EDRとは？

01EDRでできること・できないこと

EDR（エンドポイントでの検出と対応）は、パソコンやサーバーの動きを見張り、怪しい動きを見つけて止めるためのソフトです。マイクロソフトの説明では、次のことをします。

• 見張る：動いているプログラム、ファイルの変更、通信、利用者の操作を記録し、ふだんの状態を把握する
• 見つける：ウイルスの特徴だけでなく、ふだんと違う動きから怪しいものを見つける
• 調べる：攻撃がどこから始まり、何をしたかを時間の流れで追う
• 止める：パソコンをネットワークから切り離す、怪しいプログラムを止める、有害なファイルを消す

これまでのウイルス対策ソフトは、主に「知られているウイルスの特徴」で見つけて、入る前に止めます。EDRは、入り込まれたあとの動き（深夜に大量のファイルを書き換える、管理者の権限を勝手に取ろうとするなど）から見つけます。マイクロソフトは、EDRはウイルス対策の代わりではなく、それを補い広げるものとしています。

できないこともあります。EDRは警告を出しますが、それが本物の攻撃か、だれが判断して何をするかは、人が決めなければなりません。警告を見る人がいなければ、入れただけになってしまいます。EDRを入れていないパソコンや、ルーター・VPN機器の中の動きは見えません。

02どんな会社・人に必要か

ランサムウェアなどで、入り込まれる前提の備えが要る会社に向いています。取引先から求められて入れる会社も増えています。一方で、警告に対応できる人がいない会社では、専門家が代わりに警告を見るMDRと組み合わせて使うのが現実的です。

03選ぶとき・導入するときに見ること

• 警告をだれが見るか。社内で見るのか、提供会社やMDRに任せるのか。夜や休日はどうするか。
• 自動でどこまで止めるか。パソコンを切り離す判断を自動にするか、人が決めるか。
• 今のウイルス対策ソフトと一緒に使えるか、置き換えになるか。
• WindowsとMac、サーバーなど、自社の機器にすべて対応しているか。
• パソコンが重くならないか。試しに数台で使ってから広げます。

製品はEDR・法人向けウイルス対策で比べられます。