インシデント対応担当者が教える「EDRはこう使う」【第1回／全3回】：EDRを導入しても被害が広がるのはなぜ？

TrendAI™ では、サイバーインシデントの被害に遭った組織の業務復旧を支援する「インシデント対応サービス」を提供しています。同サービスを通じてお客様とお話しし、インシデントを紐解くうちに、さまざまなことが見えてきます。「EDRは導入するだけではなく、適切に設計して活用していかなければ、期待するような効果を得られない」という点もその1つです。
EDRを導入しながらも、適切に活用していなかったためにインシデントの被害に遭ってしまう組織をひとつでも減らせるように、インシデント対応担当者の立場から、EDRの活用方法を3回にわたって解説します。今回は1回目、EDRを導入しただけでは組織を守れない理由についてです。
続いて2回目には、EDRをどのように設計すれば機能するのか、3回目には、万が一の侵害後にEDRをどう活かしていけばよいのかを解説していきます。

EDRとは何か──端末活動の記録・監視基盤

まず、基本に立ち返って「EDRとは何か」をおさらいしておきましょう。
EDR（Endpoint Detection and Response）は、端末（サーバやクライアントPC）上のエージェントが活動を継続的に監視・記録し、不審な挙動を検知して、調査や対応につなげるための仕組みです。

（参考記事）
EDRとは？仕組みや導入効果、EPP・XDRとの違いをわかりやすく解説

EDRは、端末上で起きる活動を継続的に記録します。たとえば、ファイルの読み書き、プログラムの実行、外部との通信、システム設定の変更などが対象です。ログは収集され、管理サーバで保全・分析され、脅威インテリジェンスと照合されます。そのうえで、重要度の高いアラートが発報されます。

EDRの強みは、検知そのものだけではありません。端末上の活動を継続的に記録できるため、インシデント発生後に攻撃の流れを追跡しやすくなる点にあります。もっとも、こうした効果はEDRが適切に運用されていてこそ得られるものです。

「ログは取っていたはずなのに。」「ウイルス対策は入れていたのに。」インシデント対応の現場では、さまざまなお客様からこうした言葉を聞きます。その背景には、各ツールが担う役割の違いが整理されていないことがあるのではないでしょうか。EDRの役割は、端末上の不審な活動を可視化し、調査や対応につなげることにあり、「すべての攻撃を自動的に止めること」ではないのです。

当社の提供製品・サービスは、EPP（Endpoint Protection Platform）からEDR、そしてXDR（Extended Detection and Response）^※へと進化してきました。
EPPからEDRにわたる製品提供とインシデント対応の経験から、各ツールの役割と現場での課題を整理しています。
※XDRはEDRをエンドポイント以外の領域にも拡張した考え方です。

分類	IT資産管理ツール	EPP（従来のウイルス対策）	EDR
主な目的	操作記録・コンプライアンス統制	既知の脅威をブロック	異常な挙動の検知・調査・対応
脅威の検知	✕	△ 既知のパターンのみ	○ 未知・ファイルレスも対象
リアルタイムの対応	✕	△ ブロックのみ	○ 隔離・調査・対応まで
侵入後の全体像把握	△ 操作ログ（ファイル操作・持ち出しに強み）	✕	○ 攻撃の経路を再構成可能
課題	脅威の検知・対応は対象外	未知の手法・挙動異常は対象外	検知後の「体制」が必要

表1：ツールの役割と課題の比較

どのツールにも本来の役割があります。
たとえばIT資産管理ツールは、ファイル操作や持ち出しの記録においてEDRより詳細な情報が取れる場合もあり、インシデント調査の補完として有益です。主に攻撃を検知するEDRと比べ、IT資産管理ツールは機器の管理や、攻撃に限らないユーザ操作を補完することができることが期待できます。
大切なのは、それぞれの役割を整理したうえで、現実の運用に結びつく形で組み合わせることです。

なぜ今、EDRの「活用」が問われるのか

当社のインシデント対応支援サービスの実績（2019〜2026年6月）において、依頼のうち約9割がランサムウェアまたは不正アクセスに起因していました。

当社のインシデント対応支援案件では、SSL-VPN経由、RDP経由、Webアプリケーションなど外部公開資産の脆弱性を悪用した侵入の割合が、2019年は21%、2020年は20%でした。その後、2021年に44%へ上昇し、2022年は64%、2023年は75%となりました。
2024年以降も高い水準で推移しており、2024年は60%、2025年は53%、2026年6月時点では60%でした（図2）。
この変化は、攻撃者がメールやWeb経由のマルウェア感染だけでなく、SSL-VPN、RDP、Webアプリケーションなど外部公開資産の脆弱性などを足がかりに、内部ネットワークへ直接侵入するケースが増えていることを示しています。

図2：外部接点経由の侵入割合の変化
（情報元：当社インシデント対応支援サービス実績）
※当社インシデント対応支援案件をもとに集計。2026年は6月までの実績。

SSL-VPNやRDPなどの外部接点を経由して内部ネットワークに直接侵入してくる攻撃者は、その時点から社内ネットワーク全体を管理する中枢サーバや重要システムへの到達を短時間で試みることができます。
この場合、メールやWebを起点に端末上で感染・実行が始まる攻撃と比べて、端末上の初期侵入の痕跡をEDRが捉えにくいケースがあります。その結果、EDRが不審な活動を検知した時点では、攻撃者がすでに内部へ深く入り込んでいる場合があるのです。

ここで差が出るのは、EDRを導入しているかどうかではありません。
アラートを受けたあとに、組織としてすぐ動けるかどうかです。

SOCやMDRなどの監視体制が普及したことで、攻撃の兆候を早期に把握できる場面は増えています。しかし、通知を受けた後の隔離判断や承認ルートが定まっていなければ、検知を被害抑制につなげることはできません。
当社が対応した事例でも、重要なアラート通知後、短時間でランサムウェア実行に至ったケースを確認しています。
次に示すのは、当社が対応した事例をもとに整理した一例です。

ランサムウェアの侵害事例

以下は、当社が対応した実際のインシデントをもとに、特定の組織や事案を識別できないよう情報を一部加工・再構成したタイムラインです。特定の組織または単一のインシデントを示すものではありません。

表2で注目すべきなのは、ランサムウェア実行前に複数の攻撃段階があり、その過程で重要なアラートが2度通知されていた点です。さらに、EDR無効化の検知からランサムウェア実行までの時間は22分でした。
また、管理共有を悪用されたという事実は、攻撃者が社内の複数資産へ到達できる状態だったことを意味します。

この事例で明らかになったのは、検知できたかどうかだけでなく、検知後に組織として動けるかどうかが被害範囲を左右するということです。実際の運用では、重大度の高いアラートであっても、業務影響や誤検知の可能性を考慮し、即時隔離に踏み切る判断が難しい場合があります。この事例でも、通知を受けた後に、誰が、どの条件で、どの端末を隔離するかが定まっていなかったため、判断と実行に時間を要しました。その結果、短時間でランサムウェアの展開を許してしまったのです。

（参考情報）
ランサムウェア攻撃における「EDR回避」事例から考える「セキュリティの原則」

被害を止めるには「体制整備」、そして内部ネットワークの「可視化」が必要

経営層の関与のもとで平時の体制を整備する

上記の事例から、インシデント対応における組織体制の重要性はお分かりいただけたと思います。それは、規制当局や業界団体などの動きにも裏付けられています。

2026年5月、金融庁と日本銀行は、フロンティアAIによる脅威変化を踏まえ、金融機関等に対応を要請しました。その中で、サイバー攻撃へのAIの悪用により、攻撃者が脆弱性を突き実害を与えるまでの時間は今後さらに短くなると予想されることを踏まえ、経営層の関与のもとで脅威変化を踏まえた対応を進めることや、重要なシステムを停止する判断を含め、有事の意思決定を平時から準備することの重要性が示されています。

（参考情報）
・「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請について
・金融分野におけるサイバーセキュリティに関するガイドライン
・AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について

金融分野だけでなく、業種や業界を問わず、サイバー攻撃への初動を組織として決めておくことは共通の課題です。何を守り、何を止め、どのリスクを一時的に受け入れるか。隔離条件、承認ルート、業務影響をどこまで許容するか。この判断を平時に整理しておくことで、EDRの検知を実際の対応につなげやすくなります。

こうした対応フローや判断基準の整備は、IT部門やセキュリティ部門だけでは完結しません。
何をもってインシデントと判断し、誰が隔離を承認するか。それは、事業継続・停止、顧客対応、法務、広報にも関係するため、経営・管理層まで含めた体制設計が求められます。枠組みの設計はIT部門やセキュリティ部門が主導しても、判断基準の承認と責任は経営・管理層が担う必要があります。

攻撃を検知するための内部ネットワーク可視化の必要性

EDRを機能させるには、内部ネットワークの可視化も必要です。

SSL-VPNやRDPなどの外部接点を経由して内部ネットワークに直接侵入してくる攻撃者は、組織内を移動しながら権限とアクセス範囲を拡大し、組織内認証を管理する中枢サーバへ接近します。こうした横展開の過程でEDRのアラートが上がっても、止めるべき通信や資産が整理されていなければ、対応は後手に回ります。

以下3つの問いに対する答えは、平時から把握しておく必要があります。

・どの通信が業務上本当に必要か？（不要な内部通信の洗い出し）
・侵入された場合に攻撃者が社内のどこまで移動できるか？
・被害が広がり得る経路はどこか？（重要資産への到達経路の特定）

いずれも、EDRの導入有無にかかわらず、自組織のシステムを守るうえでの基本的な準備です。

あわせてSSL-VPN・RDPなどへの多要素認証（MFA）の強制や不要な通信経路の遮断といった防御面の対策も欠かせません。これらの対策を整えることで、EDRが対処すべき脅威の総量やアラートが減り、本来の機能を発揮します。

まとめ

繰り返しになりますが、EDRは端末上の異常を可視化します。ただし、可視化するだけでは、被害を止められるわけではありません。本記事で示したデータが表すのは、侵入経路の変化に伴い、EDRだけでは初期侵入の痕跡を捉えにくい場面が増えているという現実です。

EDRの検知・対応機能を実際の被害抑制につなげるには、製品機能を活かす体制設計と運用設計が欠かせません。
次回は、検知後の判断と実行を遅らせないために、EDRをどのように設計し、運用の中で機能させるかを解説します。

執筆者

秋保陽介

トレンドマイクロ株式会社
アドバンストサイバーディフェンスグループ
Incident Response Consultant

トレンドマイクロインシデントレスポンスチーム所属。インシデントハンドラー／フォレンジックアナリスト。サイバーセキュリティ分野で13年以上の実務経験を持ち、マルウェア分析、脅威インテリジェンス、インシデント対応を専門とする。リージョナルトレンドラボでの脅威対応、法人顧客向けテクニカルアカウントマネージャーとしてのセキュリティ運用支援を経て、現職に至る。