ITトレンドがおすすめする製品・サービス
- ■運用体制別
- ■ウイルス対策との関係別
EDRの乗り換えを考える場面と見直す範囲
EDRの乗り換えは、契約更新や運用の負担、守る端末の変化などをきっかけに検討されます。きっかけによって見直す範囲が変わるため、まず何を変えたいのかを整理しましょう。製品だけでなく、監視や対応を誰が担うかも見直しの対象です。
契約更新やサポート方針の変化
EDRの乗り換えは、契約の更新時期にあわせて検討すると進めやすくなります。更新日を過ぎると次の契約期間の費用が発生する場合があるため、更新日から逆算して、比較や検証の期間を確保しておきます。
利用しているOSのバージョンに製品が対応しなくなる場合や、提供会社のサポート方針が変わる場合も、見直しのきっかけです。サーバーや古い端末を含めて、今後も対応が続くかを確認しておきましょう。
アラート対応の負担と体制の課題
アラートの確認や調査が追いつかないことも、乗り換えを考える理由の一つです。EDRは不審な動きを幅広く検知するため、通知の量や調査の手間が体制に見合っていないと、重要な通知の確認が遅れるおそれがあります。
この場合は製品の変更だけでなく、監視と初動対応を外部に任せるMDR（Managed Detection and Response）の利用も選択肢です。自社で対応する範囲と任せる範囲を決めてから、乗り換え先を比べましょう。
守る対象と端末構成の変化
テレワークの拡大やサーバーのクラウド移行など、守る対象が変わったときも見直しの機会です。社外で使うパソコンが増えると、社内ネットワークを経由せずに管理画面へ情報を送れるかが重要になってきます。
Linuxサーバーやクラウド上の仮想マシン、Macなど、現行製品で保護していない端末がないかも確認しましょう。対応OSは製品ごとに異なるため、端末の一覧と照らし合わせて乗り換え先の候補を絞ります。
EDRの検知ポリシーと除外設定を棚卸しする
乗り換え先で同じ水準の監視を続けるには、現行のEDRに設定している内容を書き出しておく必要があります。製品間で設定項目の名前や考え方が異なるため、画面の写しだけでなく、設定の目的と内容を言葉で整理しておくと移し替えの判断に役立ちます。
検知・ブロックのポリシーと除外リスト
最初に書き出したいのは、不審な動きを検知したときに通知だけするのか、処理を止めるのかといったポリシーです。部署や端末の種類ごとに設定を分けている場合は、その単位も記録します。
あわせて、業務アプリや社内ツールを誤検知しないよう登録している除外リストも整理します。除外の理由と登録時期を残しておくと、乗り換え先で同じ除外が必要かを判断できます。不要な除外は監視の抜け道になるため、この機会に減らしましょう。
通知先・連携先とログの保存
アラートの通知先や、SIEM（ログを集めて分析する仕組み）、チケット管理ツールとの連携も引き継ぐ対象です。メール、チャット、連携先システムのどこへ、どの重要度の通知を送っているかを一覧にします。
現行製品に残っている検知履歴やログを、契約終了後にどう扱うかも決めておきます。調査や監査で過去の記録が必要になる場合に備え、エクスポートできる範囲と形式、保存期間を提供会社に確認しましょう。
管理者権限と運用手順書
管理画面のアカウントと権限も整理が必要です。誰が設定を変更でき、誰が端末の隔離やネットワーク遮断を実行できるかを書き出し、乗り換え先でも同じ責任範囲になるよう設計します。
アラートを受けたときの確認手順や、端末を隔離する判断基準をまとめた運用手順書も見直しましょう。製品ごとに画面や操作が変わるため、手順書の更新と担当者への共有を移行計画に含めておくと、切り替え後の対応が滞りにくくなります。
端末のエージェントを入れ替える順番
EDRは、エージェントと呼ばれるソフトウェアを各端末に入れて動作します。新旧のエージェントを入れ替える順番を誤ると、端末の動作が重くなったり、保護が外れた端末が残ったりする場合があります。事前の確認と段階的な展開を計画しましょう。
既存のウイルス対策との共存を確認する
まず、新しいEDRのエージェントが、既存のウイルス対策ソフト（EPP）と同じ端末で動作できるかを確認します。監視の仕組みが重なると、端末の動作が遅くなったり、互いの処理を不審な動きとして検知したりする場合があります。
乗り換え先がウイルス対策の機能を一体で持つ製品か、既存のウイルス対策と併用する製品かによって、旧製品を削除する時期が変わります。共存の可否と推奨手順は、提供会社の情報で確認しましょう。
一部の端末で先行して試す
全端末へ一度に展開せず、情報システム部門の端末や特定の部署など、少数の端末で先行して試すと影響を抑えられます。業務アプリが正常に動くか、誤検知がどの程度出るかを一定期間確認します。
先行導入で見つかった誤検知は、除外設定やポリシーの調整で対応します。調整内容を記録しながら対象を広げると、全社展開の時点で設定が安定しやすくなります。配布ツールを使う場合は、配布に失敗した端末の確認方法も決めておきましょう。
旧エージェントを漏れなく外す
新しいEDRで監視できていることを確認してから、旧製品のエージェントを削除します。EDRには不正な削除を防ぐ仕組みを備えた製品があり、管理画面での解除や専用の手順が必要な場合があります。
削除の手順を確認しないまま契約を終えると、端末に旧エージェントが残る可能性があります。契約終了日より前に削除を終え、管理画面の端末一覧と資産台帳を照らし合わせて、削除漏れや未導入の端末がないか確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でEDRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
EDRの乗り換え中に監視の空白を作らない
乗り換えの期間中は新旧の製品が混在し、どちらの管理画面で何を監視しているかが分かりにくくなります。監視の空白を作らないよう、期間と担当を決めて並行稼働を管理しましょう。外部の監視サービスを切り替える場合は、引き継ぎの時期も明確にします。
並行稼働の期間と監視の担当
並行稼働の期間中は、新旧どちらのアラートを誰が確認するかを明確にします。旧製品の契約が切れる日と新製品の展開が完了する予定日を並べ、どの端末がいつ切り替わるかを一覧で管理すると、状況を把握しやすくなります。
確認を1人の担当者に任せると、不在時に対応が滞るおそれがあります。複数人で状況を共有し、確認した内容を記録する仕組みを用意しておきましょう。
外部の監視サービスの引き継ぎ
MDRなどの監視サービスを利用している場合は、旧サービスの監視終了日と新サービスの監視開始日がずれないよう調整します。新サービスの開始には、端末情報の登録や連絡体制の取り決めが必要な場合があります。
インシデントが疑われるときの連絡先や、端末の隔離を任せるかどうかの判断基準も、開始前にすり合わせます。監視サービスが代行する範囲と自社で対応する範囲は契約ごとに異なるため、書面で確認しておきましょう。
乗り換え後に確かめるEDRの検知と対応
エージェントを入れ替えただけでは、乗り換えが完了したとはいえません。すべての端末から情報が届いているか、検知から対応までの流れが想定どおりに動くかを確認し、新しいEDRの運用を定着させていきます。
端末の接続状況と検知の動作確認
最初に、管理画面ですべての端末が接続済みになっているかを確認します。長期間電源が入っていない端末や社外で使っている端末は、接続が確認できないまま残る場合があります。
検知の動作を確かめたい場合は、提供会社が案内する検証方法を使い、検証環境や許可を得た端末で実施します。本番の端末で疑似的な攻撃を試すと業務に影響する可能性があるため、情報システム部門や提供会社に相談してから進めましょう。
アラート対応の記録と設定の見直し
切り替え後の数週間は、アラートの件数や内容を記録し、誤検知が多い項目や対応に時間がかかった項目を洗い出します。その結果をもとに、ポリシーや除外設定、通知の重要度を調整します。
あわせて、端末の隔離や調査の手順を担当者全員で確認し、手順書を更新します。運用の結果を定期的に振り返る場を設けると、担当者が替わっても同じ水準で対応を続けられます。
乗り換え先候補のEDRを運用体制で比較
乗り換え先のEDRを、自社で運用する製品か、監視・対応まで任せるサービスかに注目して一覧にまとめました。現行製品の課題と照らし合わせながら比べてみてください。
| 製品名 | 特徴 |
|---|---|
| IIJセキュアエンドポイントサービス | アンチウイルスやIT資産管理とEDRをクラウドで提供。端末の隔離も管理画面から実行 |
| Sophos MDR | 専門家とAIが24時間365日で監視・調査・対応を代行。既存ツールを置き換えずに利用可能 |
| PSC EDRマネージドサービス | エンタープライズ向けのEDR運用サービス。24時間365日の監視と月次レポートを提供 |
| Aurora Managed Endpoint Defense (AMED) | EPP・EDR製品と専門家による運用を一体で提供。導入時の段階的な適用を支援 |
| 使えるデータプロテクト | バックアップとランサムウェア対策、EDRを1つの管理画面で扱えるクラウド型サービス |
| セキュアエンドポイントサービス（Va） | EPP・EDR・管理者への通知サービスをセットで提供。専用管理サーバが不要 |
| Cybereason MDR SERVICE | 専門家が24時間365日体制で脅威を監視・解析するMDRサービス |
| EDR監視サービス | アナリストとAIが24時間365日監視し、脅威の検知時は端末の隔離まで実施 |
| FUJITSUSecuritySolution次世代エンドポイント運用サービス | EPP・EDR製品の運用を24時間365日代行。導入支援からインシデント対応まで提供 |
| マネージドサービス for EDR Plus | Cortex XDRのライセンスと運用サービスをあわせて月額で提供 |
| Sophos Intercept X Endpoint | AIを活用したマルウェア対策とEDRを搭載。クラウドの管理画面で一元管理 |
| HarmonyEndpoint | EPP・EDR・XDRを単一のエージェントで提供する統合エンドポイントセキュリティ |
| VMwareCarbonBlackCloud | NGAVとEDRを単一エージェントで提供。クラウドに長期間ログを保存して調査可能 |
| ApexOneEndpointSensor | Apex One向けのセンサー。端末の挙動ログを収集し、感染端末の調査を支援 |
監視の引き継ぎを考えたEDR製品・サービス
エージェントの入れ替えや監視体制の移行を進めやすいかという観点で、乗り換え先となるEDRの製品・サービスを紹介します。
IIJセキュアエンドポイントサービス
- AIを駆使した「Aurora Protect」で、未知のマルウェアも検知
- 脅威の可視化から分析までをワンストップで実現
- ネットワーク全体で脅威を調査
株式会社インターネットイニシアティブが提供する「IIJセキュアエンドポイントサービス」は、ウイルス対策とEDRをまとめて見直したい企業が検討できるクラウド型のエンドポイントセキュリティサービスです。アンチウイルスやIT資産管理の機能を、自社でサーバーを持たずに利用できます。検知エンジンには機械学習を使う「Aurora Protect」を採用しています。疑わしいファイルの取得や端末のネットワークからの隔離を同じ管理画面から実行でき、自社で初動対応を進める体制に向いています。
Sophos MDR
- AIが平均89秒で自動対応し、迅速に脅威を抑止
- 350超の外部セキュリティツールと連携可能
- 人間のアナリストが最終判断を担い説明責任を確保
三信電気株式会社が提供する「Sophos MDR」は、アラート対応の負担を理由に乗り換えを考える企業が、監視と対応を外部に任せる選択肢です。AIと専門家のアナリストが24時間365日体制で脅威の監視・調査・対応を担い、封じ込めから排除までの対応を支援します。既存のセキュリティツールを置き換える必要はありません。MicrosoftやCrowdStrikeなど350を超えるサードパーティ製品に対応しており、現行の製品を残したまま監視体制を整えたい場合にも検討できます。
PSC EDRマネージドサービス
- EDRアラートを24時間365日体制で監視・分析
- アラート検知後、15分以内に一次報告を実施
- 運用状況を月次で可視化、セキュリティ改善を提案
株式会社ピーエスシーが提供する「PSC EDRマネージドサービス」は、大規模で複雑なIT環境を持つエンタープライズ企業を想定したEDRの運用サービスです。24時間365日体制でEDRのアラートを監視・分析し、脅威を検知した場合は運用仕様にもとづいて15分以内に一次報告を行います。月次レポートでは攻撃状況や対応履歴、チューニング結果を整理して改善策を提案します。運用の範囲や調査の深さに応じて、エントリー・スタンダード・エンタープライズの3プランから選択が可能です。
Aurora Managed Endpoint Defense (AMED)
- 専門家が24時間365日体制で調査・分析から対処までを完結
- チューニングによりお客様環境に合わせて製品の防御性能を最大化
- 同一ベンダだからこそのワンストップモデルによる安心と低コスト
NTTセキュリティ・ジャパン株式会社が提供する「Aurora Managed Endpoint Defense (AMED)」は、EPP・EDR製品と専門家による運用を一体で提供するワンストップサービスです。導入時は平均3か月のオンボーディング期間を設け、まずアラートモードで環境を学習し、業務アプリとの競合がないことを確かめながら段階的にブロックモードへ移行します。除外や抑止の設定も環境にあわせて調整するため、乗り換え直後の誤検知や業務停止を抑えたい企業に向いています。
使えるデータプロテクト
- 複雑なツールは不要 エンドポイントセキュリティをシンプルに
- イメージバックアップで迅速・効率的なバックアップ＆復元が可能
- 包括的なサイバープロテクションで、あらゆる機能を集中管理
使えるねっと株式会社が提供する「使えるデータプロテクト」は、バックアップとエンドポイントのセキュリティ対策を1つにまとめたいときに候補となるクラウド型のデータ保護サービスです。システム全体を丸ごと保存するイメージバックアップに加え、AIをベースにしたランサムウェア対策やEDRの機能を備えています。インシデントの影響範囲の可視化や推奨される修復手順の確認、セキュリティイベントの180日間の保存にも対応し、管理画面から一元管理できます。
セキュアエンドポイントサービス（Va）
- 高い精度のスキャンにより、アプリの脆弱性把握や対処が可能
- オンプレやリモート環境など、パソコンの動作状況をすべて把握
- 重大なインシデント発生時は対象パソコンを自動で隔離し能動通知
株式会社 USEN ICT Solutionsが提供する「セキュアエンドポイントサービス（Va）」は、ウイルス対策とEDRを1つのアプリにまとめて入れ替えたい企業に向いたエンドポイントセキュリティサービスです。侵入前の防御を担うEPPと、侵入後の対策を担うEDR、管理者に通知するマネージドサービスをセットで提供します。エージェントをインストールする形のため、専用の管理サーバは不要です。重大なインシデントが発生した場合は、対象のパソコンを自動で隔離して管理者へ通知します。
Cybereason MDR SERVICE （サイバーリーズン合同会社）
- 専門家が24時間365日体制で環境を監視・解析
- 脅威の詳細解析と適切な対応策を報告・提示します
- 緊急性が高い脅威への抑止制御と対処を支援。
EDR監視サービス （Ｓ＆Ｊ株式会社）
- 豊富なセキュリティ事故対応経験で監視ポイントを把握
- 自社開発EDR『KeepEye®』による高い監視効果
- 感染端末を隔離できるMDRサービス
FUJITSUSecuritySolution次世代エンドポイント運用サービス （富士通株式会社）
- 24時間365日体制で常時監視・通報に対応。
- EPP/EDR製品の運用代行。専門知識不要。
- 一貫提供で運用負荷を大幅軽減
マネージドサービス for EDR Plus （ＪＢＣＣ株式会社）
- 感染防御！振る舞いや攻撃パターンからマルウェア検知
- 製品＋JBCC運用でリスクを早期検知しインシデント発生を未然防止
- セキュリティエンジニアによる原因調査・分析で再発防止
Sophos Intercept X Endpoint （ソフォス株式会社）
- AIと防御優先設計で脅威を早期遮断。
- EDRで端末の不審活動を可視化・調査可能。
- Sophos Centralでクラウドから一元管理
HarmonyEndpoint （チェックポイント・ソフトウェア・テクノロジーズ株式会社）
- 1C/1CでEPP/EDR/XDRを統合。
- ThreatCloudのAIでゼロデイ対策を実現。
- ランサムウェア対策、DLP、ポスチャー管理を搭載。
VMwareCarbonBlackCloud （ヴイエムウェア株式会社）
- NGAVとEDRを統合、単一エージェントとコンソールで提供
- AIで未知の脅威を検知・防御
- クラウドに長期間ログ保存し、過去のインシデントを詳細調査
ApexOneEndpointSensor （トレンドマイクロ株式会社）
- ファイル実行やレジストリ変更などの挙動を記録
- Webコンソールで端末調査とエージェント管理を一元化。
- Deep Discovery Analyzer連携で脅威情報を活用。
まとめ
EDRの乗り換えでは、契約更新や体制の課題など乗り換えの理由を整理し、現行のポリシーや除外設定、通知先を棚卸ししてから移行を進めることが大切です。新旧のエージェントは共存の可否を確認したうえで段階的に入れ替え、並行稼働中の監視の担当を明確にしましょう。自社で運用するか監視サービスを利用するかによって、乗り換え先のEDRの選び方も変わります。資料請求で複数の製品を比べてみてください。
