EDRは、端末（PC・サーバー）の動きを常に記録し、不審な振る舞いを検知・調査・隔離する仕組みです。従来のウイルス対策（EPP）が「入ってくるものを防ぐ」のに対し、EDRは「侵入されたことに早く気づき、被害を止める」ことを目的とします。両方を組み合わせて使うのが一般的です。
EDRでできること
- 正規のツールを悪用した攻撃など、ファイルを使わない攻撃の検知（環境寄生型攻撃）
- 攻撃の流れ（どのプロセスが何をしたか）の可視化
- 端末のネットワーク隔離、プロセスの停止
- 事故後の調査に使える記録
運用の体制が重要
EDRはアラートを見て判断する人がいて初めて効果を発揮します。社内で24時間監視できない場合は、外部の監視サービス（MDR）の利用を検討します（SOC）。
すべての端末・サーバーに入っているかを確認しましょう。攻撃者は、EDRが入っていない古いサーバーや、無効化できる端末を狙います。