EDR (Endpoint Detection and Response)
エンドポイント（サーバー・PC・モバイル端末など）に軽量なエージェントを常駐させて活動を継続的に記録・監視し、疑わしい挙動を検知して、調査・対応までを支援するセキュリティソリューション。従来のアンチウイルスが既知のマルウェアのシグネチャ照合を中心とするのに対し、EDRは挙動データをリアルタイムに記録・分析するため、ファイルレス攻撃や高度な標的型攻撃（APT）のような、シグネチャでは捕まえにくい攻撃の検出に強い。
主な機能
- テレメトリ収集 — プロセスの起動、ファイル操作、ネットワーク接続、レジストリ変更などのエンドポイント活動を記録し続ける
- 振る舞い検知 — 挙動分析（behavioral analytics）や脅威インテリジェンスとの突合で疑わしい活動を検出しアラートを上げる
- 調査支援 — 攻撃の時系列や影響範囲をたどるためのデータとツールをアナリストに提供する。脅威ハンティングの調査フェーズでも中心的なツールとなる
- 対応 — 侵害された端末のネットワーク隔離、プロセスの停止などをリモートで実行し、攻撃の横展開を止める
位置づけ
SOCの運用では、EDRがエンドポイント層の検知・対応を担い、各種ログを横断的に相関分析するSIEMと補完し合う。EDRの適用範囲をネットワーク・クラウド・メール等まで広げた発展形はXDR (Extended Detection and Response) と呼ばれる。
セキュリティ運用の中での位置づけ
エンドポイント層を深く監視・対応する「深さ」担当のツール。ログ横断のSIEMと補完関係にあり、脅威ハンティングの調査でも中心的に使われる。