エンドポイントセキュリティにおけるEDRとは？EPPとの機能の違いも解説

ノートパソコン、タブレット、スマートフォンなど個々のデバイスなどをエンドポイントと呼び、それらがネットワークにアクセスする際のセキュリティがエンドポイントセキュリティです。

近年、サイバー攻撃者側の組織化やマルウェアなどの進化により、従来のセキュリティ対策であった侵入を防ぐことに注力した対策だけでは防ぎきれないことが多くなりました。

そこで注目されているのが発生した攻撃をいち早く検知し、分析・ブロック・封じ込めを迅速に行うエンドポイントセキュリティの一つEDRです。

今回はこのEDRについて以下の内容を解説します。

企業の方でこれからサイバーセキュリティ対策をご検討中の方はぜひこの記事を読んでEDRについて理解を深めていただくと幸いです。

エンドポイントセキュリティ・EDRの前に知っておきたいゲートウェイセキュリティ

EDRについてお話する前に知っておいていただきたいのが、なぜEDRがそれほど求められるようになったのかという背景です。

それはゲートウェイセキュリティに関連します。ゲートウェイセキュリティとはネットワークを社内の境界にて通信などを保護するセキュリティ対策のことです。

社内ネットワークとインターネットの境界（ゲートウェイ）で監視し、マルウェアや脆弱性を突く様々な攻撃を検出、組織内へのマルウェアの侵入や、不正なアクセスなどを防ぐことを目的とした対策です。

しかし、近年はDX(デジタルトランスフォーメーション)や働き方改革の推進によりスマホやタブレット、PCなどを使用する機会が増加し、またクラウドサービスがビジネスに組み込まれることも多くなったことにより、社外からデータへのアクセスをする機会が増えました。

これによりエンドポイントがゲートウェイを介せずに直接社内のデータにアクスセスする機会が増えており、ゲートウェイセキュリティだけでは不十分だと考えられています。

ではどうすれば良いのか、それが本題であるエンドポイントセキュリティについてを解説します。

EDRとは（Endpoint Detection and Response）の略で、検知(Detection)とResponse(調査)を主な目的として作られたセキュリティソリューション・ツールです。

万が一マルウェア感染などセキュリティインシデント(セキュリティ上の脅威となる事象)が起きた場合、速やかな検知、調査、そして管理者にアラートで知らせることにより、それ以上の拡大を防ぐことができる可能性を高めます。

EDRの主要な機能は以下の3つが主となります。

脅威検知と分析	エンドポイント上の異常な挙動や不審な活動をリアルタイムで検知し、セキュリティ装置をすり抜けた攻撃を分析します。
インシデント対応支援	セキュリティインシデントが発生した場合、その詳細な情報を収集し、セキュリティ管理者に迅速な通知を行います。
ログ保存と監視	エンドポイント上の活動やイベントログを詳細に記録し、常時監視を行います。

このようにEDRの検知と分析、インシデント対応支援により速やかにインシデントが起きた場合に対応できるようになり、支援ログ保存と常時監視により経営層にとって必要な説明責任を果たすための情報を得ることが可能になるのです。

EDRについて知っていただいたところで、EPP（Endpoint Protection Platform：エンドポイント保護プラットフォーム）についても解説します。

EPPはエンドポイント上でファイルをスキャンし、マルウェアを検知。攻撃を阻止し隔離を行います。これにより脅威の侵入や攻撃を防ぐことを期待できるので、セキュリティインシデントの予防がメイン機能と言えるでしょう。

また侵入検知システム(IDS)や侵入防止システム(IPS)を使用しネットワーク上の異常なアクティビティを検知するなどします。

次世代型アンチウイルス、NGAV（Next Generation Anti-Virus）もEPPの一種といえるでしょう。

アンチウイルス機能	既知のマルウェアからエンドポイントを守ります。定義済みのウイルス定義データベースを使って、悪意のあるファイルを検出し削除または隔離します。
不正アクセス防止	ユーザーの行動を監視し、不正なアクティビティを検知することでセキュリティを強化します。