っている標準の管理ツールで社内を見て回られます。検知すべき「不正なファイル」が存在しないため、入口の検問は素通りになります。

EDR（Endpoint Detection and Response）は、ここを担当します。端末の上で何が実行され、どこに接続し、どのファイルに触れたかという動作の記録を取り続ける仕組みです。

ここで一つ押さえておきたいのは、EDRは「プログラムか人間か」を区別していないという点です。記録されるのは行われたことそのものであり、自動化された処理も、人が手元で直接行ったことも、同じように残ります。つまり検知できるかどうかを分けるのは、誰がやったかではなく何をやったかです。

検知できるかどうかは、侵害の段階で変わる

「EDRを入れれば検知できる」も「EDRでは正規の振る舞いを装われると検知できない」も、どちらも正確ではありません。実際には、侵害の進行段階によって検知のしやすさが大きく変わります。

段階端末上で起きること検知のしやすさ
1. 侵入正規の認証情報でVPNやリモートデスクトップから接続されるほぼ不可
2. 探索・横展開アカウント一覧の取得、共有フォルダの探索、別端末への接続難しい
3. 認証情報の窃取・妨害認証情報を扱うプロセスのメモリ読み出し、セキュリティ製品の停止比較的しやすい
4. 持ち出しと暗号化大量のファイル操作、バックアップやシャドウコピーの削除しやすい

段階1と2が難しいのは、そこで行われることが情報システム担当者の日常業務とほとんど同じだからです。アカウントの一覧を見る、共有フォルダを探す、別の端末につなぐ。単体ではどれも正常で、見分けるには「誰が、いつ、どこから、どういう順番で」という文脈が必要になります。

一方で段階3と4には、正規の管理者がめったに行わないことが含まれます。こちらは手元で直接行われた場合でも検知されます。EDRが見ているのは主体ではなく内容だからです。

ただし、ここに落とし穴があります。段階4が見えた時点では、すでに手遅れです。IPAの「ランサムウェア被害から学ぶ教訓集」でも、暗号化が発覚した時点で侵害はすでに最終段階に入っている点が強調されています。EDRの実戦的な価値は、派手な最終段階を捕まえることではなく、その手前にある静かな段階の記録を残し、人が後から読めるようにすることにあります。

EDRは「自動で見つけてくれる箱」ではない

この点について、CISAやNSA、FBIなどが共同で公開したガイダンスは明確です。防御側はエンドポイント検知の仕組みに頼りがちだが、そうした仕組みはOS標準ツールを悪用する活動にアラートを上げないことが多い。システムログは既定設定のまま運用されることが多く、記録されない、あるいは記録されても正規の振る舞いと区別できる粒度がない。大量のログの中で悪性の活動はごくわずかであるため、検知はさらに難しくなる。ベストプラクティスを実践している組織であっても、正規の振る舞いとの区別は困難であると述べられています。CISA自身のレッドチームも同じ手法を用いており、防御側に発見されることはめったにないとしています。

では何のためにEDRを入れるのか。価値は「自動検知」そのものではなく、判断の材料が手元に残ることにあります。同ガイダンスは、時刻、利用者の役割、プロセスの親子関係といった文脈と突き合わせることで、正規のものとそうでないものを切り分ける方法を示しています。EDRは、その突き合わせを可能にする記録を作る装置です。読む人がいなければ、記録が貯まるだけで終わります。

IPAの教訓集でも、インシデント対処編の教訓としてEDRの導入と定期的なログ監査が並べて挙げられています。導入と監査が、セットで一つの教訓になっているということです。

導入前に決めておく3つのこと

以上を踏まえると、製品を選ぶ前に運用側を決めておく必要があります。専任担当がいない企業ほど、ここで差がつきます。

1. 誰が記録を読むのかを決める。 自動で上がってくるアラートだけでは、静かな段階を拾えません。社内に読む人を置けないなら、監視を外部に委託する前提で製品を選ぶべきです。「情シス担当が片手間で見る」は、繁忙期に必ず止まります。読む人が決まらないまま導入すると、ログ保管サービスにお金を払っているのと変わらなくなります。

2. 検知したあと誰が何を止められるのかを決める。 EDRの価値は検知より対応にあります。深夜に不審な挙動を見つけたとき、その端末をネットワークから切り離す判断を誰がするのか。切り離した結果、業務が止まることの責任を誰が持つのか。ここを決めずに運用を始めると、現場は結局「様子を見る」を選びます。

3. 入口の対策を後回しにしない。 侵入経路の4分の3はVPNとリモートデスクトップです。EDRを入れても、この入り口が開いたままなら侵入は止まりません。VPN機器のファームウェア更新、多要素認証の導入、リモートデスクトップがインターネットに直接公開されていないかの確認。EDRはこれらの代わりにはなりません。

AUSの見立て

EDRは「入れるかどうか」ではなく「運用できるかどうか」で判断すべき製品だと考えます。警察庁が観測した不審なアクセスは1日・1IPアドレス当たり13,687件で、前年同期比50.7%増。入口を叩かれ続けることが前提の環境では、いずれ誰かが中に入ります。そのとき、手遅れになる前の静かな段階に気づける状態になっているか。製品の検知性能を比較する前に、記録を読む体制があるかを先に確認してください。順序を逆にすると、高機能な製品ほど無駄になります。EDRを「入れれば安心な箱」として説明する売り方があれば、それは誇張だと考えてください。

まとめと出典

ウイルス対策ソフトは入口、EDRは侵入後。守る場所が違うため、どちらかで代替はできません。EDRは主体ではなく内容を見るため、手元で直接行われたものでも内容が危険であれば検知されます。一方で、日常業務と見分けのつかない静かな段階は自動検知に頼れません。だからこそ読む体制が要ります。そして侵入経路の4分の3がVPNとリモートデスクトップである以上、入口対策を飛ばしてEDRだけを入れても穴は塞がりません。導入前に「誰が読むか」「誰が止めるか」「入口は閉じているか」の3点を決めてください。

※本記事で示した検知のしやすさは、EDRという仕組みの大まかな特性を整理したものです。実際にどの挙動がどう扱われるかは製品の実装、設定、ログの取得範囲、運用体制によって異なります。自社の環境での挙動は、導入時に実機で確認されることをお勧めします。

本記事は以下の公開情報に基づいています。

BACK