サンドボックスとEDRとは？
サンドボックスとEDRとは、サンドボックスは隔離環境で検体を実行し、挙動から悪性かを判定する仕組み。EDR（Endpoint Detection and Response）は端末上の操作を継続的に記録し、侵入後の不審な連鎖を検知して隔離・調査までを担う。侵入前提の設計を支える技術。
基本情報技術者試験の過去問では2回出題されています（2019年度〜2022年度）。
さんどぼっくすといーでぃーあーる
サンドボックスとEDRの意味
サンドボックスは隔離環境で検体を実行し、挙動から悪性かを判定する仕組み。EDR（Endpoint Detection and Response）は端末上の操作を継続的に記録し、侵入後の不審な連鎖を検知して隔離・調査までを担う。侵入前提の設計を支える技術。
サンドボックスとEDRの具体例
添付ファイルを仮想環境で開き、外部通信やレジストリ変更が起きれば遮断する。すり抜けた場合もEDRが「文書アプリがPowerShellを起動し外部へ接続した」という親子関係を記録しており、端末をネットワークから隔離しつつ影響範囲を追跡できる。
サンドボックスとEDRは試験でどう引っ掛けられる？
サンドボックスは万能ではなく、実行を遅延させる・仮想環境を検知して動かないといった回避手法がある。またEDRは検知と対応が主目的で、感染を未然に防ぐEPP（従来型の防御）とは役割が異なる点を区別する。
サンドボックスとEDRと関連する用語
サンドボックスとEDRが出た過去問
マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は検体を隔離環境で実行し挙動を観測すること
動的解析とは、検体を実際に実行させてその挙動を観測する手法である。安全に実行するために隔離環境（サンドボックス）を用い、ファイル操作やレジストリ変更、外部への通信などを記録する。これに対し、実行せずにコードや特徴を調べる手法は静的解析と呼ばれ、ハッシュ値照合や逆アセンブル・逆コンパイルによる解析が該当する。
出典：令和1年度 秋期 基本情報技術者試験 午前 問36（IPA）マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は隔離環境で実行して挙動を観測する
動的解析は、検体を実際に実行させて挙動を観測する手法である。安全のために外部と隔離されたサンドボックス環境で動かし、ファイルやレジストリの操作、外部との通信先などを記録する。実行せずにコードや特徴を調べる手法は静的解析と呼ばれ、ハッシュ値の照合や逆コンパイルによる解析が該当する。
出典：令和4年度 s 基本情報技術者試験 kamokuA 問35（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。