EDR・XDRとは？

EDR・XDRの意味

端末上のプロセス起動・通信・ファイル操作を継続的に記録し、侵入後の不審な挙動を検知して隔離や追跡を支援する仕組み。これを端末に限らずメール・クラウド・ネットワークのログまで横断的に相関させて分析する発展形がXDRである。

EDR・XDRの具体例

文書ファイルからスクリプト実行環境が起動し、外部へ接続した一連の流れを時系列で再構成し、同じ挙動が他の何台に及んだかを検索する。管理画面から端末をネットワークから遮断しつつ、調査のために遠隔操作は維持するといった対応が取れる。

EDR・XDRは試験でどう引っ掛けられる？

EDRは侵入を前提とした「検知と対応」の道具であり、従来型のマルウェア対策ソフト（侵入の予防）を置き換えるものとは限らない。検知しても運用体制がなければ通知が滞留するだけで、監視の担い手を決めることが導入の前提である。

EDR・XDRが出た過去問

• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情報セキュリティに対する取組が必要であると…

  正解：（三）,（四）

  要点：最新化には自動適用ツールと非標準ソフトの排除が要る

  評価が不完全なのはOSと標準ソフトではなく、実態が把握できていない非標準ソフトである。したがって、全PCへ修正プログラムを自動適用できるIT資産管理ツールを導入して更新漏れをなくすことと、非標準ソフトの導入を禁止して既存分を強制的に削除することの二つが有効な追加対策になる。EDRやSIEMは侵害の検知・分析の仕組みであり、ソフトウェアを最新に保つ対策ではない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問51（IPA）