サンドボックスとEDRとは？さんどぼっくすといーでぃーあーる
サンドボックスは、疑わしいファイルを本番から切り離した隔離環境で実際に動かし、その振る舞いから悪性かどうかを判定する仕組みである。EDR（Endpoint Detection and Response）はPCやサーバ上の操作を常時記録し、侵入されたあとの不審な動作の連鎖を見つけて隔離・調査まで担う。前者が入口、後者が侵入後を受け持つという分担になる。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
既知の特徴と照合するパターンマッチングでは、標的型攻撃が使う新種の検体を止められない。そこで「見た目」ではなく「動き」で判定する方向へ移ったのがサンドボックスである。さらに入口で全部止めるのは無理だと認めれば、価値は侵入されてから気づくまでの時間に移り、端末側に記録を残す仕組みが要る——この2段構えが侵入前提の設計になる。
具体例
Microsoft Defender for Endpoint は、文書アプリがPowerShellを起動して外部へ接続したといった親子関係を記録しており、端末をネットワークから切り離しつつ、どのファイルがどこまで広がったかを後から追跡できる。
試験での引っ掛け
EDRとEPP（従来型のウイルス対策ソフト）の役割を取り違えないこと。EPPは感染を未然に防ぐ側、EDRは防ぎきれなかった後の検知と対応の側である。サンドボックスにも回避手法があり、一定時間動かない検体や仮想環境を検知して本性を現さない検体はすり抜ける。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。