サンドボックスとEDRとは？さんどぼっくすといーでぃーあーる
サンドボックスは、怪しいファイルを本番から切り離した使い捨ての環境で開いてみて、その振る舞いから悪性かどうかを見分ける仕組み。もう一方のEDRは「端末での検知と対応」（Endpoint Detection and Response）の略で、パソコンやサーバの操作履歴を取り続け、入り込まれたあとの不自然な動きを見つけて切離しと原因追跡まで引き受ける。どちらも防ぎきれない前提に立つ対策である。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
既知のマルウェアの特徴と照らし合わせる方式だけでは、少し形を変えただけの新種を止められない。そこで「実際に動かして挙動を見る」方式と、「侵入されたあとの動きを捕まえる」方式が加わった。ただし後者は警告が出てから人が判断するため、入れれば守られるのではなく、誰がいつ見るのかという体制の話とセットになる。
具体例
IPAの資料でも、EDRは従来型のマルウェア対策ソフト（EPP）と区別して整理されている。導入するときは、検知の通知を受けて端末を切り離す判断を誰がするか、夜間と休日はどうするかを先に決め、自社で体制を持てない場合は監視の外部委託（SOCサービス）として、通知先と対応時間を契約の要求事項に書く。
試験での引っ掛け
サンドボックスは万能ではなく、動作を遅らせる・隔離環境だと気づくと動かないといった回避手法がある。またEDRは侵入後の検知と対応が役割で、感染そのものを未然に防ぐEPP（マルウェア対策ソフト）とは目的が違うため、置き換えではなく併用する。導入しても通知を見る担当を決めなければ、記録が残るだけで対応につながらない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。