本文へスキップ
>_ITDITDセキュリティ対策プラットフォーム

用語辞典

#EDR#インシデント対応#検知#エンドポイント

EDRとは — 端末の“振る舞い”を記録し、すり抜けた攻撃を検知・対応する仕組み

EDR（Endpoint Detection and Response）は、PCやサーバーの“振る舞い”を継続的に記録し、不審な動きを検知して、隔離・調査などの対応まで行う仕組みです。シグネチャ照合中心の従来型ウイルス対策が見逃す『正規ツールの悪用・ファイルレス攻撃』を振る舞いとタイムラインで捉えます。違いと、小規模での現実的な向き合い方を防御目線で解説します。

公開日 2026-06-11 更新日 2026-06-11 4分で読める

「ウイルス対策は入れてるのに、なぜEDR？」——両者は役割が違います。EDRが何を、どう守るのかを解説します（攻撃手順は載せません）。

従来型ウイルス対策との違い

観点従来型アンチウイルスEDR
検知の軸既知シグネチャ／IOC（ハッシュ等）振る舞い／IOA（一連の動き）
すり抜け耐性ファイルレス・正規ツール悪用に弱い振る舞いで捉えやすい
事後調査限定的タイムラインで経緯を追える
対応駆除が中心隔離・調査・復旧まで支援

どう守るか（仕組み）

① 端末の振る舞いを継続記録（プロセス・通信・ファイル操作）
↓
② 怪しい“一連の流れ”を検知（IOAベース）
↓
③ 端末を隔離・タイムラインで調査・復旧
EDRは端末の振る舞いを記録し、怪しい“流れ”を検知して、隔離・調査につなげる。

シグネチャ照合（既知の悪を弾く）と振る舞い検知（IOAで気づく）は対立しません。両方を持つのが現実的で、EDRは後者を厚くする位置づけです。

小規模での現実的な向き合い方

1

まず土台を固める

OS/アプリの自動更新・最小権限・CVE監視・MFA。高価なEDRより先に、攻撃を“入れない/広げない”土台が効く。
2

OS標準の保護を活かす

Windowsの Microsoft Defender には簡易な振る舞い検知が含まれる。まずこれを有効・最新に保つ。
3

ログを残し、IOAの目を持つ

認証ログ・通信量・プロセスを残し、「普段と違う流れ」に気づける状態にする（→ IOA）。
4

必要に応じてEDRを検討

守るべきデータや端末数が増えたら、管理型のEDR（例：Microsoft Defender for Endpoint 等）を検討する。導入＝運用なので、対応できる体制とセットで。

当サイトの視点：製品名より『記録・検知・対応できる状態』

EDRは強力ですが、当サイトは「EDRを入れたから安全」とは考えません。検知は事故が起きてからの話で、本命はそもそも起こさない・広げない設計（最小権限・パッチ・MFA・秘密を平文で置かない）です。そのうえで、すり抜けは必ずあるので、振る舞いを記録・検知・対応できる状態を、規模に見合った形で持つ。個人なら「Defender＋ログ＋IOAの意識」で十分なことも多く、組織なら管理型EDRが選択肢になります。大事なのは製品名ではなく、予防（起こさない）と検知（気づく）の両輪が回っているかです。

次に読む

よくある質問

QEDRと従来のウイルス対策（アンチウイルス）は何が違う？
A

従来型アンチウイルスは『既知の悪いファイル（シグネチャ/ハッシュ）』を照合して止めるのが中心です。EDRはそれに加えて、端末上の“振る舞い”（プロセスの起動・通信・ファイル操作など）を継続的に記録し、怪しい一連の動きを検知して、隔離・調査・復旧という対応まで支援します。既知の悪を弾くのがAV、振る舞いで気づき対応するのがEDR、と捉えると分かりやすいです。

Qなぜ振る舞いベースが必要なのですか？
A

攻撃者はファイルのハッシュを使い捨てたり、OS標準の正規ツールを悪用（ファイルレス）したりして、シグネチャ照合をすり抜けます。こうした攻撃は『悪いファイル』としては見えにくく、『おかしな振る舞いの連なり』としてしか現れません。だから振る舞い（IOA）に注目するEDRが、すり抜けた攻撃を捉える役割を担います。

Q個人や小規模でもEDRは必要ですか？
A

フル機能のEDRは主に組織向けで、個人・小規模には過剰なことも多いです。ただし考え方は有効です。WindowsのMicrosoft Defenderには簡易な振る舞い検知が含まれ、OSやアプリの自動更新・最小権限・ログの保全といった土台と、IOA（振る舞いで気づく）の意識を組み合わせれば、多くの価値が得られます。製品名より『振る舞いを記録・検知・対応できる状態か』が本質です。