いちばん分かりやすい説明は、防犯カメラのたとえだと思います。

従来のウイルス対策ソフトは玄関の鍵です。既知の悪いものが入ろうとしたら弾きます。強力ですが、鍵は「入ってきた後」については何もしません。そして、正規の鍵を盗んだ相手には反応しません。

EDRは建物の中に付けた防犯カメラと記録装置にあたります。侵入そのものは止められませんが、誰がいつどの部屋に入り、何を持ち出そうとしたかが残ります。あやしい動きがあれば知らせ、その部屋を封鎖することもできます。

もう1つ、名前の話をしておきます。従来型のウイルス対策ソフトは、製品分類としては EPP（Endpoint Protection Platform） と呼ばれます。EDRはEPPの置き換えではなく、役割の違う別のレイヤーです。実際には、最近の製品はEPPとEDRの両方の機能を1つにまとめて提供していることが多くなっています。

第1章 おわり — 次は第2章

警察庁は、ランサムウェア被害に遭った企業・団体へのアンケート結果を統計編に載せています。その中に、EDRという製品カテゴリが生まれた理由を説明する2枚のグラフがあります。実数を書き出すと次のようになります。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』統計編135頁・136頁のグラフから実数を読み取り、割合は筆者が算出したもの。2つの設問は有効回答数が異なる（119件と89件）ため、単純に掛け合わせて比較することはできません。資料にも「有効回答の数値が異なるため、各年の合計数値は異なる」と注記があります。

この2行が意味することは、はっきりしています。被害に遭った組織のほとんどは、ウイルス対策ソフトを入れていました。そしてそのソフトの多くは、攻撃を検出できませんでした。

「対策していなかったから被害に遭った」のではありません。対策していたのに、その対策が想定していない攻撃だったのです。EDRという製品カテゴリは、この空白を埋めるために生まれました。

国際的な調査でも、同じ方向の結果が出ています。Google Cloud / Mandiant の「M-Trends 2026」（2025年のインシデント対応にもとづく）では、初期侵入経路の1位は脆弱性の悪用（Exploits）で32%、一方でメールによるフィッシングは6%にとどまりました。日本の警察庁の記述と、国際的なインシデント対応の実績が、独立して同じことを示しています。

出典：Google Cloud / Mandiant「M-Trends 2026」（2026年3月公表）。2025年に実施された50万時間以上のインシデント調査にもとづくとされています。ランサムウェア事案に限ると「過去の侵害の再利用」が30%で最多（前年15%）とされています。

もう1つ、EDRの価値を示す数字があります。同レポートによれば、侵入から発覚までの日数の中央値は14日（前年は11日）でした。攻撃者は平均して2週間、気づかれずにネットワークの中にいます。この2週間に気づけるかどうかが、EDRが担う領域です。

第2章 おわり — 次は第3章

EDRを検討するときに知っておきたいのは、攻撃のどの段階で働くのかです。ランサムウェア攻撃の流れに沿って並べると、担当範囲がはっきりします。

攻撃の流れは警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の記述にもとづき、各段階への効果は筆者が一般的な製品特性から整理したものです。製品によって範囲は異なります。

この表から読み取れることが3つあります。

1つめ。段階1にはEDRも効きません。侵入そのものは端末の外、つまりVPN機器やクラウドの認証で起きています。EDRを入れても入口対策は不要になりません。むしろ入口対策のほうが先です。

2つめ。EDRが最も価値を出すのは段階3〜4です。ここは従来型のウイルス対策がほとんど機能しない領域であり、同時にまだ被害が確定していない段階でもあります。ここで気づけると、暗号化にもデータ窃取にも至りません。

3つめ。段階7で効くという点は見落とされがちです。攻撃者はログを消して撤収しますが、EDRが記録を製品側（多くはクラウド）に送っていれば、端末上のログを消されても記録は残ります。「何が起きたか」を後から説明できるという価値です。

第3章 おわり — 次は第4章

この分野は略語が多く、しかも各社が独自の意味で使うため混乱しやすいところです。役割で整理すると次のようになります。

これらは公的な標準規格ではなく製品カテゴリ・業界用語です。同じ名前でも製品ごとに範囲が異なります。表は一般的な整理であり、特定製品の分類を示すものではありません。

覚え方としては、EPP・EDR・XDRは「製品」、MDRは「サービス」、SOCは「体制」と分けると混乱しません。「EDRとMDRのどちらを買うべきか」という問いは、正確には「道具を買って自分で使うか、人ごと任せるか」という問いです。

第4章 おわり — 次は第5章

正直に書きます。個人のパソコンにEDRが必要な場面は、多くありません。EDRは「アラートを見て判断する人」がいて初めて機能する仕組みです。個人でその運用を続けるのは現実的ではありません。

個人の場合、同じ費用と手間をかけるなら、次の順番のほうがはるかに効果があります。

優先順位は筆者の整理です。侵入経路の割合はM-Trends 2026より。

第5章 おわり — 次は第6章

被害組織の約6割が中小企業です（警察庁、2025年）。専任のセキュリティ担当がいない組織でEDRをどう考えるか、順番に整理します。

まず、買う前に確認すべきことが2つあります。

そのうえで、EDRを含む対策の優先順位です。警察庁は備えについて「基本的なセキュリティ対策の徹底を継続することが最も重要」とし、ソフトウェア更新・パスワードの適切な管理・アクセス権限の適切な設定を挙げ、「特に、主要な侵入経路であるＶＰＮ機器等は速やかな対応が必要である」としています。EDRはその次に来ます。

「重さ」は筆者の評価です。組織の規模・体制によって異なります。1〜3が済んでいない状態でEDRだけ導入しても、費用対効果は出にくいと考えられます。

この順番には理由があります。1〜3は買い切りに近く、運用の手間がほとんどかかりません。一方でEDRは、導入した日から毎日アラートが出続けます。運用体制がないままEDRを入れると、アラートが放置され、結局「入れたのに気づけなかった」という結果になりがちです。

第6章 おわり — 次は第7章

EDRが「重要」レベルのアラートを上げた。画面には見慣れない用語が並んでいる。担当者は一人。こういう場面での話です。

電源に関する注意は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア被害後の対応策」にもとづきます。その他は一般的な実務上の整理です。製品の操作方法は各製品のマニュアルをご確認ください。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ