IT用語
パソコンやサーバーの動きを監視し、侵入や不審な振る舞いを検知して対応を支援するセキュリティ製品。
EDR（Endpoint Detection and Response）は、パソコンやサーバーなどの端末（エンドポイント）の動きを常に記録・監視し、侵入や不審な振る舞いを検知して、調査と対応を支援するセキュリティ製品です。
従来のウイルス対策ソフトとの違い
従来のウイルス対策ソフトは、既知の マルウェア を見つけて侵入を防ぐことが中心です。EDR は、侵入されることも前提にして、プロセスの起動や通信、ファイルの変更などの振る舞いから異常を見つけ、被害が広がる前に対応することを重視しています。
主な機能
- 端末の操作やプロセス、通信の記録
- 不審な振る舞いの検知と通知
- 端末をネットワークから切り離す、不審なプロセスを止めるなどの対応
- 侵入の経路や影響範囲の調査（IOC での検索など）
注意点
EDR を入れても、通知を確認して対応する人や体制がなければ効果を発揮できません。運用を外部の専門サービスに任せる方法もあります。また、攻撃者が EDR を停止させてから活動する手口も報告されています。
