一次資料で確認（2026年8月時点）

XDRとは？1件ずつ見れば無害なのに、つなぐと攻撃に見えるもの

EDRの「X」は何が広がったのか。SIEMとの役割の違いまで整理します。

30秒でわかる「XDR」

端末だけを見ていたEDRの視野を、メール・クラウド・ネットワークなどへ広げた検知の仕組みです。X は「複数の（extended）」という意味。
攻撃は複数の場所をまたいで進むため、1か所ずつ見ると、どれも「大したことのないアラート」に見えてしまいます。
2025年の初期侵入経路は脆弱性の悪用が32%で1位、メールのフィッシングは6%（M-Trends 2026）。侵入の起点はもう端末の中だけではありません。
誤解：「XDRを入れればSIEMは不要」。目的が違います。XDRは検知、SIEMは横断的な記録と調査です。
今日やること：メール・端末・クラウドのログが別々の画面になっていないかを確認する。分かれていること自体が、XDRが解こうとしている問題です。

EDRを調べていると、必ずXDRという言葉に行き当たります。そして多くの説明は「EDRを拡張したもの」で終わってしまい、結局それで何が変わるのかが分かりません。

この記事は、そこを具体的に書きます。中心になるのは第3章です。ばらばらに見れば全部が「よくあるアラート」なのに、時系列に並べると1つの攻撃になる——その様子を表にしました。XDRが解こうとしている問題は、この1枚に集約されています。

⚠ この記事の前提

この記事は2026年8月16日時点の内容です。統計はGoogle Cloud / Mandiant「M-Trends 2026」（2026年3月公表）および警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）から引用し、出典を記事末に記載しています。

XDRは公的な標準規格ではなく、ベンダーが使い始めた製品カテゴリの呼び方です。各社が独自の意味で使っており、統一された定義は確認できませんでした。この記事は共通して語られる特徴を整理したもので、特定製品の分類を示すものではありません。

CHAP1

第1章 / 全8章

XDRとは（やさしい定義）

「X」は何が広がったのか

XDR エックスディーアール英：Extended Detection and Response

端末に加えてメール・クラウドサービス・ネットワーク・認証基盤などの情報をまとめて取り込み、それらを結びつけて攻撃を検知し、対応するための仕組みです。

分類: セキュリティ製品カテゴリ（公的な標準規格ではありません）
Xの意味: Extended（拡張された）。EDRの E（Endpoint＝端末）が X に置き換わった形
EDRとの違い: 見る範囲が端末の外へ広がり、別々の場所の出来事を結びつける点
前提: EDRと同じく、アラートを見て判断する人（または委託先）が必要

名前の作りはとても素直です。EDR の E は Endpoint（端末）。その E を X（Extended＝拡張された）に置き換えたのがXDRです。

ただし「範囲が広い」だけなら、単にEDRとメール対策とクラウド対策を別々に買っても同じはずです。実際にはそうなりません。XDRの本質は「範囲の広さ」ではなく「つなげること」にあります。

💡

製品を3つ買うのと、XDRを1つ入れるのは違う

メール対策・端末対策・クラウド対策を別々に導入すると、管理画面が3つになります。それぞれが「軽微なアラート」を出していても、3つを結びつけて「これは1つの攻撃だ」と判断する人がどこにもいません。この結びつけを製品側でやるのがXDRです。

第1章おわり — 次は第2章

CHAP2

第2章 / 全8章

なぜ端末だけでは足りないのか

侵入の起点が、端末の外へ移っています

EDRは端末の中を見る仕組みです。それが十分だった時代もありました。攻撃の起点が「怪しい添付ファイルを開く」だったからです。しかし、その前提が崩れています。

2025年の初期侵入経路（M-Trends 2026）	割合	端末の中で起きているか
脆弱性の悪用（Exploits）	32%	いいえ（機器・サーバー側）
音声を使ったフィッシング（Voice Phishing）	11%	いいえ（人と電話）
過去の侵害の再利用（Prior Compromise）	10%	いいえ（認証情報）
メールによるフィッシング（Email Phishing）	6%	メール経由（端末で開く）

出典：Google Cloud / Mandiant「M-Trends 2026」（2026年3月公表）。2025年に実施された50万時間以上のインシデント調査にもとづくとされています。右列は筆者による整理です。

上位3つは、いずれも端末の中を見ていても捉えられません。脆弱性の悪用はVPN機器やサーバーで起き、音声フィッシングは電話で起き、過去の侵害の再利用は「正規のログイン」として現れます。

国内の統計も同じ方向です。警察庁はランサムウェア被害について侵入経路の6割以上がVPN機器とし、「標的型攻撃メール等の添付ファイルによる感染は少なくなっている」と明記しています。日本の警察の統計と、国際的なインシデント対応の実績が、独立して同じ結論を示しています。

⚠

「正規のログイン」は、単体では絶対に異常に見えない

盗んだ認証情報でのログインは、システムから見れば完全に正しい操作です。パスワードも合っている、多要素認証も通っている。これを異常だと判断するには、他の情報と突き合わせるしかありません。「普段と違う国から」「普段使わない端末で」「その直後に大量のファイルにアクセス」——複数の点をつないで初めて疑いが立ちます。

さらに、時間の問題もあります。M-Trends 2026 によれば、侵入から発覚までの日数の中央値は14日（前年は11日）でした。一方で、自組織で最初に検知できた割合は52%（前年は43%）と改善しています。半数近くは、いまも外部から知らされて初めて気づいているということです。

第2章おわり — 次は第3章

CHAP3

第3章 / 全8章

点を線にすると、攻撃が見える

この章が、XDRという製品が存在する理由です

言葉で説明するより、並べたほうが早いと思います。次の表は、ある組織で1日のうちに起きた出来事を時系列に並べたものです。それぞれの出来事は、担当している製品の画面では「よくあること」として処理される程度のものです。

時刻	どこで起きたか	その画面での見え方	つないだときの意味
09:12	メール対策	添付なしのメールを1通隔離。よくある迷惑メール	標的への接触が始まった
11:40	認証基盤	社員Aが海外からログイン成功。出張申請あり	認証情報が使われた
11:41	認証基盤	同じ社員Aが国内からもログイン。特に警告なし	同時刻に2か所は物理的におかしい
13:05	端末（EDR）	管理用コマンドの実行。情シスもよく使う	権限の確認をしている
14:20	ファイルサーバー	普段使わない共有フォルダへのアクセス。権限はある	重要データを探している
22:50	ネットワーク	外部への通信量が増加。バックアップの時間帯	データが持ち出されている

説明のために筆者が構成した例であり、実在の事案ではありません。攻撃の進み方は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』が示す流れ（侵入→権限奪取→内部探索→窃取）にもとづいています。

3列目を縦に読んでみてください。どれも「対応不要」と判断されておかしくないものばかりです。迷惑メールは毎日届きます。出張中の社員は海外からログインします。情シスは管理用コマンドを使います。夜間に通信量が増えるのはバックアップのせいかもしれません。

ところが4列目、つまり時系列に並べて同じ人物・同じ端末でつなぐと、意味がまったく変わります。とくに11:40と11:41の2行は、単体では何の警告も出ませんが、並べた瞬間に「同一人物が同時刻に2か所からログインしている」という説明のつかない事実になります。

⚠

この表を作る作業を、人がやるのは現実的ではない

4つの製品の管理画面を行き来し、時刻をそろえ、同じ社員IDで串刺しにして、6行を1本の線にする。これを毎日、全社員分やるのは不可能です。XDRという製品カテゴリは、この作業を自動でやるために生まれました。

逆に言えば、XDRの価値は「アラートを増やすこと」ではなく「減らすこと」にあります。6件のばらばらな低レベルアラートを、1件の「これは調べるべき」に変える。それが期待される働きです。

第3章おわり — 次は第4章

CHAP4

第4章 / 全8章

よくある誤解と、似ている用語

XDRとSIEMは、どちらかを選ぶものではありません

🚨 いちばん危ない誤解：「XDRを入れればSIEMは要らない」

営業の場面でよく語られる話ですが、目的が違います。

XDRは「気づく」ための仕組みです。あらかじめ想定された攻撃のパターンに沿って、複数の場所の情報を結びつけ、危ないものを浮かび上がらせます。取り込む情報は、その検知に必要なものが中心です。

SIEMは「後から調べる」「保存する」ための仕組みです。検知に使わないログも含めて幅広く集め、長期間残します。インシデントが起きたとき「3か月前は何が起きていたか」を調べられるのはSIEM側の役割です。監査や法令対応でログの保存が求められる場合も同様です。

この分野の略語を、役割と時間軸で整理すると次のようになります。

用語	主な目的	得意な時間軸	扱う情報
EDR	端末の異常に気づく	いま	端末の動き
XDR	複数の場所をつないで気づく	いま	端末＋メール＋クラウド＋ネットワーク
SIEM	記録して、後から調べる	過去（数か月〜）	あらゆる機器のログ
SOAR	検知した後の対応を自動化する	いま	他の製品への指示
MDR	監視と一次対応を外部が代行する（サービス）	いま	委託先が決める
SOC	監視・検知・一次対応を担う体制（組織）	いま	—

これらは公的な標準規格ではなく製品カテゴリ・業界用語です。同じ名前でも製品ごとに範囲が異なります。表は一般的な整理です。

もう1つ、注意しておきたい点があります。「XDR」を名乗る製品の中身は、各社でかなり違います。自社の端末製品を中心に他社製品の情報も取り込めるものもあれば、自社製品同士の連携に限られるものもあります。

💡

製品名ではなく「何と何をつなげるか」で評価する

検討するときは、カタログの「XDR対応」という文字ではなく、自社が実際に使っているメール・クラウド・認証基盤・ネットワーク機器のうち、どれと連携できるのかを1つずつ確認してください。つながらない製品が多いなら、XDRを名乗っていても第3章の表は作れません。

第4章おわり — 次は第5章

CHAP5

第5章 / 全8章

個人・家庭に必要か

不要です。ただし、考え方だけは使えます

はっきり書きます。XDRは組織向けの仕組みであり、個人が導入するものではありません。個人向けにXDRを売り込む提案があったとしたら、いったん立ち止まったほうがよいと思います。

ただし、XDRの考え方は個人でも役に立ちます。「1か所だけ見ても分からない。並べて初めて分かる」という発想です。

個人版「点をつなぐ」	やり方	何が見えるか
ログイン履歴を見る	主要サービスの「最近のアクティビティ」を確認する	見覚えのない端末・場所からのログイン
通知をまとめる	ログイン通知・送金通知・パスワード変更通知をすべて有効にする	単体では気づけない乗っ取りの兆候
時系列で並べる	不審なことが起きたら、いつ何があったかをメモに書き出す	「あのメールの直後だった」という関連
連鎖を断つ	パスワードを使い回さない	1か所の漏えいが他へ広がらない

個人向けの整理は筆者によるものです。

もっと詳しく

個人の備えはパスワードの守り方と多要素認証とパスキーにまとめています。

第5章おわり — 次は第6章

CHAP6

第6章 / 全8章

会社・組織でやる対策

中小企業は「まずEDR、余力があればXDR」で十分です

被害組織の約6割は中小企業です（警察庁、2025年）。その規模でXDRが必要かというと、多くの場合は先にやることがあります。順番を示します。

順	やること	費用感	これを飛ばすとどうなるか
1	VPN機器・境界機器の更新	ほぼ不要	侵入経路の6割以上が開いたまま。XDRを入れても入られ続ける
2	多要素認証の適用	低い	盗まれた認証情報での「正規のログイン」を止められない
3	クラウドサービスの監査ログを有効にする	無料のことが多い	XDRを入れても、つなぐ材料がそもそも無い
4	EDRの導入	中	端末での異常に気づけない
5	アラートを見る体制（自社またはMDR）	中	検知しても誰も見ない。製品費用が無駄になる
6	XDRへの拡張	高い	—

費用感と順序は筆者の評価です。組織の規模・体制によって異なります。侵入経路の割合は警察庁資料より。

とくに3行目を見落とさないでください。XDRは、つなぐ材料としてクラウドや認証基盤のログを必要とします。多くのクラウドサービスでは監査ログの取得が既定で無効だったり、保存期間が短く設定されていたりします。ここが空のままXDRを導入しても、第3章のような表は作れません。

⚠

XDRを買う前に、無料でできる「つなぐ」がある

製品を入れなくても、①クラウドの監査ログを有効にする ②管理者アカウントの追加とセキュリティ設定の変更を通知させる ③ログイン失敗の連続と成功をアラートにする、の3つは多くのサービスで無料でできます。これだけで第3章の表の何行かは自動的に見えるようになります。

第6章おわり — 次は第7章

CHAP7

第7章 / 全8章

アラートが出たときの最初の10分

XDRのアラートは「複数の場所」に関わります

XDRが上げるアラートは、EDRのそれとは性質が違います。1台の端末の話では終わらないからです。「この社員のアカウントが、この端末で、このクラウドに、この時間に」という複合的な内容になります。対応する範囲も自然と広がります。

順	やること	やってはいけないこと	理由
1	アラートに関係する要素をすべて書き出す（アカウント名・端末名・時刻・クラウド名・IPアドレス）	端末名だけ見て対処する	XDRの検知は複数の点をつないだ結果です。1点だけ潰しても攻撃は続きます
2	アカウント側を止める（パスワード変更・セッション無効化・多要素認証の再登録）	端末の隔離だけで終える	盗まれた認証情報は、端末を隔離しても他の場所から使えます
3	関係する端末をネットワークから隔離する	電源を切る	電源を切るとメモリ上の痕跡が失われ、その後の調査が困難になります
4	同じアカウント・同じIPでの他の動きを検索する	アラートの範囲だけ見る	検知されたのは一部です。同じ攻撃者の他の足跡がある可能性があります
5	ログを保全し、判断できる人・委託先・警察へ連絡する	一人で切り分けを続ける	初動の目的は解決ではなく、被害拡大の防止と記録の保全です

電源に関する注意は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア被害後の対応策」にもとづきます。その他は一般的な実務上の整理です。

相談先（公的機関）

都道府県警察のサイバー犯罪相談窓口（緊急性が高い場合は110番）
IPA 情報セキュリティ安心相談窓口
JPCERT/CC（組織としてのインシデント報告）
個人データが関わる場合：個人情報保護委員会

✅ ここまでできていれば

アカウントが止まり、端末が隔離され、同じ攻撃者の他の足跡を探せる状態です。XDRを入れている組織の強みは、この「他の足跡を同じ画面で探せる」ことにあります。製品がばらばらだと、この作業に何時間もかかります。

第7章おわり — 次は第8章

CHAP8

第8章 / 全8章

こんな方に	次に読む記事
まずEDRから理解したい	EDRとは？ウイルス対策ソフトがあったのに、なぜ止まらなかったのか
何から守るのかを知りたい	ランサムウェアとは？意味・最新の手口・対策・初動
検知が効かない手口を知りたい	ノーウェアランサムとは？暗号化しない脅迫
アラート運用を体験してみたい	【ゲーム】SOCアラートハンター
ログの実務を知りたい	なぜ「ログは取っているのに守れない」のか？
クラウドのログの調べ方を知りたい	クラウド・フォレンジック完全ガイド

XDRについてよく聞かれること

検索でよく見かける疑問から

SIEMとXDRは、どちらを先に入れるべきですか？

目的が違うため一概には言えませんが、「気づきたい」ならXDR、「後から調べたい・長期保存が必要」ならSIEMが近い答えになります。法令や監査でログの保存期間が定められている場合はSIEM側の要件が先に来ます。どちらも入れられない規模なら、まずEDRと監査ログの有効化から始めるのが現実的です。

ベンダーが違う製品同士でも連携できますか？

製品によります。自社製品を中心にしつつ他社製品の情報も取り込める設計のものもあれば、自社製品同士の連携が前提のものもあります。カタログの「XDR対応」ではなく、自社で実際に使っているメール・クラウド・認証基盤・ネットワーク機器の名前を挙げて、1つずつ連携可否を確認してください。

中小企業にXDRは必要ですか？

多くの場合、先にやることがあります。VPN機器の更新、多要素認証、クラウドの監査ログの有効化、EDRの導入、そしてアラートを見る体制（自社またはMDR）。この5つが済んでいない状態でXDRを導入しても、費用に見合った結果は出にくいと考えられます。

クラウドだけを守りたい場合はどうすればいいですか？

その場合はXDRより先に、使っているクラウドサービス自体のセキュリティ機能（監査ログ、条件付きアクセス、異常ログインの検知）を確認してください。多くのサービスは追加費用なし、あるいは上位プランで同等の機能を提供しています。それでも複数のサービスをまたいだ検知が必要になった段階で、XDRの検討に進むのが順序として無理がありません。