セキュリティアーキテクチャ・設計 重要度:★★★出題: AM2・PM1
EDR / XDR (Endpoint Detection and Response)
いーでぃーあーる / えっくすでぃーあーる / Endpoint Detection and Response / Extended Detection and Response
エンドポイント端末のプロセス挙動や操作ログを常時監視し、侵入後の不審な振る舞いを即時検知・隔離する仕組み。
3行速習ポイント
- EPP（従来型アンチウイルス）が「侵入前の水際防止」を担うのに対し、EDRは「侵入後の迅速な検知・封じ込め」を担う
- プロセス生成、レジストリ変更、ファイル操作、外部通信のテレメトリをクラウド管理サーバへ常時送信
- XDRはエンドポイントに加え、ネットワーク（NDR）、メール、クラウドログを横断的に相関分析して攻撃チェーンを可視化
図解
図EDR / XDR による侵入後検知と迅速な封じ込めプロセス
1テレメトリ常時収集
1. 常時監視プロセス・レジストリ・通信挙動を記録
エンドポイント上のプロセス生成、コマンドライン引数、ファイル操作、外部通信ログをクラウド管理サーバへ常時送信
2振る舞い分析・XDR相関検知
2. 異常検知不審な挙動と複数レイヤのログを横断分析
PowerShell悪用や権限昇格を検知し、XDRではNDR（ネットワーク）・メール・クラウドログと相関分析して攻撃チェーンを特定
3端末のネットワーク論理隔離
3. 封じ込め管理通信のみを維持し他通信を遠隔遮断
感染端末を即座にネットワークから論理隔離してラテラルムーブメント（横展開）を阻止しつつ、遠隔でメモリ・ログ調査を実行
4IOC遡及検索・根絶
4. 影響調査・復旧全社端末の過去ログから侵入痕跡を一斉調査
判明したハッシュ値やC2サーバIP（IOC）を基に全端末の過去ログをスレットハンティングし、潜伏マルウェアを根絶
💡 EPP（侵入前の水際防御）をすり抜けたファイルレスマルウェア等に対し、「侵入後の早期検知・論理隔離・横展開阻止」を実現
概要と本質
ファイルレスマルウェアやゼロデイ攻撃など、シグネチャ型EPPをすり抜ける高度な攻撃に対し、EDRは端末内の挙動（振る舞い）を継続記録します。異常検知時には管理コンソールから遠隔で当該端末をネットワーク論理隔離し、被害拡大（ラテラルムーブメント）を阻止します。
重要ポイント・コア概念
- 端末の論理隔離：管理サーバとの通信のみを維持しつつ、他のすべての通信を遮断して遠隔調査を実施
- IOC（Indicator of Compromise）検索：判明したハッシュ値やC2サーバIPを全社端末の過去ログから遡及検索（スレットハンティング）
- 一般利用者による停止禁止：タンパープロテクション機能により、マルウェアや利用者によるエージェント停止を防止
午後記述・情報セキュリティ対策での攻略ポイント
午後問題では「ランサムウェア感染端末の遠隔ネットワーク隔離」「不審なPowerShell実行プロセスの検知」「横展開（ラテラルムーブメント）を受けた他端末の洗い出し」の文脈で頻出します。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
