サンドボックスとEDRとは？さんどぼっくすといーでぃーあーる
サンドボックスとEDRとは、マルウェア対策を、実行前の判定と侵入後の追跡に分けて担う2つの技術。前者が隔離環境で検体を実際に動かし挙動から悪性かを判定するサンドボックス、後者が端末上の操作を記録して不審な連鎖を検知し、隔離と調査まで行うEDR（Endpoint Detection and Response）である。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチングによる検知は既知の検体の特徴と照合する方式なので、亜種や未知の攻撃には原理的に間に合わない。防ぎきる前提を置き続ける限り、すり抜けた1件が長期間気づかれないまま被害を広げる。サンドボックスは実際に動かして観る、EDRは入られた後の動きを観るという形で、静的な照合の限界を別の観測点から補っている。
具体例
メール添付を仮想環境で開き、外部通信やレジストリ変更が起きれば遮断する。すり抜けた場合もEDRが「文書アプリがPowerShellを起動し外部へ接続した」という親子関係を記録しているため、端末を隔離しつつ影響範囲を追跡できる。
試験での引っ掛け
サンドボックスは万能ではなく、実行を一定時間遅らせる、仮想環境を検知して動作しないといった回避手法がある。EDRは検知と対応が主目的で、感染そのものを未然に防ぐEPP（従来型のマルウェア対策ソフト）とは役割が違う点を区別する。
関連用語
出た過去問
出典：平成28年度 秋期 応用情報技術者試験 午前 問44（IPA）
サンドボックス機構に該当するものはどれか。
正解：不正な動作の可能性があるプログラムを特別な領域で動作させることによって、他の領域に悪影響が及ぶのを防ぐ。
要点：サンドボックスは隔離領域で実行し影響の波及を防ぐ
サンドボックスは、信頼できないプログラムを他の資源から隔離された保護領域の中だけで動かす仕組みです。ファイルやレジストリ、ネットワークへのアクセスを制限した状態で実行するため、たとえマルウェアであっても本体のシステムへ被害が及びません。未知の検体の挙動を安全に観察する動的解析にも用いられます。
出典：平成31年度 春期 応用情報技術者試験 午前 問43（IPA）
情報セキュリティにおけるサンドボックスの説明はどれか。
正解：不正な動作をする可能性があるプログラムを特別な領域で動作させることによって、他の領域に悪影響が及ぶのを防ぐ。
要点：サンドボックスは隔離環境で実行し影響の波及を防ぐ仕組み
サンドボックスは、疑わしいプログラムをファイルシステムやネットワークへのアクセスを制限した隔離環境で動かし、その挙動を観察したり被害を封じ込めたりする仕組みである。万一そのプログラムが不正な動作をしても、隔離された領域の外へ影響が及ばないようにする点が要点である。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。