システム構築・運用やAWS構築など企業のDXを支援する日本オープンシステムズ「お知らせ」ページ

セキュリティ対策を検討していると、「EDR」「NDR」「XDR」といった言葉を目にすることがあります。

 

いずれもサイバー攻撃の検知や対応に関わる仕組みですが、名称が似ているため、

「それぞれ何が違うのか分からない」
「どれか一つを導入すればよいのか」
「自社では、どこまで監視すればよいのか判断できない」

と迷う方も多いのではないでしょうか。

 

EDR・NDR・XDRの主な違いは、どの範囲を監視するのかと、集めた情報をどのように分析するのかにあります。

EDRはパソコンやサーバーなどの端末、NDRはネットワーク上の通信を監視します。XDRは、端末やネットワーク、メール、クラウドなど、複数の領域から得られた情報を関連づけて分析する仕組みです。

ただし、どれか一つが常に優れているというものではありません。

 

自社のシステム環境や、すでに導入しているセキュリティ対策、運用体制によって、必要な監視範囲は異なります。

この記事では、EDR・NDR・XDRの基本的な役割と違いを整理しながら、自社に必要なセキュリティ監視の範囲を考えるポイントを紹介します。

 

目次

1. EDR・NDR・XDRとは
2. EDRは端末上の異常を監視する
3. NDRはネットワーク上の異常な通信を監視する
4. XDRは複数領域の情報を横断して分析する
5. EDR・NDR・XDRが攻撃を捉える流れ
6. 自社に必要な監視範囲の考え方
7. 導入して終わりではなく、運用まで考える
8. JOPSが支援できること
9. まとめ

EDR・NDR・XDRとは

まずは、EDR・NDR・XDRがそれぞれ何を監視し、どのような役割を持つのかを整理します。

EDRとは

EDRは「Endpoint Detection and Response」の略です。

 

パソコンやサーバーなどの端末上で起きている動きを監視し、不審な挙動を検知して、調査や対応につなげる仕組みです。

たとえば、不審なプログラムの実行や、通常とは異なるファイル操作、端末設定の変更などを確認します。

問題が見つかった場合には、何が起きたのかを調査し、製品によっては端末をネットワークから隔離することもできます。

NDRとは

NDRは「Network Detection and Response」の略です。

 

ネットワーク上を流れる通信を監視し、通常とは異なる通信や、攻撃につながる可能性のある動きを検知する仕組みです。

端末の中ではなく、端末同士や外部との間で、どのような通信が行われているのかを見ることが特徴です。

XDRとは

XDRは「Extended Detection and Response」の略です。

 

端末、ネットワーク、メール、クラウドなど、複数の領域から集めた情報を関連づけ、サイバー攻撃を横断的に検知・分析する仕組みです。

複数のセキュリティ製品から発生するアラートをまとめ、攻撃の流れや影響範囲を把握しやすくします。

EDR・NDR・XDRの違い

EDR・NDR・XDRの違いを、主な監視対象と役割で整理すると、次のようになります。

項目	EDR	NDR	XDR
主な監視対象	パソコンやサーバーなどの端末	ネットワーク上の通信	端末、ネットワーク、メール、クラウドなど
主な役割	端末上の不審な動きを検知し、調査・対応する	不審な通信やネットワーク内の動きを検知する	複数領域の情報を関連づけて分析する
把握しやすいこと	不審なプログラムの実行、ファイル操作、端末内の挙動	不審な外部通信、端末間の通信、ネットワーク内での横展開	攻撃の起点や経路、複数アラートの関連性、影響範囲
分かりやすい表現	端末の中を見る	通信の流れを見る	複数の情報をつないで見る

分かりやすく言えば、EDRは端末を見る仕組み、NDRは通信を見る仕組み、XDRは複数の監視情報をつないで見る仕組みです。

 

ただし、実際の製品では、監視できる対象や機能が重なることもあります。

EDR・NDR・XDRという名称だけで判断するのではなく、実際にどこまで監視できるのか、既存のセキュリティ製品と連携できるのかを確認することが大切です。

EDRは端末上の異常を監視する

EDRは、パソコンやサーバーなどの端末上で起きている動きを継続的に監視します。

 

たとえば、次のような動きを検知します。

• 不審なプログラムが実行された
• 通常とは異なるファイル操作が行われた
• 端末の設定が不自然に変更された
• 外部の不審なサーバーと通信しようとした
• 攻撃者が端末内で利用できる権限を広げようとした

EDRは、こうした動きの記録を残し、何が起きたのかを調査するための情報を提供します。

 

製品によっては、異常が確認された端末を社内ネットワークから切り離したり、不審なプログラムを停止したりすることもできます。

たとえば、社員のパソコンがマルウェアに感染した可能性がある場合、EDRでその端末をネットワークから隔離できれば、ほかの端末への被害拡大を防ぎやすくなります。

つまりEDRは、端末上の異常を早期に発見し、調査や被害拡大の防止につなげる仕組みです。

EDRとEPPの違い

EDRについて調べていると、「EPP」という言葉を目にすることがあります。

EPPは「Endpoint Protection Platform」の略で、パソコンやサーバーなどの端末に対する脅威の侵入や実行を防ぐ仕組みです。

 

一般的なウイルス対策ソフトも、EPPに含まれる機能の一つです。

EDRとEPPは、どちらも端末を対象としていますが、主な役割が異なります。

• EPPは、脅威の侵入や実行を防ぐ
• EDRは、侵入後の不審な動きを検知し、調査や対応につなげる

たとえば、不審なファイルがパソコンに届いた場合、EPPは、そのファイルが危険だと判断すると、開かれる前や実行される前にブロックします。

しかし、新しい攻撃や、正規のソフトウェアや機能を悪用する攻撃など、EPPだけでは防ぎきれない場合もあります。

そのようなときにEDRが端末上の動きを監視し、不審なプログラムの実行やファイル操作などを検知します。

 

分かりやすく言えば、EPPは侵入を防ぐ対策、EDRは侵入後に見つけて対応する対策です。

どちらか一方を選ぶものではなく、予防と早期発見の役割を組み合わせて端末を守ります。

 

近年は、EPPとEDRの両方の機能を備えた製品もあります。そのため、製品名だけで判断するのではなく、予防、検知、調査、対応のうち、どこまで対応できるのかを確認することが重要です。

EPP・EDRを組み合わせた端末対策

当社でも、社外で利用するパソコンを含めたセキュリティ強化のため、EPP製品の「Aurora Protect」とEDR製品の「Aurora Focus」を組み合わせて利用しています。

 

EPPによって脅威の侵入や実行を防ぎ、EDRによって端末上の不審な動きを検知し、状況を確認できるようにすることで、初動対応の早期化につなげています。また、IT資産管理ツールの操作ログも活用し、侵入経路の確認や再発防止に役立てています。

 

実際の導入背景や運用方法については、以下の事例で紹介されています。

LANSCOPE導入事例：Aurora ProtectとAurora Focusの連携によりマルウェア検知後の初動対応の早期化を実現

 

NDRはネットワーク上の異常な通信を監視する

NDRは、ネットワーク上を流れる通信を監視し、通常とは異なる動きを検知します。

 

たとえば、次のような通信を検知します。

• 普段は通信しない端末同士が通信している
• 社外の不審なサーバーへ繰り返し接続している
• 短時間に大量のデータが外部へ送信されている
• 一台の端末から複数の端末へアクセスしている
• 通常とは異なる時間帯に通信が発生している

EDRは、監視用のソフトウェアを端末へ導入して情報を集めるのが一般的です。

一方で、ネットワーク機器やIoT機器、工場設備など、監視用のソフトウェアを導入しにくい機器もあります。

NDRは通信をもとに監視するため、ソフトウェアを導入しにくい機器も含めて、ネットワーク全体の動きを把握しやすい点が特徴です。

 

また、攻撃者が一台の端末へ侵入した後、社内ネットワークを通じて別の端末やサーバーへ移動することがあります。

このように、攻撃の範囲を横方向へ広げていく動きは「横展開」と呼ばれます。

NDRは端末間の通信を見ることで、一台の端末だけでは分かりにくい、ネットワーク全体の異常を見つける仕組みです。

Darktraceを活用したセキュリティ監視

NDRの機能を持つ代表的なセキュリティ製品の一つに「Darktrace」があります。

Darktraceは、ネットワーク上の通信を監視し、企業ごとの普段の利用状況を自己学習型AIで学習することで、「いつもと違う動き」の検知を支援します。

 

たとえば、普段は通信しない端末同士が接続している、通常とは異なる時間帯にアクセスしている、短時間に大量のデータを外部へ送信しているといった変化を捉えます。

現在はネットワークだけでなく、メール、ID・アカウント、クラウド、端末など、企業のさまざまなIT環境を横断的に監視するセキュリティプラットフォームとして提供されています。

 

当社でも、Microsoft 365環境における不正メールやIDの不正利用への対策として、Darktraceのメールセキュリティ製品とID監視製品を活用しています。メールとIDの動きを関連づけて確認することで、個別の事象だけでは把握しにくい攻撃の流れを捉えやすくし、確認すべき問題の絞り込みや監視業務の効率化につなげています。

 

Darktraceの仕組みや監視できる領域については、製品紹介記事で詳しく解説しています。

製品紹介：自己学習型AIでセキュリティ監視を支援する「Darktrace」

また、実際の導入背景や運用方法、導入後の効果については、以下の事例で紹介されています。

LANSCOPE導入事例：Darktraceで不正メール攻撃やID悪用を自動で検知、省力化運用を支援

 

XDRは複数領域の情報を横断して分析する

企業では、端末、ネットワーク、メール、クラウドなど、それぞれに異なるセキュリティ製品を導入していることがあります。

それぞれの製品が異常を検知すると、個別の管理画面にアラートが表示されますが、アラートが複数の製品に分かれていると、

• それぞれのアラートに関連があるのか
• どのアラートから確認すべきなのか
• 攻撃がどこから始まったのか
• どこまで被害が広がっているのか

など、アラートの関連性を判断するのに時間がかかります。

 

XDRは、複数の製品や領域から集めた情報を関連づけ、攻撃の流れや影響範囲を把握しやすくします。

たとえば、

• 従業員が不審なメールを受信した
• メールの添付ファイルを開いた
• パソコン上で不審なプログラムが実行された
• そのパソコンが社外の不審なサーバーと通信した
• 社内の別の端末へアクセスしようとした

といった複数の出来事を、一連の攻撃としてまとめて分析します。

 

XDRは、EDRやNDRを単純に置き換える仕組みではありません。

それぞれから得られる情報を集め、セキュリティ担当者が攻撃の全体像や対応の優先順位を判断しやすくする仕組みです。

 

Darktraceのように、ネットワーク監視を起点としながら、メール、ID・アカウント、クラウドなど複数の領域を横断して確認できる製品もあります。

ただし、XDRという名称の有無だけで製品を判断することはできません。どの領域を監視できるのか、どの製品やサービスから情報を集められるのかは、製品ごとに異なります。

自社が必要とする範囲を実際に監視できるかを確認することが重要です。

EDR・NDR・XDRが攻撃を捉える流れ

EDR・NDR・XDRの違いは、実際に攻撃が発生した場面を考えると分かりやすくなります。

たとえば、従業員が不審なメールの添付ファイルを開いたケースを考えてみます。

 

まず、EPPなどの端末保護機能は、添付ファイルが危険だと判断できた場合、ファイルを削除したり、実行を止めたりします。

しかし、そこで防げなかった場合、端末内で不審なプログラムが実行される可能性があります。

EDRは、端末内で不審なプログラムが実行されたことや、通常とは異なる操作が行われたことを検知します。

NDRは、感染した端末が外部の不審なサーバーと通信していることや、社内の別の端末へアクセスしようとしていることを検知します。

XDRは、メール、端末、ネットワークなどから得られた情報を関連づけます。

 

これにより、

• どのメールが攻撃のきっかけになったのか
• どの端末が影響を受けたのか
• どのような通信が行われたのか
• 攻撃がどこまで広がった可能性があるのか

を把握しやすくなります。

このように、EDR・NDR・XDRは、それぞれ異なる視点から攻撃を捉えます。

複数の対策を組み合わせることで、一つの仕組みだけでは把握しにくい攻撃の流れや影響範囲を確認しやすくなります。

自社に必要な監視範囲の考え方

EDR・NDR・XDRは、どれか一つを導入すれば、すべてのセキュリティ対策が完了するものではありません。

重要なのは、自社が現在どこまで監視できているのかを整理し、不足している範囲を確認することです。

端末への基本的な対策ができているか

まずは、従業員が使用するパソコンやサーバーに、ウイルス対策やEPPなどの基本的な端末保護が導入されているかを確認します。

対策を導入していても、管理されていない端末や、設定・ソフトウェアが古いままの端末が残っている可能性があります。

 

どの端末が管理対象になっているのかを把握し、基本的な予防対策が行き届いているかを確認することが大切です。

端末上の異常を把握できているか

脅威の侵入を防ぐだけでなく、侵入後の不審な動きを検知したい場合は、EDRが検討対象になります。

特に、テレワークやクラウドサービスの利用が増え、社内ネットワークの外で端末を使用する機会が多い場合には、端末を直接監視する仕組みが重要です。

 

すべての端末へ一度に導入することが難しい場合は、サーバーや管理者用のパソコンなど、攻撃を受けた場合の影響が大きい端末から優先する考え方もあります。

ネットワーク全体の動きを把握できているか

社内ネットワーク内の不審な通信や、複数の端末をまたぐ攻撃を検知したい場合は、NDRが検討対象になります。

次のような環境では、NDRによる監視が役立つことがあります。

• 監視対象となる端末や機器が多い
• IoT機器や工場設備などがネットワークに接続されている
• 監視用ソフトウェアを導入できない機器がある
• 社内ネットワーク内での横展開を把握したい
• 外部への不審な通信や情報流出を確認したい

ただし、ネットワークの構成によっては、すべての通信を監視できない場合もあります。

 

どの通信を確認できるのか、監視対象から漏れている場所がないかを整理する必要があります。

メールやID・アカウントの異常を把握できているか

現在のサイバー攻撃では、端末へのマルウェア感染だけでなく、メールやID・パスワードを悪用する手法も使われます。

たとえば、

• 取引先や社員になりすましたメール
• 偽のログイン画面へ誘導するメール
• 盗まれたID・パスワードによる不正ログイン
• 普段とは異なる場所や時間帯からのアクセス
• 退職予定者や退職者のアカウントによる不自然な操作

などです。

 

端末や社内ネットワークだけでなく、Microsoft 365をはじめとしたクラウドサービス、メール、ID・アカウントまで含めて、どこまで監視できているかを確認する必要があります。

複数製品のアラートが分散していないか

EDR、メールセキュリティ、クラウドセキュリティなど、複数の製品を導入していても、各製品のアラートを別々に確認していると、攻撃の全体像を把握しにくいことがあります。

次のような課題がある場合は、XDRなどによる情報の集約や分析が選択肢になります。

• アラートを確認する管理画面が多い
• アラート同士の関係が分からない
• 重要なアラートを判断しにくい
• 調査に時間がかかっている
• セキュリティ担当者の負担が増えている

ただし、連携できる製品やサービスは、製品ごとに異なります。

 

現在利用しているセキュリティ製品やクラウドサービスと連携できるかを確認することが重要です。

監視対象から漏れている機器や環境はないか

セキュリティ監視を検討するときは、パソコンだけを見るのではなく、自社で利用している環境を全体的に確認する必要があります。

たとえば、次のようなものが監視対象になります。

• 従業員が使用するパソコン
• 業務システムを動かすサーバー
• クラウド上のサーバー
• メール
• ID・アカウント
• ネットワーク機器
• 工場設備やIoT機器
• 社外から接続する端末
• 管理者権限を持つ端末やアカウント

すべてを一度に監視することが難しい場合は、攻撃を受けたときの影響が大きい端末や、現在把握できていない領域から優先して見直す方法もあります。

検知後に対応できる体制があるか

監視範囲を広げると、確認すべきアラートも増える可能性があります。

そのため、製品の導入だけでなく、

• 誰がアラートを確認するのか
• どのような基準で異常と判断するのか
• 端末の隔離や通信の遮断を誰が行うのか
• 関係部門へどのように連絡するのか
• 夜間や休日にどう対応するのか
• 自社で対応するのか、外部へ依頼するのか

まで考える必要があります。

高機能な製品を導入しても、アラートを確認する人がいなければ、十分に活用できません。

 

機能だけで製品を選ぶのではなく、自社で継続して運用できるかという視点も重要です。

導入して終わりではなく、運用まで考える

EDR・NDR・XDRは、サイバー攻撃の検知や調査、対応を支える仕組みです。

しかし、製品を導入しただけで、自動的にすべてのセキュリティ事故を防げるわけではありません。

アラートが発生したときは、その内容を確認し、本当に対応が必要な事象なのかを判断する必要があります。

 

異常と判断した場合には、影響を受けた端末や通信経路を特定し、端末の隔離、通信の遮断、原因調査、復旧などを進めます。

そのため、導入時には検知機能だけでなく、

• アラートの確認方法
• 対応の優先順位
• 社内の連絡体制
• セキュリティ事故が起きたときの対応手順
• 定期的な設定やルールの見直し
• 担当者が不在の場合の対応

まで整理しておくことが重要です。

自社だけで監視や分析を続けることが難しい場合は、外部の監視サービスやセキュリティ運用支援を組み合わせる方法もあります。

 

重要なのは、監視範囲を広げることだけではなく、検知した後に適切に判断し、対応できる状態を作ることです。

JOPSが支援できること

EDR・NDR・XDRを検討するときは、最初から特定の製品を選ぶのではなく、現在のセキュリティ対策や監視できていない領域、導入後の運用体制を整理することが重要です。

 

当社では、お客様の既存環境や課題を踏まえながら、

• 現在のセキュリティ対策や監視範囲の整理
• 端末、ネットワーク、メール、ID・アカウント、クラウドなどの監視状況の確認
• EPP・EDR・NDR・XDRを含む対策の検討
• セキュリティ診断や既存環境の見直し
• Darktraceをはじめとするセキュリティ製品の導入支援
• 既存のセキュリティ製品やシステムとの連携検討
• 導入後の監視や対応体制を見据えた運用支援

など、お客様の状況に応じたご提案が可能です。

 

すべての領域を一度に見直すのではなく、現在監視できていない範囲や、攻撃を受けた場合の影響が大きい領域から、段階的に対策を進めることも可能です。

まとめ

EDR・NDR・XDRは、いずれもサイバー攻撃の検知と対応を支える仕組みですが、監視する対象と役割が異なります。

• EDRは、パソコンやサーバーなどの端末上の異常を監視する
• NDRは、ネットワーク上の不審な通信を監視する
• XDRは、端末、ネットワーク、メール、クラウドなどの情報を関連づけて分析する

という違いがあります。

 

大切なのは、製品名や機能だけを見て、導入する仕組みを先に決めることではありません。

まずは、

• 自社で現在どこまで監視できているのか
• 監視対象から漏れている端末や環境はないか
• メールやID・アカウントも含めて異常を把握できているか
• 複数のアラートを適切に確認できているか
• 検知後に誰がどのように対応するのか
• 自社で継続して運用できるのか

を整理することが重要です。

 

そのうえで、自社のシステム環境や運用体制に合わせて、必要な監視範囲を検討します。

EDRで端末上の異常を捉え、NDRでネットワーク上の動きを確認し、XDRで複数の情報を関連づけることで、サイバー攻撃をより早く発見し、被害の拡大を抑えやすくなります。

 

関連リンク

EDR・NDR・XDRを検討する際は、製品の機能だけでなく、自社のシステム環境や現在の対策、導入後の運用体制まで含めて整理することが重要です。

セキュリティ対策の見直しや、自社に必要な監視範囲の整理を検討している方は、以下のページもあわせてご覧ください。

セキュリティサービス

• JCSS（JOPS Cyber Security Service）
  セキュリティ診断や各種テスト、標的型攻撃メール訓練、セキュリティ対策コンサルティングなどを通じて、企業のセキュリティ課題を幅広く支援するサービスです。
• セキュリティ診断・対策サービス
  現在のセキュリティ対策やリスクを整理し、必要な対策の検討を支援します。

製品紹介

• 自己学習型AIでセキュリティ監視を支援する「Darktrace」
  ネットワーク、メール、ID・アカウント、クラウドなどの監視を支援するDarktraceの特徴や仕組みを紹介しています。

導入事例

以下では、当社が実際にセキュリティ対策を見直し、製品を導入・運用した事例をご紹介します。導入時にどのような課題があり、どのような考え方で対策を選んだのかを知ることで、自社の監視範囲や運用体制を検討する際の参考にしていただけます。

 

• LANSCOPE導入事例：Aurora ProtectとAurora Focusの連携によりマルウェア検知後の初動対応の早期化を実現
  EPPとEDRを組み合わせ、脅威の予防から検知後の調査、初動対応までを強化した事例です。
• LANSCOPE導入事例：Darktraceで不正メール攻撃やID悪用を自動で検知、省力化運用を支援
  Microsoft 365環境における不正メールやID・アカウントの不正利用への対策を強化した事例です。

関連記事

セキュリティ対策を進める際は、製品の比較だけでなく、相談先の選び方や導入前の検証方法も重要です。

• ITの相談先を選ぶときに確認したい4つのポイント
  セキュリティ対策やシステム導入を外部へ相談する際に、確認しておきたいポイントを紹介しています。
• DXやAI活用の前に、なぜフィジビリティスタディやPoCが重要なのか
  新しい仕組みや製品を導入する前に、実現可能性や効果、運用上の課題を小さく検証する考え方を紹介しています。