EDRとは？エンドポイント検知・対応の種類（EDR製品・プラン・XDR）と、調べ方・隔離・自動化・価格の選び方

EDRとは

EDRは、パソコンやサーバーの動きを記録して見張り、攻撃を見つけたら調査と対応まで進めるための製品です。ウイルス対策が攻撃を入れないための製品なのに対し、EDRは入られた前提で動きます。

比較ページには、自社で開発・提供する会社のEDRとXDRを、各社1製品ずつ載せています。ウイルス対策全般はセキュリティソフトの比較⁠に分けました。

3つの種類

• EDRとして売る製品：検知後の調査と対応が主役です。例は Cybereason EDR、FortiEDR、Kaspersky Next EDR Expert ⁠⁠⁠です
• ウイルス対策と同じ契約に入るプラン：端末のソフトを1つにまとめられます。例は Microsoft Defender for Endpoint、Vision One Endpoint Security Essentials、Singularity Complete、Cisco Secure Endpoint Advantage ⁠⁠⁠です
• 端末の外まで束ねるXDR：IDやクラウドのデータも合わせて調べます。例は Falcon Insight XDR、Cortex XDR Pro per Endpoint、Sophos Intercept X Advanced with XDR ⁠⁠⁠です

XDR・MDRとの違い

• XDRは、EDRが見る端末に加えて、IDやクラウドなどのデータも調べます。Cortex XDR Pro per Endpoint では、ネットワークやクラウド、IDの分析はアドオンです
• MDRは、人が監視と対応を受け持つ運用代行です
• 夜間に通知を見る人がいないなら、MDRも合わせて比べます。Falcon Complete や Sophos の with MDR Complete は24時間365日です

調べ方と対応の操作

• Cybereason EDR は、関連する動きをMALOPにまとめ、攻撃の流れを日本語の管理画面で見せます
• Cortex XDR Pro per Endpoint は、関連する検出を1つのケースにまとめ、リスク別に点数をつけます
• Microsoft Defender for Endpoint は、デバイスの分離と調査パッケージの収集ができます
• Falcon Insight XDR は、リアルタイムレスポンスで端末へ直接入れます
• Kaspersky Next EDR Expert は、資産の分離、プロセスの停止、ファイルの隔離ができます

自動化とデータの保存

• Singularity Complete は、端末が不正なプロセスを止め、変更を元に戻します
• FortiEDR は、事前設定済みのプレイブックで手順を決められます
• 業務を止めたくない端末があるなら、自動にする範囲を先に決めます
• データの保存は、Sophos Intercept X Advanced with XDR が最大90日間の履歴、Singularity Complete が標準14日です
• Cybereason EDR は、データパッケージで保存期間を選びます

対応OSと提供形態

• 多くの製品は Windows、macOS、Linux を公式に書いています
• Microsoft Defender for Endpoint は、Android と iOS も含みます
• FortiEDR は、Windows XP や Server 2003 のような古いシステムにも使えます
• FortiEDR は、クラウド、ハイブリッド、オンプレミスのどれでも展開できます

価格の見方

• 今回載せた製品は、公式の製品ページで単体の価格を確かめられませんでした
• 見積もりを取るときは、端末の台数、データの保存期間、運用代行の有無をそろえます
• ウイルス対策の契約にEDRが入っているかも確かめます。TrendAI の Core はEDR/XDRがオプションで、Essentials には含まれます

入れる前に決めること

• 通知を誰が見て、誰が隔離するか
• 業務で切り離せない端末をどう扱うか
• 報告に使うデータをどれだけ残すか