悪意のあるファイルを止められても、その前に何が実行され、ほかの端末へ影響していないかまで分かるとは限りません。EDRは、こうした調査と対処を補う仕組みです。この記事では、機能の違いを踏まえ、導入したEDRを日々の運用で使えるようにするための確認点をお伝えします。
ウイルス対策とEDRは、何を確認できるか
ウイルス対策は、悪意のあるファイルや動作を検知し、実行の阻止や駆除を行う機能です。現在の製品は、既知のウイルスとの照合に加え、振る舞いの分析なども使います。EDRは、Endpoint Detection and Responseの略です。PCやサーバーの動作を継続的に記録・分析し、不審な活動の検知、調査、対処を支援します。どのプログラムから不審な処理が始まり、どこへ通信したかなどを調べるためにも使います。
| 比較項目 | ウイルス対策 | EDR |
| 主な役割 | マルウェアの検知・実行阻止・駆除 | 不審な活動の検知・調査・対処の支援 |
| 確認する内容 | 検知対象、処置結果、保護状態 | 発生経緯、関連する操作や通信、影響範囲 |
| 運用で必要なこと | 更新、検知結果の確認、例外管理 | 調査、対応の判断、処置結果の確認 |
両者の機能には重なる部分があり、一つの製品にまとめられている場合もあります。私たちが導入範囲を検討する際も、既存製品の契約と設定を確認し、すでに使える機能と不足する機能を分けます。
「駆除済み」の後に、何を調べるか
例えば、お客様のPCで不審なファイルが検知され、「駆除済み」と表示された場合を考えます。その表示は、検知対象への処置結果です。それだけで、関連する不審な操作もなかったと判断することはできません。この段階で私が確認したいのは、ファイルが実行されたか、別のプログラムを起動していないか、ほかの端末にも同じ兆候がないかです。EDRの記録は、その調査材料になります。記録を調べる権限と、判断に迷った際の相談先まで含めて準備します。
ただし、EDRですべての攻撃を検知できるわけではありません。取得できる記録や実行できる操作は製品と構成によって異なります。お客様に必要な調査ができるかを確認し、対応できない範囲も明らかにします。
お客様と私たちの対応範囲を明確にする
お客様側で専任の担当者を置けなくても、すべての調査を社内で抱える必要はありません。一方、外部へ監視を依頼すれば、検知後の作業がすべて含まれるとも限りません。Advangeへの運用委託をご検討いただく場合も、通知、一次調査、隔離など、どの作業を支援範囲に含めるかを個別に確認します。私が曖昧にしたくないのは、通知を出した後、誰が次に動くかです。
アラートを誰が、どの時間帯に確認するか
技術的な調査と、お客様への状況報告を誰が行うか
隔離などの操作を、どの条件で実施できるか
お客様側の承認者と連絡が取れない場合、どう対応するか
端末を隔離すると、社内システムや共有ファイルを使えなくなる可能性があります。一方、攻撃が進行していれば、承認を待つこともリスクになります。合意した範囲で私たちが進められる操作と、お客様の業務判断が必要な事項を、事前に分けておきます。
自動調査・修復がある場合も、実行された処置や未解決事項を誰が確認するかは決めておく必要があります。
一件のアラートで、対応の流れを試す
導入後は、端末が管理画面に表示されることに加え、通信状態と保護状態を確認します。そのうえで、メーカーが案内する安全な検出テストを試験端末で行います。お客様と試験内容を決める際、私は通知が届くところだけで終わらせたくありません。対象PCの利用者と用途を調べられるか、技術担当者へ調査を依頼できるか、お客様の承認者へ連絡できるかまで確かめたいと考えています。
そこで手が止まれば、展開前に直せる点が見つかります。台帳の情報が足りないのか、権限がないのか、連絡先が決まっていないのか。製品の設定と、運用手順の不足を分けて対応します。隔離・解除の試験は、お客様と影響を確認し、業務に支障のない端末と時間帯で行います。
調査結果を、お客様が判断できる形で伝える
アラートを閉じる操作と、問題が解消したことの確認は別です。何を調べ、どの処置を行い、何を根拠に完了としたかを記録します。誤検知であれば、その判断理由も残します。技術対応を私たちが担当する場合は、対処状況と残る問題をお客様へ伝えます。業務再開の確認では、その情報をもとに、お客様の業務担当者にも普段の作業ができるかを確かめていただきます。未解決の事項がある場合は、残っている問題、次に必要な対応、その担当者を明確にしてお客様へ報告します。
Advangeでは、ITインフラの設定・運用の見直しを支援します。現在の保護機能と検知後の対応を確認し、お客様の負担が残る工程と、私たちが支援できる作業を一緒に整理します。
参考資料
Microsoft「EDRとは」
Microsoft「Defender for Businessについてよく寄せられる質問」
Microsoft「Defender for Businessにおける脅威への対応と軽減」
Microsoft「デバイスに対する対処アクション」
利用できる操作は、製品、ライセンス、OS、構成によって異なります。
参照日：2026年10月28日。
