EDRとは（Endpoint Detection and Response）
EDR（Endpoint Detection and Response）とは、エンドポイント（PC、サーバー、ノートPC）を監視し、振る舞い分析によって悪意ある挙動を検知し、端末隔離やプロセスの強制終了などの対応を可能にする技術です。既知の脅威をシグネチャで防ぐアンチウイルスと異なり、EDRは未知の攻撃もその振る舞いから検知します。ただし、EDRはあくまでツールです。24時間365日、誰かが運用する必要があります。
エンドポイント、最初の攻防の場
攻撃が具体的な形をとるのはエンドポイントです。コードの実行、権限昇格、横展開がここで起こります。EDR（エンドポイントでの検知と対応）は、アンチウイルスに見えないものを捉えるために生まれました。既知の不正ファイルだけでなく、これまで確認されたことのない脅威であっても、不審な振る舞いを検知します。
EDRの機能
EDRはエンドポイントの活動（プロセス、ネットワーク、ファイル、レジストリ）を継続的に記録し、振る舞い分析を適用し、対応アクションを可能にします。端末隔離、プロセスの強制終了、証跡の収集などです。強力な技術ですが、運用されて初めて機能するツールです。
限界：アラートはひとりでには処理されない
EDRはシグナルを生み出します。それを確認し、時間帯を問わず対処する人が必要です。EDRだけでは不十分になるのはこの点であり、ここでマネージドサービスの出番となります。MDRはアナリストが24時間365日EDRを運用し、アラートを解決済みのインシデントへと変えます。サービスについてはFortgale MDRをご覧ください。
アンチウイルス vs EDR vs MDR
| アンチウイルス | EDR | MDR | |
|---|---|---|---|
| 検知対象 | 既知の脅威（シグネチャ） | 未知の脅威も（振る舞い） | EDR＋アイデンティティ、クラウド、ネットワーク＋インテリジェンス |
| 対応 | ファイルのブロック | 端末隔離、プロセスの強制終了 | 24時間365日のマネージド対応 |
| 運用者 | 自動 | 自社のチーム | プロバイダーのアナリスト |
Operation Storming Tideでは、技術的なシグナルは揃っていました。違いを生んだのは、それを読み解き、攻撃を封じ込めた人です。アナリストのいないEDRは、対処されないアラートの発生源にとどまります。
分析を読む（英語） →よくある質問
EDRとアンチウイルスの違いは何ですか？
アンチウイルスは既知の脅威をシグネチャで防ぎます。EDRは振る舞い分析によって未知の攻撃も検知し、対応（隔離、強制終了）を可能にします。EDRはアンチウイルスに見えないものを捉えますが、その解釈が必要です。
EDRとMDRは同じものですか？
いいえ。EDRは技術であり、MDRはそれをアナリストが24時間365日運用するサービスです（対象はエンドポイントに限りません）。MDRとはおよびMDR vs EDR vs XDRをご覧ください。
EDRはランサムウェアを止められますか？
暗号化の前段階（横展開、攻撃ツールの使用）を捉えることは可能です。ただし、それは誰かがアラートに間に合うように対処した場合に限ります。EDR単体ではシグナルを出すだけで、それを封じ込めにつなげるチームが必要です。
EDRの運用にはチームが必要ですか？
はい。24時間365日監視するアナリストがいないEDRは、誰にも気づかれないアラートを生み出します。とりわけ、攻撃の多くが発生する夜間や週末に、この問題が表れます。MDRが存在するのはそのためです。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：Fortgale MDRサービス
関連リソース： MDRとは · MDR vs EDR vs XDR
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。