EDRの導入方法を製品の選び方やよくある失敗とあわせて紹介

社内でウイルス対策ソフトは使用しているものの、未知のマルウエアや日々進化するサイバー攻撃へ対応できるよう、より強固なセキュリティ対策としてEDR (Endpoint Detection and Response) の導入を検討するIT担当者の方も多いのではないでしょうか。

EDRは社内で利用するデバイス (エンドポイント) が攻撃を受けた際にリアルタイムで検知・分析・対応できるセキュリティソリューションですが、多様な種類・特長を持つ製品が提供されているため、自社に合った製品を導入できるよう、事前に要件定義や比較検討を行いつつ慎重に導入を進めることが重要です。

この記事では、EDRの導入方法や選び方、自社で運用する際によくある失敗をご紹介します。

EDRとは

EDRとは、PC・スマートフォン・サーバーなどのエンドポイントを常時監視し、マルウエアへの感染やサイバー攻撃、不審な挙動などを検知・調査・対処するセキュリティソリューションです。

従来のウイルス対策ソフト (EPP) が既知のウイルスの侵入を防ぐのを目的としているのに対し、EDRは未知のウイルスなどの侵入後に早期に検知し、被害の拡大を防ぐことを目的としています。

EDRが注目されている理由

EDRは、なぜ近年注目を集めているのでしょうか。

EDRが注目されている理由には、従来のEPPだけでは防ぎきれない攻撃が増えていることが挙げられます。

近年はランサムウエアや標的型攻撃など、未知のウイルスによる脅威が急速に拡大しており、従来のEPPをすり抜けてしまうケースが見られます。
その後、気づいたときにはすでに被害が広がっていることも少なくありません。

このような背景から、侵入後の挙動をリアルタイムに検知し、迅速に対処できるEDRの必要性が高まりました。

その結果、多くの企業ではEPPだけでなくEDRも組み合わせた多層防御が進んでいます。

EDRは「サプライチェーン強化に向けたセキュリティ対策評価制度」に向けた対応にも有効

経済産業省では、2026年度に「サプライチェーン強化に向けたセキュリティ対策評価制度」を運用開始する予定です。

• ● 参照：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針 (案)」 (SCS評価制度の構築方針 (案) ) を公表しました｜経済産業省

近年では、取引先や外部委託先などから侵入し、本来のターゲット企業を攻撃するサプライチェーン攻撃が増加しています。

そのため、取引先からウイルス感染するリスクがあること、自社のセキュリティ水準が取引先に影響を与えてしまうことといったリスクが顕在化するようになりました。

こうした背景から、本制度が導入されることとなりました。
サプライチェーン全体で共通のセキュリティ評価基準を持つことで、受注者と発注者双方のセキュリティリスクに関する認識のずれを防ぎ、安全性の確保や取引先選定の判断材料として活用されることが期待されています。

一定水準のログを取得できているか、インシデント対応体制を整えられているかなどが評価基準となることが予想され、エンドポイントの挙動を常時監視できるEDRは、このような評価制度に対応する際にも重要なシステムであるといえます。

「サプライチェーン強化に向けたセキュリティ対策評価制度」については、以下の記事でもご紹介しています。

• ● サプライチェーンを狙うサイバー攻撃が経営リスクになる時代

ただし、EDRはただ導入すればセキュリティを強化できるものではなく、自社の環境に合った製品選定や運用設計を行わなければ、十分に対策できない恐れがあります。

では、EDRを効果的に導入するには、どのような手順を踏めばよいのでしょうか。

EDRの基本的な導入方法

上記のとおり、EDRを導入する際は自社の環境に合う製品を選んだり、試験的に導入しながら運用体制を整えたりすることが重要で、適切な手順に沿って導入を進めることが推奨されます。

1. 要件定義

初めに、なぜEDRの導入が必要なのか、「取引先企業からセキュリティの強化を求められている」「サイバー攻撃の社内での被害拡大を最小限に抑えたい」など、導入の目的や導入後の目標を明確にします。

このような目的や目標に合わせて、対象となるエンドポイントの種類 (PCやスマートフォン、サーバーなど) ・台数や、アラート発生時の自動対応の可否、必要となるレポートの内容や形式、自社のセキュリティポリシーとの整合性などを決めることで、自社に合った製品を導入できます。

なお、脅威が検知されアラートが発生した際の運用体制も初めに設計しておきましょう。
日頃の監視体制や検知時の対応フローなどが整っていない場合、万が一アラートが発生した際もスムーズに対応できず、放置されてしまう恐れがあります。

このように運用体制を構築するにあたり、アラートに対してすべて自社で対応するのか、外部のSOCサービスを活用するのかといった体制も含めて検討しましょう。

SOCとは社内のセキュリティ状況を24時間365日体制で監視し、マルウエア感染などのサイバー攻撃の検知や分析、対処を行う専門組織です。

SOCは内製化することもありますが、社内にセキュリティの専門知識・スキルを持つ担当者がいない場合は、外部のSOCサービスを利用する方法も挙げられます。

例えば、当社が提供する「Cybereason Core Suite｜SOC Plus」は、シェアNo.1であるCybereason社製のEDRと、セキュリティの専門担当者が脅威の検知や分析、対応といった一連の作業を行うSOCがパッケージとなっているため、EDRの導入を考えている企業に特におすすめのサービスです。
サービス資料も提供しているため、ぜひあわせてご覧ください。

また、取引先や親会社からのセキュリティ強化が求められていることをきっかけにEDRを導入する場合は、上記で挙げた「サプライチェーン強化に向けたセキュリティ対策評価制度」や各会社の監査要件を満たせるかも踏まえたうえで要件定義を進めましょう。

2. 比較検討

要件が定まったら、具体的に製品を比較検討します。
EDR製品にはさまざまな機能を持つものがあり、価格も異なりますが、安さのみで判断すると、人力で対応しなければならない項目が多かったり、脅威に対して十分な検知・対応を行えなかったりする可能性もあるため、注意が必要です。

製品を比較する際は、以下の点に注目するとよいでしょう。

• 検知機能が高いか
• ログ管理やレポート機能が備わっているか
• 初心者でも導入・操作しやすいか
• サポート体制が整っているか
• コストが自社の予算に合っているか

なお、比較検討の段階から、次に行う試験導入 (PoC) を前提に進めることで実際の利用環境での挙動や端末負荷を確認でき、自社環境に最適な製品を選びやすくなります。

上記のような製品の選定ポイントについては、「EDRを選ぶ際に見るべきポイント」で詳しくご紹介します。

3. 試験導入 (PoC)

上記の比較検討の段階でいくつか候補を絞り込んだら、試験導入 (PoC、Proof of Concept) を行い実際の使用感を確かめます。

EDRは製品ごとに端末負荷や誤検知の傾向、アラート量、操作性が大きく異なるため、カタログスペックだけで最適な製品を選ぶことはできません。
日常業務に近い環境で実際にエージェントをインストールして検証しましょう。

製品の中には無料のデモを提供していたり、トライアル期間があったりするため、これらを活用するとコストを抑えて試せるでしょう。

4. 全社展開 ～ 運用改善

最終的に導入する製品が決まったら、全社に展開し本格的に導入を進めます。

本格導入を進める際は、ただ製品の設定をするだけではなく、全社を通してルールや具体的な運用方法を定めたり、運用体制を整えたりすることが大切です。

また、EDRはただ導入するだけでは効果を発揮できません。
実際にどのようなアラートを出し、分析を行うのか、設定内容が適しているかなどを日々確かめ、定期的に運用の振り返りを行いながら設定内容や運用体制を改善することで、より自社の運用負担を減らしつつ高い安全性を保 (たも) てるようになります。

EDRの選び方

ここまで、EDRの導入方法をご紹介しました。
手順内でも触れたように、EDR製品を選ぶ際は、さまざまな点に注目しながら自社に合う製品を見極める必要があります。

以下では、EDRの選び方をご紹介します。

機能が十分に備わっているか

まず、目的に対して必要な機能が十分に備わっているかを確かめましょう。
未知のマルウエアや多様化するサイバー攻撃が相次ぐ中、どのような脅威に対して検知や分析、対処ができるのかをあらかじめ確認することで、本格導入後にも安心して運用できます。

また、あわせてログ管理やレポート機能も備わっている製品を選ぶことをおすすめします。

ログ管理機能があることで、脅威が検知された際に、どのような動作を行ったことで脅威にさらされたのか、ほかのデバイスに被害が及んでいないかなどをログをたどって確かめられます。
また、レポート機能ではこのようなログを集めてレポート化できるため、自社のセキュリティ状況を可視化できます。

なお、製品を実際に導入した際に既存の環境との相性が悪く十分に活用できないリスクもあるため、既存環境で正常に動作するか、ほかのシステムと連携がしやすいかなども確かめておくと安心です。

検知率が高く、誤検知率が低いか

セキュリティ製品を扱ううえで特に重要なのが、検知率の高さと誤検知率の低さです。

検知率が高いほど、不審な挙動を見落とすことなく検知し、自社のエンドポイントの安全性を維持できます。
既知・未知のウイルスをリアルタイムで高精度に検知する能力は、攻撃の初動を逃さないためにも欠かせません。

しかし、検知率が高い一方で誤検知率も高い場合、業務で必要なファイルやアプリが不審なものとして認識されてしまう可能性があります。

不要なアラート対応に追われてかえって業務効率が下がってしまうため、検知率の高さとあわせて、誤検知率が低いかも確認しておくとよいでしょう。

検知精度の高い製品を見極める際は、セキュリティ製品を公平に検証するテスト機関が行った検証結果を参考にするのがおすすめです。

例えば、アメリカの非営利組織 MITER が提供する「MITRE ATT&CK (マイターアタック) 」は、サイバー攻撃者の行動を理解するためのフレームワークで、MITER はこれに基づき定期的にセキュリティ製品の機能や検知率、誤検知率を評価しています。

MITRE ATT&CK は一般的なマルウエア検体を使ったテストとは異なり、実際の攻撃シナリオに基づいて評価されるため、現場に近い検知精度や誤検知の傾向がわかりやすいことがメリットです。

分析機能が充実しているか

アラートが発生した際は、発生の原因やほかのデバイスへの影響があるかを分析する必要があり、製品によってはこれらの作業を自動で行えるものもあります。

分析機能が充実していたとしても、UIやアラートの表示のされ方がわかりづらい場合、操作に手間取り攻撃への対処をスムーズに行えないことがあります。

特に、同一のサイバー攻撃に対して「不審なファイルがダウンロードされた」「不審なプログラムが実行された」などアラートが分散する場合、原因の特定や攻撃の分析といった調査が煩雑化するため、わかりやすくアラートを確認できる製品を選ぶことが大切です。

製品の評価が高いか

EDR製品はさまざまなベンダーが提供していますが、機能や性能を十分に確認せず、価格の安さやブランドの知名度のみで決めてしまうと、思うように効果を得られない可能性があるため、製品が第三者から評価されているかも確認しましょう。

技術面の評価は、上記でも挙げた MITRE ATT&CK を利用した評価結果が参考になります。

また、日本国内では、ISMAP (政府情報システムのためのセキュリティ評価制度) への登録状況を確認するのもおすすめです。

ISMAPは国家サイバー統括室をはじめデジタル庁、総務省、経済産業省が共同で設けている制度で、政府が定めるセキュリティ基準を満たしたクラウドサービスのみが登録されます。

• ● 参照：ISMAPクラウドサービスリスト｜ISMAP

導入・運用が容易か

EDR製品を導入する際は、社内で日常的に活用できるよう、導入・運用のしやすさも確認しておきましょう。
高度な機能がそろっていたとしても、操作が難しかったり、UIがわかりにくかったりする場合、十分に活用できない恐れがあります。

導入・運用のしやすさも確認し、通常の業務を行いながらでも負担が大きくなることなく利用できる製品を選ぶことが大切です。

サポート体制が整っているか

EDRの導入後に製品の使い方がわからなかったり、動作不良が見られたりした際にもスムーズに対応してもらえるよう、サポート体制が整っているかも確認しましょう。

特に、社内にセキュリティに関する知識やスキルを持つ専門の担当者がいない場合は、24時間365日対応可能なサポート窓口を設けている製品を選ぶことをおすすめします。

なお、会社規模が小さくEDRの運用リソースに不安がある場合は、自社で運用するのではく、SOCなどを導入し外部から監視してもらえる環境を整える方法が望ましいです。

予算に合う料金体系か

製品によっては複数の料金プランが設けられており、プランごとに利用できる機能が異なる場合があります。

また、金額も製品やプランによって異なるため、自社の予算や購入するライセンス数とプラン内容を照らし合わせながら、自社に合うものを検討することが大切です。

なお、製品によっては購入できる最小のライセンス数が定められている場合もあるので、あわせて事前に確認しておきましょう。

EDRを自社運用する際のよくある失敗

ここまで、EDRの製品選びで見るべきポイントをご紹介しました。
EDRを自社で運用する企業も少なくありませんが、社内のリソースや製品の性能によっては、EDRをうまく活用できないケースもあります。

以下では、EDRを自社運用する際のよくある失敗についてご紹介します。

自社で運用しきれない

EDRを運用する際は、ログの分析やアラートによる対応の判断などを行うこともあり、セキュリティに関する専門的な知識やスキルを持った人材が必要です。

しかし、中小企業をはじめとした企業では、社内にセキュリティ専門の担当者がいなかったり、情報システム部門の担当者がわずかな人数しかおらず、慢性的に不足していたりすることも多いため、自社リソースのみではEDRの運用に手が回らないことがあります。

このような場合は、自社リソースのみで運用するのではなく、外部にSOCを依頼して常時監視・対応してもらうのがおすすめです。

アラートに対応しきれない

「EDRを選ぶ際に見るべきポイント」でも触れたように、EDRの製品によっては、同一の攻撃に対して複数のアラートを発生させたり、誤検知による不要なアラートを発生させたりすることがあります。

このような不要なアラートが多数発生すると、本当に攻撃を受けたことによるアラートなのか、対応が必要なのかを整理する作業が発生し、業務効率に影響を及ぼします。

また、アラートが多すぎることにより、重要なアラートを見落とす恐れもあるため、誤検知率の低い製品や、アラートの表示方法がわかりやすい製品を選びましょう。

EDR運用のアウトソーシングもおすすめ

上記のように、自社での運用リソースが不足していたり、アラート対応に追われたりすることによる導入の失敗を避けるためには、EDR運用やSOCをアウトソーシングし、安定した運用体制を構築することをおすすめします。

当社が提供する「Cybereason Core Suite｜SOC Plus」は、 MITRE ATT&CK でも最高評価を受けている、シェアNo.1のEDR「Cybereason EDR」とSOCがパッケージとなったサービスです。

社内の各デバイスにEDRをインストールするだけで、EDRによる自動検知やSOCによる監視・攻撃への対応を行うため、社内の運用工数を大きく減らせます。

「自社だけでの運用が不安」「EDR運用まで手が回らない」といった方は、ぜひ以下からサービスの詳細やサービス資料をご確認ください。

EDRの導入に関するよくある質問

上記では、EDRを自社で導入する際によくある失敗をご紹介しました。
このような失敗も見られる中で、導入時に疑問を浮かべる方も少なくないでしょう。
以下では、EDRの導入に関するよくある質問をご紹介します。

EDRの導入にはどのくらいの期間が必要？

EDRの要件定義から本格導入までの期間は、一般的に2～3カ月ほどとされていますが、対象となるデバイス数や担当者のスキル、人数によっても導入までの期間は前後します。

EDRの導入期間は、主に以下のような要素で変動するため、2～3カ月はあくまで目安として押さえておきましょう。

• 従業員や部門、拠点の数
• 情報システム部門の人員体制、担当者のスキル
• 対象デバイスの数、種類
• 運用当初のチューニング期間

EDRの導入にはいくらかかる？

EDRの費用は基本的に年単位での契約が多く、契約年数分を一括で支払います。

また、導入時には製品のライセンス費用に加え、初期費用 (環境構築、初期トレーニング、チューニング) などが発生することもあり、その他自社の運用体制によってはオプションを追加する必要があります。

具体的な費用は製品や料金プラン、必要ライセンス数によって大きく変動するため、あらかじめ各製品の料金プランを確認のうえ、相見積もりするのがおすすめです。

まとめ

この記事では、EDRの導入方法や製品の選び方、自社で運用する際によくある失敗をご紹介しました。

EDRを導入することで、従来のウイルス対策ソフトなどでは防げなかったサイバー攻撃や未知のマルウエアなども検知できるようになり、より社内のセキュリティ強化につながります。

ただし、EDRの製品によっては、自社リソースのみでの運用が難しかったり、アラートの対応に追われたりすることで十分にEDRを活用できない可能性もあり、あらかじめSOC体制を整えておくことも重要です。

当社が提供する「Cybereason Core Suite｜SOC Plus」は、シェアNo.1のEDR「Cybereason EDR」と、EDRを運用しながら24時間365日監視を行うSOCがセットになったサービスです。

EDRやSOCは初期費用などが発生し導入時のコストがかさむという懸念がありますが、当社サービスは初期費用なく導入可能です。
初期チューニング期間などもなく、監視環境の構築期間 (最大2カ月弱) のみで利用開始できます。

お客さま側で必要な作業は各端末へのEDRのインストールのみで、以降はSOCにてEDRの運用と監視、攻撃の検知、隔離対応を行います。

このように、 当社サービスでは中小・中堅企業の方でも利用しやすい手軽さと価格を備えつつ、高品質なセキュリティ対策を実現します。

「EDRを導入したいが、どのサービスにしたらよいか迷っている」「自社でEDRを導入・運用するリソースが足りない」という方は、ぜひ以下からサービスの詳細やサービス資料をご確認ください。

関連サービス

こんな記事も読まれています