MDRとは · マネージド・ディテクション・アンド・レスポンス
MDR（マネージド・ディテクション・アンド・レスポンス）とは、検知技術（EDR/XDR、SIEM）、脅威インテリジェンス、そしてインシデントを調査し対応するアナリストを24時間365日体制で組み合わせたマネージドサービスです。単体のEDRと異なり、MDRはアラートを出すだけでは終わりません。アラートを検証し、攻撃を封じ込め、判断する権限を持つ人がインシデントを収束させます。
防御から対応へ：MDRが生まれた理由
長年、セキュリティの中心は防御でした。ファイアウォール、アンチウイルス、そしてEDRです。しかし攻撃者はそれでも侵入してきます。管理されたインシデントと危機を分けるのは、誰かが警報を鳴らすかどうかではなく、警報が鳴ったときに誰が対応するかです。MDRはこの空白を埋めるために生まれました。アラートを増やすもう一つのツールではなく、アラートを検証し、調査し、封じ込めるサービスです。
MDRに含まれるもの
完全なMDRサービスは、次の4つの要素を組み合わせます。
- 複数領域のテレメトリ：エンドポイントだけでなく、アイデンティティ、クラウド、ネットワーク、アプリケーション
- MITRE ATT&CKにマッピングされた検知：実際の攻撃キャンペーンに基づいて更新されるルールと分析
- 脅威インテリジェンス：誰が、どのように攻撃するかという文脈をリアルタイムに適用
- 判断する権限を持つアナリスト：アラートを収束したインシデントに変える要素
技術は検知しますが、封じ込めるのは人の判断です。これが正しく運用されたMDRの核心です。AIがノイズを取り除き、アナリストが判断します。
EDR、MDR、XDR：同じ意味ではありません
EDRはエンドポイントの技術です。XDRは相関の範囲を複数の領域（アイデンティティ、クラウド、ネットワーク）に広げます。MDRはEDRやXDRを運用し、人を加えるマネージドサービスです。詳しい比較はMDR・EDR・XDRの違いをご覧ください。
優れたMDRの見分け方
「MDR」と呼ばれるサービスが、すべて同じ品質とは限りません。品質を示すポイントは次のとおりです。通知だけでなく対応が含まれていること、判断する権限を持つシニアアナリストがいること、再販のフィードだけでなく独自のインテリジェンスを持つこと、お客様のタイムゾーンに対応した24時間365日のカバー体制があること、そして既存の環境の置き換えを強いないベンダー非依存のアプローチであることです。
EDR・MDR・自社SOCの比較
| 項目 | EDR（技術のみ） | MDR（マネージドサービス） | 自社SOC |
|---|---|---|---|
| 役割 | エンドポイントで検知し、アラートを出す | エンドポイント、アイデンティティ、クラウド、ネットワークで検知し、対応まで行う | 自社チームで監視 |
| 運用者 | お客様のチーム | サービス提供者のアナリスト（24時間365日） | 社内の要員（24時間365日のシフト） |
| 対応 | 手動、お客様側で実施 | サービスに含まれる、封じ込めまで実施 | 社内で実施 |
| コスト | ライセンス費用 | サブスクリプション、自社SOCの約30% | 年間100万ユーロ超 |
| 稼働までの期間 | 即時 | 数週間 | 数か月から数年 |
Operation Storming Tideでは、Fortgaleのチームが多段階の侵入（脅威アクターMora_001）を検知し、封じ込めました。封じ込めによってデータの持ち出しとランサムウェアの実行を防いでいます。これが、アラートと収束したインシデントの違いです。
分析を読む（英語） →よくある質問
MDRとEDRの違いは何ですか？
EDRはエンドポイントで検知と対応を行う技術です。MDRはその技術（さらにアイデンティティ、クラウド、ネットワーク）を運用し、脅威インテリジェンスと相関させ、判断するアナリストを加えたサービスです。EDRはアラートを出し、MDRはそのアラートに対処してインシデントを収束させます。
MDRとSOCは同じものですか？
いいえ。SOCは監視を行う組織です。MDRはSOCの上に、インテリジェンスに基づく検知と、何よりも対応を加えたサービスです。FortgaleのモデルではマネージドSOCとMDRを同じ欧州のチームが担い、ベンダー間の引き継ぎはありません。
MDRを始めるには、EDRがすでに必要ですか？
いいえ。優れたMDRはベンダーに依存しません。すでにお使いのプラットフォームに統合することも、プラットフォームを提供することもできます。FortgaleはMicrosoft Defender、CrowdStrike Falcon、SentinelOneなど主要なプラットフォーム上で、単一のコンソールからMDRを運用しています。
MDRのコストは自社SOCと比べてどの程度ですか？
24時間365日の自社SOCは、アナリスト、ライセンス、インフラを合わせて年間100万ユーロを超えます。マネージドMDRはその一部のコストで、予測しやすいサブスクリプションとして提供され、数年ではなく数週間で稼働できます。
MDRはどのような組織に向いていますか？
24時間365日の自社SOCを構築できない、または構築を望まないものの、継続的な検知と対応を必要とする組織です。体制の整った中小企業、中堅企業、大企業が該当します。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：Fortgale MDRサービス
関連リソース： MDR・EDR・XDRの違い · SOCとは
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。