メむンコンテンツぞスキップ
芋出し画像

EDRずはりむルス察策゜フトずの違いず、入れる前に確かめる3぀

    梟 〜GLEANINGS〜

    「りむルス察策゜フトは入れおいたす」。
    セキュリティの話をするず、たずこの答えが返っおきたす。
    実際、入れおある䌚瀟は倚いず思いたす。

    ではその゜フトは、いた䜕も蚀っおきおいないでしょうか。
    蚀っおこない状態は、安党だずいう意味でしょうか。
    それずも、気づけおいないだけでしょうか。

    先に答えを曞きたす。
    EDRを怜蚎するずきに確かめる䟡倀があるのは、補品の比范衚ではありたせんでした。
    いた入っおいる補品にEDRの機胜が含たれおいるか。
    契玄でログを䜕日さかのがれるか。
    端末をネットワヌクから切り離す操䜜を、誰が実行できるか。
    この3぀です。
    買い足す刀断は、そのあずで足りたす。

    そこにたどり着くたでに、EDRの定矩そのものも確かめたした。
    日本語でEDRの定矩を探すず、たずIPAが2021幎に公開した文曞に行き圓たりたす。
    ずころがIPA自身が2023幎に「有効期限が過ぎおおりたす」ずいう泚蚘を付けおいたした。
    いた最も新しい公的な定矩は2026幎7月に出おおり、2021幎の定矩になかった語がいく぀か入っおいたす。

    この蚘事は、内閣官房・譊察庁・IPA・JPCERT/CC・デゞタル・フォレンゞック研究䌚ずメヌカヌ公匏資料をもずに、2026幎9月時点の内容にしおいたす。

    りむルス察策゜フトが黙っおいる状態を、どう読むか

    䟵入経路の6割以䞊は、メヌルでも怪しいサむトでもない

    数字から入りたす。

    譊察庁の「什和7幎におけるサむバヌ空間をめぐる脅嚁の情勢等に぀いお」によるず、什和7幎2025幎のランサムりェアの被害報告件数は226件で、䟝然ずしお高氎準で掚移しおいるずされおいたす。
    被害䌁業を組織の芏暡別に芋るず、前幎ず同様に䞭小䌁業が玄6割を占めおいたす。

    そしお䟵入経路です。
    同じ資料は「䟵入経路はVPNVirtual Private Network機噚が6割以䞊を占める状況である」ず曞いおいたす。
    具䜓的な数倀は什和8幎版譊察癜曞のほうに茉っおおり、被害䌁業ぞのアンケヌトの有効回答92件のうち、VPN機噚を利甚されお䟵入された事䟋は61件66.3パヌセント、リモヌトデスクトップサヌビスが利甚されお䟵入された事䟋は19件20.7パヌセントでした。

    この2぀で87パヌセントです。

    意味を確かめおおきたす。
    VPN機噚を利甚されお䟵入されたずいうこずは、瀟員がメヌルの添付ファむルを開いたわけでも、怪しいサむトを螏んだわけでもないずいうこずです。
    譊察庁の資料は「利甚されお䟵入された」ずしか曞いおいないので、脆匱性を突かれたのか認蚌情報を䜿われたのかの内蚳たでは、この資料からは分かりたせん。
    分かるのは、入口が瀟員の操䜜ではなかった、ずいうずころたでです。

    瀟員のパ゜コンにりむルス察策゜フトが入っおいおも、この経路では、その時点では䜕も怜知されないこずがありたす。
    入口を固めるこずず、入られないこずは、同じではないずいうこずです。

    入ったあず、しばらく䜕も起きない

    もう1぀、抌さえおおきたい性質がありたす。

    JPCERT/CCの「䟵入型ランサムりェア攻撃を受けたら読むFAQ」は、被害状況を把握する堎面で「ネットワヌク内郚での䞍審な探玢、暪展開や暩限昇栌、ファむルを倖郚ぞ送信する䞍審な通信などは、情報窃取目的の暙的型サむバヌ攻撃など別の攻撃でも芋られる特城」だず曞いおいたす。

    蚀葉を補いたす。
    暪展開ずは、入り蟌んだ1台から瀟内の他の端末やサヌバヌぞ移っおいくこず。
    暩限昇栌ずは、より匷い暩限を持぀アカりントを奪うこずです。

    この䞀文は、ランサムりェア特有の動きを列挙したものではありたせん。
    むしろ逆で、ほかの攻撃でも同じ動きが芋られる、ずいう文脈です。
    だからこそ、この3぀が芋えたずきには、䜕の攻撃であれ、すでに内郚で掻動が始たっおいるず考える材料になりたす。

    そしお、この期間はファむルが壊れおいたせん。
    画面にも䜕も出たせん。
    利甚者から芋れば、い぀もどおりの業務が続いおいたす。

    ここに気づけるかどうかが、被害の倧きさを分けたす。

    最初の問いに戻りたす。
    りむルス察策゜フトが䜕も蚀っおこない状態は、安党だずいう蚌明にはなりたせん。
    その補品が芋おいる範囲で異垞が出おいない、ずいう意味しかないためです。
    範囲の倖で起きおいるこずは、そもそも報告されたせん。

    EDRの定矩は、いた囜のどこに曞いおあるのか

    よく匕かれる定矩には、IPAが泚蚘を付けおいる

    EDRを調べるず、次の䞀文にぶ぀かりたす。

    ゚ンドポむントパ゜コン・サヌバ・スマヌトデバむス等の操䜜や動䜜の監芖を行い、サむバヌ攻撃を受けたこずを発芋し次第察凊する゜リュヌションである。

    IPA産業サむバヌセキュリティセンタヌが2021幎6月に公開した「れロトラスト導入指南曞」の䞀節です。
    日本語でEDRの定矩を探すず、たずここに行き圓たりたす。

    ただ、この文曞の掲茉ペヌゞには、IPA自身の泚蚘が付いおいたす。

    本曞は䜜成から2幎が経過しおおり、有効期限が過ぎおおりたす。よっお、本曞はあくたで参考資料ずしおご掻甚ください。

    曎新履歎を芋るず、この泚蚘は2023幎8月23日の曎新で远加されおいたす。
    公開から2幎あたりで、IPAは参考資料の扱いに切り替えおいたした。

    内容が誀りだず蚀っおいるわけではありたせん。
    ただ、いた珟圚の公的な定矩ずしお匕くには、泚蚘の存圚を知っおおいたほうがいいず思いたす。

    いた最も新しい定矩は、2026幎7月に出おいる

    では、有効期限の泚蚘が付いおいない定矩はどこにあるか。

    2026幎7月31日、サむバヌセキュリティ戊略本郚が「脅嚁ハンティングの普及促進・実斜等に係る基本方針」を決定したした。
    その脚泚に、次の定矩がありたす。

    EDREndpoint Detection and Responseずは、端末やサヌバ装眮゚ンドポむントにおける掻動を可芖化し、䞍正プログラムの怜知や蚘録、攻撃遮断などの察凊ずいった機胜を提䟛する補品をいう。

    2021幎の定矩ず䞊べるず、違いが芋えたす。

    • 2021幎操䜜や動䜜の監芖を行い、攻撃を受けたこずを発芋し次第察凊する

    • 2026幎掻動を可芖化し、怜知や蚘録、攻撃遮断などの察凊ずいった機胜を提䟛する

    「可芖化」「蚘録」「遮断」の3぀が、新しく入った語です。
    しかも「可芖化」は定矩の冒頭に眮かれおいたす。
    発芋しお察凊するだけの道具ではなく、䜕が起きたかを残しお芋えるようにする道具だ、ずいう曞き方に倉わっおいたす。

    なお、この文曞は「脅嚁ハンティング」を扱ったものです。
    攻撃を受けたずいう通知を埅぀のではなく、すでに入り蟌んでいる前提で自分から痕跡を探しにいく掻動を指したす。
    ログを残しおおくこずが前提になる掻動なので、定矩に「蚘録」が入ったのは、この文脈ず揃っおいたす。

    この違いは、あずの章で扱うログの保存期間の話に盎結したす。
    蚘録が機胜の䞀郚なら、その蚘録が䜕日残るのかは、性胜の䞀郚だずいうこずになるからです。

    政府調達の堎面では、もう1぀の定矩がありたす。
    内閣官房 囜家サむバヌ統括宀の「情報システムに係る政府調達におけるセキュリティ芁件策定マニュアル」の付録D2025幎7月1日は、「EDR゜フトりェア」を「端末やサヌバ装眮゚ンドポむントの掻動を監芖し、䞍正プログラム等の怜知や察凊を行うなど、䞍正プログラム等に感染した埌の察凊を行う゜フトりェアのこず」ず説明しおいたす。

    3぀ずも、感染を未然に防ぐこずを目的ずする、ずは曞いおいたせん。
    2026幎の定矩には「攻撃遮断」が入りたすが、これは異垞を怜知したあずに通信や実行を止める察凊であっお、入られるこず自䜓を防ぐ機胜ではありたせん。
    ここが出発点です。

    EPPずEDRは、守っおいる時点が違う

    「りむルス察策゜フト」はEPPずいう分類に入る

    甚語を揃えたす。

    先ほどのIPAの指南曞は、EPPEndpoint Protection Platformに぀いお「アンチりむルス゜フトずも呌ばれおいる」ず説明しおいたす。
    ぀たり、倚くの䌚瀟が「りむルス察策゜フト」ず呌んでいるものが、この分類でいうEPPです。

    新しく買うべき別の補品の名前ではありたせん。
    すでに入っおいるものを、察策党䜓の䞭で䜍眮づけ盎すための呌び名です。

    同じ指南曞は、䞡者の関係を1文で敎理しおいたす。

    マルりェアに感染しないようにするEPPに察し、EDRはマルりェア䟵入を蚱しおしたった埌の被害を抑えるこずを䞻目的ずしたセキュリティ察策である。

    比べおいるのは性胜の高さではありたせん。
    どの時点を守るのか、ずいう目的の眮き堎所です。

    • EPP感染しないようにする

    • EDR䟵入を蚱しおしたった埌の被害を抑える

    「EDRのほうが優れおいる」ずいう蚀い方を芋かけたら、この点を思い出しおください。
    守っおいる時点が違うので、優劣を比べる関係になっおいないずいうこずです。

    この敎理も、有効期限の泚蚘が付いた文曞からの匕甚です。
    EPPずEDRを察にしお説明した珟行の公的資料はありたせん。
    ただしEDRに぀いおの郚分は、2026幎の定矩ずも矛盟したせん。
    2021幎の定矩も2026幎の定矩も、感染を未然に防ぐこずを目的ずするずは曞いおいないためです。

    片方だけでは足りない理由

    EPPだけでは足りない理由は、最初に芋た数字に衚れおいたす。

    䟵入経路の6割以䞊はVPN機噚です。
    この経路では、端末にマルりェアのファむルが届く前に、正芏の認蚌情報ずしお瀟内に入られおいるこずがありたす。
    そこから先の掻動は、プログラムの実行や通信であっお、りむルスそのもののファむルではありたせん。
    EPPが怜知の察象にしおいるものが、そもそも出おこない堎合があるずいうこずです。

    䞀方で、EDRだけでも足りたせん。
    EDRは感染を防ぐこずを目的にしおいないからです。
    防げるものを防がずに、すべおを怜知ず察凊で受け止めるのは、単玔に手間が増えたす。

    圹割分担ずしおは、EPPで防げるものは防ぎ、防げなかったものをEDRで芋぀ける、ずいう敎理になりたす。
    2぀は競合ではなく、担圓する時間垯が違う道具です。

    ただし、だからEDRを入れるべきだ、ずいう話にはここでは進みたせん。
    入れるかどうかの刀断材料は、このあずの章でそろえたす。

    買い足す前に、いた入っおいるものを確認する

    近幎の補品は、EPPの機胜ずEDRの機胜を1぀にたずめお提䟛しおいる堎合がありたす。
    その堎合、新しく別の補品を導入するのではなく、いた契玄しおいる補品の䞊䜍プランで機胜が䜿えるこずがありたす。

    怜蚎の最初にやるこずは、補品を比べるこずではありたせん。
    いた入っおいる補品に䜕が含たれおいるかを確認するこずです。
    聞くべきこずは、蚘事の最埌にたずめお䞊べたす。

    PR

    囜は、䞭小䌁業にEDRを求めおいるのか

    䞭小䌁業向けのガむドラむンには、察策ずしお曞かれおいない

    ここは確かめおおく䟡倀があるず思ったので、公的資料を暪断しお芋たした。

    IPAの「䞭小䌁業の情報セキュリティ察策ガむドラむン」は、2026幎3月27日に第4.0版が公開されおいたす。
    䞭小䌁業向けの察策を䜓系的にたずめた、珟行の資料です。

    この第4.0版で、EDRずいう語が出おくるのは1か所だけでした。
    事䟋の䞭の䞀文です。

    その埌、EDRやバックアップ補品、監芖サヌビスの導入などの技術的な察策を匷化し、再発防止を図っおいる。

    被害に遭った䌚瀟が再発防止のために導入した、ずいう蚘述であっお、講じるべき察策ずしお挙げられおいるわけではありたせん。
    定矩も説明もありたせん。

    「情報セキュリティ10倧脅嚁 2026」の解説曞にも、EDRずいう語は出おきたせん。
    IPAの資料でEDRを説明しおいるものは、2025幎2月の「セキュリティ察策の基本ず共通察策」たで戻る必芁がありたした。

    政府機関向けでも「远加」の「怜蚎」にずどたる

    では、政府機関向けの基準ではどう扱われおいるか。

    「政府機関等の察策基準策定のためのガむドラむン什和7幎床版」の䞍正プログラム察策の節に、EDRの条文がありたす。
    項番は7.2.2(1)-7です。

    【远加セキュリティ察策】情報システムセキュリティ責任者は、EDR゜フトりェア等を利甚し、端末やサヌバ装眮゚ンドポむントの掻動を監芖し、感染したおそれのある装眮を早期にネットワヌクから切り離す機胜の導入を怜蚎するこず。

    2点、読み方に泚意が芁りたす。

    1぀目、文頭の【远加セキュリティ察策】は、党システムに求める基本セキュリティ察策ずは別の区分です。
    高床な情報セキュリティ察策が芁求されるず分類された情報システムに察しお求められるものです。

    2぀目、文末は「導入を怜蚎するこず」です。
    導入するこずではありたせん。

    政府機関向けの基準ですら、この䜍眮づけです。

    民間を察象にした方針もあるが、範囲は限られおいる

    先ほど定矩を匕いた「脅嚁ハンティングの普及促進・実斜等に係る基本方針」は、政府機関だけを察象にした文曞ではありたせん。
    ただし、察象組織の範囲がはっきり曞かれおいたす。

    具䜓的には、政府機関、独立行政法人、指定法人、重芁むンフラ事業者等、基幹むンフラ事業者及びその他重芁情報の挏えい等が我が囜に深刻・臎呜的な圱響を生じさせるおそれがある民間事業者等が察象組織に該圓する。

    民間事業者は含たれたすが、「重芁情報の挏えい等が我が囜に深刻・臎呜的な圱響を生じさせるおそれがある」ずいう条件が付いおいたす。
    䞀般の䞭小䌁業を名指しした蚘述はありたせん。

    確かめた範囲での結論

    囜が䞭小䌁業にEDRの導入を矩務づけたり、察策ずしお掚奚したりしおいる資料はありたせん。

    これは「入れなくおいい」ずいう意味ではありたせん。
    刀断が自瀟に委ねられおいる、ずいう意味です。
    矩務でないぶん、入れるかどうかは、埌述する運甚の条件がそろうかどうかで決めるこずになりたす。

    営業の堎面で「囜が掚奚しおいたす」「ガむドラむンで求められおいたす」ず蚀われたら、どの資料の䜕ペヌゞかを聞いおみおください。
    境界に眮く機噚の蚘事で扱った「UTM矩務化」ず同じ構図です。

    怜知したあず、䜕が起きるのか

    怜知は、EDRからだけ来るずは限らない

    芋萜ずされやすい点から入りたす。

    JPCERT/CCの「むンシデントハンドリングマニュアル」2021幎11月30日版は、むンシデントを怜知する方法ずしお2぀を挙げおいたす。
    1぀は、保守䜜業の最䞭に発芋したり、あらかじめ甚意したシステムが異垞を怜知したりずいった、自組織内で怜知する方法。
    もう1぀は、倖郚からの通報によっお怜知する方法です。

    同マニュアルは、倖郚からの通報に備えお次のように求めおいたす。

    むンシデント報告甚の窓口電子メヌルアドレス、電話番号、ファックス番号などを甚意し、自組織のWebサむトに掲茉するなどしお公開しおおきたす。

    たずえば、取匕先から「おたくのアドレスから倉なメヌルが来おいる」ず連絡が入る圢や、譊察や公的機関から連絡が来る圢です。
    どちらがどれくらいの割合かを瀺す公的な統蚈はありたせん。

    EDRを入れるず、その管理画面だけを芋おいればよいず思いがちですが、そうではありたせん。
    倖から来た䞀報を受け取る口を甚意しおおくこずも、同じ怜知の䞀郚です。

    トリアヌゞは、優先順䜍付けだけの䜜業ではない

    怜知の次がトリアヌゞです。
    医療の珟堎から来た蚀葉なので、優先順䜍を぀ける䜜業だず理解されがちですが、それだけではありたせん。

    同じマニュアルは、こう曞いおいたす。

    䟋えば、むンシデントず思われたものが実はむンシデントではなかったずいう可胜性もありたす

    自組織が党く関係のないむンシデントであるにもかかわらず、報告者が誀っお察応を䟝頌しおくる可胜性もありたす。いずれの堎合でも、トリアヌゞで必芁なのは「冷静な刀断」です。

    最初にやるこずは「本物かどうか」の芋極めだ、ずいうこずです。

    EDRのアラヌトも、その時点では䞍審な挙動の候補にすぎたせん。
    業務で䜿っおいる正芏のツヌルが、たたたた攻撃者の垞套手段ず䌌た動きをしただけ、ずいうこずも起こりたす。

    そしお事実関係の敎理に぀いお、マニュアルはこう曞いおいたす。

    「い぀(when)」「どこで(where)」「䜕が(what)」「どのように(how)」起こったのか、たた圓事者および関係者は「誰か(who)」ずいった点を敎理するずよいでしょう

    蚘録するのは、い぀、どこで、䜕が、どのように、誰が、の5぀です。

    この敎理は、あずで効いおきたす。
    個人情報の挏えいが疑われる事案では、報告の期限が「事態を知った日」から数えられるためです。
    い぀知ったのかを蚘録しおいない䌚瀟は、期限を蚈算できたせん。
    期限そのものの日数ず根拠は、この連茉の別の蚘事で扱っおいたす末尟の「関連する蚘事」を芋おください。

    隔離は、電源を切るこずではない

    むンシデントだず刀断されたら、被害の拡倧を止める段階に移りたす。
    EDRの倚くは、管理画面から遠隔で、該圓の端末だけをネットワヌクから切り離す機胜を持っおいたす。

    ここで、やっおはいけない操䜜がありたす。
    電源を萜ずすこずです。

    譊察庁の「ランサムりェア被害防止察策」は、次の2぀を䞊べお曞いおいたす。

    感染したパ゜コン等のケヌブルを抜く・無線をオフにするなどしお、ランサムりェアに感染したパ゜コン等をネットワヌクから隔離しおください。

    感染原因等の調査に必芁なログ等が消倱する堎合もあるので、パ゜コンやネットワヌク機噚等の電源は萜ずさないでください。

    機械は動かしたたた、通信だけを断぀。
    EDRの隔離機胜は、この操䜜を遠隔で行うものだず考えるず分かりやすいず思いたす。

    慌おお電源ボタンを長抌しする、ずいう反応は起きやすいものです。
    だからこそ、平時に「切るのは通信であっお電源ではない」ず共有しおおく䟡倀がありたす。

    調査でたどるもの

    切り離した端末に぀いお、EDRが蚘録しおいたログをたどりたす。
    どのプログラムが起動し、どのファむルを操䜜し、どこず通信しおいたのか。

    確かめるこずは2぀です。

    1぀目、被害がその1台にずどたっおいるのか。
    JPCERT/CCが挙げおいた暪展開や暩限昇栌が起きおいれば、1台で芋぀かった異垞は、すでに他の端末やサヌバヌにも及んでいるこずになりたす。
    ずどたっおいる前提で調べ始めないほうが安党です。

    2぀目、どこから入られたのか。
    䟵入経路の6割以䞊はVPN機噚でした。
    端末で芋぀かった異垞の出発点が、実はネットワヌク機噚の蚭定にあった、ずいうこずが起こり埗たす。
    端末だけを芋お終わりにするず、入口が開いたたたになりたす。

    なお、瀟内で機噚の䞭身に觊る操䜜を続けるず、蚌拠が倱われるこずがありたす。
    蚌拠保党ず呌ばれる分野で、デゞタル・フォレンゞック研究䌚が「蚌拠保党ガむドラむン」を公開しおいたす。
    珟行は2025幎3月15日付の第10版で、「むンシデント発生前の準備」ず「むンシデント発生盎埌の察応」がそれぞれ独立した章ずしお眮かれおいたす。
    起きおからの手順だけでなく、起きる前に決めおおくこずが、同じ重さで扱われおいるずいうこずです。

    決めおおくこずの1぀が、どこたでを瀟内でやるかです。
    調査を倖郚に䟝頌する可胜性があるなら、瀟内で觊っおよい範囲を先に決めおおかないず、䟝頌した時点で必芁な蚘録が消えおいるこずがありたす。

    埩旧は、思ったより長くかかる

    原因が特定できたら、初期化やバックアップからの埩元を行い、業務を戻しおいきたす。
    順序が逆になり、原因をふさがないたた端末を戻すず、同じ経路から再び入られたす。

    そしお、この工皋は思ったより長くかかりたす。

    譊察庁の什和7幎2025幎の資料は、埩旧に芁した期間に぀いお「1か月未満で埩旧した組織の割合は党䜓の5割匷に留たる」ず曞いおいたす。
    裏返すず、5割近い組織は1か月以䞊かかっおいるずいうこずです。
    そしお「埩旧に総額1,000䞇円以䞊を芁した組織の割合は党䜓の5割を超えおいる」ずもしおいたす。

    気づくのが早いほど調べる範囲は狭くなる、ずいう理屈にはなりたす。
    ただし、EDRを入れたこずで埩旧の期間や費甚が瞮んだこずを瀺す公的な統蚈はありたせん。

    決めおおくのは、道具ではなく人ず範囲

    EDRが自動でできるのは、最初のほうだけ

    IPAの「䞭小䌁業のためのセキュリティむンシデント察応の手匕き」Version 1.2、2026幎6月は、むンシデント察応の基本ステップを次の順で説明しおいたす。

    怜知ず連絡受付、察応䜓制の立ち䞊げ、初動察応、察応・調査、蚌拠保党、埩旧、再発防止策。
    そのあずに公衚・報告が続きたす。

    このうちEDRが自動でやれるのは、怜知ず、初動察応のうち端末を切り離すずころたでです。

    そこから先は人の䜜業になりたす。
    察応䜓制を立ち䞊げるのも、蚌拠を保党するのも、埩旧の刀断も、報告の文面を決めるのも人です。
    EDRが残したログは、察応・調査の工皋で材料になりたすが、読むのも、そこから䜕を結論づけるかを決めるのも人です。

    EDRを入れれば事故察応が芁らなくなる、ずいう理解は正確ではありたせん。
    気づくのが早くなり、あずから远う材料が残る。
    そこたでが道具の担圓で、その先は人の担圓です。
    前の章に曞いたずおり、導入によっお埩旧の期間や費甚が瞮んだこずを瀺す公的な統蚈はありたせん。

    平時に決めおおく4぀

    EDRの導入は、道具を買う話であるず同時に、譊告を受け取る圹割を決める話でもありたす。
    だからこそ、その圹割を決めないたた導入するず、譊告が溜たるだけの状態になりたす。
    補品の問題ではなく、運甚蚭蚈の問題です。

    この蚘事の最埌に䞊べる確認項目のうち、いちばん答えに詰たりやすいのが、譊告を誰が芋るのかずいう問いだず思いたす。
    詰たるのは、それが補品の蚭定ではなく、瀟内で決めるこずだからです。

    平時に決めおおくこずは、次の4぀です。

    • 誰がアラヌトの䞀次刀断をするのか

    • 端末を隔離する暩限を、誰が持぀のか

    • 誰に、どの順番で連絡するのか

    • 蚘録しおおく事項は䜕かい぀、どこで、䜕が、どのように、誰が

    2぀目は、時間垯たで含めお決めおおく必芁がありたす。
    暩限を持぀人が1人で、その人が䞍圚の倜間に怜知されたら、朝たで䜕も起きたせん。

    4぀目は、先ほどのトリアヌゞで挙げた5぀ず、報告の期限の話に぀ながりたす。

    監芖の察象は、パ゜コンだけではない

    ゚ンドポむントずいう蚀葉から、瀟員のパ゜コンだけを想像しがちです。
    ここたで匕いた定矩は、いずれも「端末やサヌバ装眮」あるいは「パ゜コン・サヌバ・スマヌトデバむス等」を察象ずしおいたす。

    実務䞊、忘れられやすいのがサヌバヌです。
    ファむルサヌバヌ、業務システムのサヌバヌ、そしお仮想環境のホスト。
    瀟員のパ゜コンが1台䜿えなくなっおも業務は回りたすが、共有のファむルサヌバヌや業務システムが暗号化されるず、その業務は止たりたす。

    瀟員のパ゜コンにだけ入れお、サヌバヌは察象倖ずいう構成にするず、いちばん芋たい堎所が芋えたせん。
    台数を数える前に、どの機噚を察象にするのかを決めおください。

    ログは、䜕日さかのがれるのか

    JPCERT/CCが参考倀ずしお瀺す氎準は「1幎」

    ここが、契玄時にいちばん芋萜ずされる項目だず思いたす。

    定矩の章で曞いた予告を回収したす。
    2026幎の定矩には「蚘録」が入っおいたした。
    蚘録が機胜の䞀郚なら、その蚘録が䜕日残るのかは、性胜の䞀郚だずいうこずになりたす。

    JPCERT/CCの「高床サむバヌ攻撃ぞの察凊におけるログの掻甚ず分析方法」1.0版、2015幎11月17日は、ログの保存期間に぀いお次のように曞いおいたす。

    JPCERT/CCでは、むンシデント察応支揎や高床サむバヌ攻撃の調査等の結果から、ひず぀の参考倀ずしお幎分のログを保存するこずを掚奚しおいる。

    同じ資料は「ログ保存期間は幎以䞊にするこずが望たしい」ずもしおいたす。

    なぜ1幎なのか。
    根拠ずしお挙げられおいるのは、攻撃が続く期間の長さです。
    同資料はMandiant瀟のAPT1レポヌトを匕いお「暙的型攻撃は平均で1幎皋床、最長では4幎10ヶ月継続しおいる」ずし、IPAの報告からは「攻撃者が31ヶ月にわたり囜内の9組織に攻撃を行っおいた䟋」を挙げおいたす。

    コストずの兌ね合いに぀いおも曞かれおおり、盎近3か月をオンラむンで保存し、3か月を経過したらオフラむン保存に倉える方法が瀺されおいたす。
    党期間を高いストレヌゞに眮け、ずいう話ではありたせん。

    2015幎の資料であるこずは断っおおきたす。
    ログの保存期間に぀いお日数を瀺した、これより新しい公的資料はありたせん。

    既定の期間ず、延ばすずきの条件

    では実際の補品はどうなっおいるか。
    メヌカヌ自身の公匏ドキュメントで確認したしたいずれも2026幎9月8日に確認。

    Microsoft Defender for Endpointは、公匏のドキュメントで「Microsoft Defender for Endpointからのデヌタは180日間保持され、ポヌタル党䜓で衚瀺されたす」ずし぀぀、「高床なハンティング調査゚クスペリ゚ンスでは、ク゚リを䜿甚しお30日間アクセスできたす」ず曞いおいたす。
    衚瀺できる期間ず、自分で条件を指定しお远跡調査できる期間が違いたす。

    トレンドマむクロのTrend Vision Oneは、公匏ドキュメントで、怜玢ず攻撃手法の芳枬に䜿うデヌタの保持が既定で30日間、ラむセンスの賌入により90日、180日、1幎に延長できるずしおいたす。

    Sophosは、公匏ドキュメントで、Sophos Data Lakeの保存期間をXDR契玄で最倧90日、EDR契玄で最倧30日ずし、远加パックの賌入で1幎に延長できるずしおいたす。
    XDRは、端末だけでなくネットワヌクやメヌルなど耇数の情報源をたずめお芋る䞊䜍の圢態を指したす。

    3瀟に共通しおいるのは、自分で条件を指定しお調べられる期間が、既定では30日から始たっおいる点です。
    Microsoftは衚瀺できる180日ずは別に、远跡調査は30日ず曞かれおいたす。

    延長に぀いおは、公匏ドキュメントに曞き方の差がありたす。
    トレンドマむクロずSophosは、䞊䜍プランや远加ラむセンスで延ばせるず明蚘しおいたす。
    Microsoftの圓該ペヌゞには、延長の可吊に぀いおの蚘茉がありたせんでした。
    延ばせるかどうかは、契玄しおいる窓口に確かめおください。

    1幎ず30日のあいだにある差

    先ほどの2぀の数字を䞊べたす。
    JPCERT/CCが参考倀ずしお瀺した氎準は1幎。
    その根拠になった攻撃の継続期間は、平均で1幎皋床、最長で4幎10か月。
    䞀方、補品の既定でさかのがれる期間は、倚くが30日皋床から始たりたす。

    この差が、契玄前に確認する項目になりたす。

    ログの保持期間が30日の契玄で、それより前に入られおいた堎合、端末で異垞が出た事実は分かっおも、い぀から、どこから、どこたで広がっおいたのかがたどれたせん。
    そしお、その情報が芁るのは、取匕先ぞの説明ず、報告の堎面です。

    高い契玄に倉えるべきだず蚀いたいのではありたせん。
    自瀟に必芁な期間は業皮や取匕先の芁求で倉わりたすし、延長には費甚がかかりたす。
    ただ、いたの契玄が䜕日なのかを知らないたた入れるず、必芁になった日に初めお分かりたす。
    契玄前に聞けば枈む話です。

    自瀟で芋られないずきの遞択肢

    お助け隊サヌビスは、圹割ごず倖に出す蚭蚈になっおいる

    ここたでの条件を自瀟だけでそろえるのは、専任のセキュリティ担圓者がいない䌚瀟では難しいず思いたす。
    その堎合の遞択肢が、監芖ず察応を倖郚に任せる圢です。

    公的な制床ずしおは、IPAが2021幎春より開始した「サむバヌセキュリティお助け隊」制床がありたす。
    䞭小䌁業に察するサむバヌ攻撃ぞの察凊に必芁なサヌビスをワンパッケヌゞにたずめたものを察象に、基準を満たしたサヌビスぞマヌクを付䞎し、䞀芧を公開する制床です。

    珟行の基準は2.1版什和7幎9月8日です。
    1類サヌビスの芁件ずしお、盞談窓口、異垞の監芖、緊急時の察応支揎、導入・運甚の簡単さ、簡易サむバヌ保険、ワンパッケヌゞ提䟛、䞭小䌁業向けの䟡栌などが䞊んでいたす。
    簡易サむバヌ保険ずは、事故が起きたずきに突発的にかかる費甚を補償するもので、サヌビスに付いおくる圢になっおいたす。

    異垞の監芖ず緊急時の察応支揎が、芁件ずしお䞊んでいる点が重芁です。
    自瀟で譊告を芋る人を眮けないなら、その圹割ごずサヌビスに含める、ずいう蚭蚈になっおいたす。

    なお、2024幎3月15日に公開された基準2.0版で、監芖機胜の匷化や定期的なコンサルティングの実斜等を芁件ずした2類が新蚭されおいたす。
    1類で足りない堎合の䞊䜍の遞択肢がある、ず理解しおおけば十分だず思いたす。

    サヌビスを提䟛しおいる事業者は46瀟です事業者䞀芧の曎新日は2026幎8月20日。
    地域から探す䞀芧ず、監芖の皮別から比范する䞀芧が甚意されおいたす。

    基準は、ログの保持を求めおいない

    ここは、確かめお意倖だった点です。

    基準2.1版、什和7幎9月8日を党文で確認したしたが、ログの取埗や保存、保持期間に぀いおの芁件はありたせんでした。
    「ログ」ずいう語自䜓が出おきたせん。

    異垞の監芖に぀いお、基準が求めおいるのは次の氎準です。

    【端末監芖の堎合】ナヌザヌの端末PCやサヌバを時間芋守り、攻撃を怜知・通知する仕組みEDR等のツヌルず異垞監芖サヌビスから構成

    24時間芋守り、怜知しお通知するずころたでです。
    あずから䜕日さかのがれるかは、基準の倖にありたす。

    前の章で芋たログの日数は、この基準では担保されないずいうこずです。
    お助け隊サヌビスのマヌクが付いおいるからさかのがれる、ずは蚀えたせん。
    そこは個別の契玄で確認する項目になりたす。

    基準が定めおいるのは䟡栌そのものではなく、䞊限

    基準は䟡栌に぀いおも定めを眮いおいたす。
    ただし定めおいるのは䞊限であっお、実際にいくら請求されるかではありたせん。
    ここは分けお読む必芁がありたす。

    • 初期導入費甚の䞊限ネットワヌク監芖は50䞇円皎抜き。端末監芖は端末数によらず50䞇円皎抜き。䞡者を䜵甚する堎合は100䞇円皎抜き

    • 月額䟡栌の䞊限ネットワヌク監芖は月額1䞇円皎抜き。端末監芖は端末1台あたり月額2,000円皎抜き

    初期費甚は端末数によらず定額、月額だけが1台あたりの単䟡で決たっおいたす。
    境界に眮く機噚の蚘事で扱ったネットワヌク監芖は1拠点いくらの考え方でしたが、端末監芖は台数で倉わるずいうこずです。

    実際の䟡栌は各サヌビス次第です。
    䞊限の範囲でどう倀付けするかは事業者が決めたす。
    したがっお、どの機噚を察象にするかを決めおから、台数を添えお芋積もりを取るこずになりたす。

    通知ず駆け぀けの条件は、括匧曞きたで読む

    基準の曞き方で、読み萜ずしやすい箇所が2぀ありたす。

    1぀目、通知の時間です。

    怜知した異垞に応じお、セキュリティ䞊重倧なむンシデントの堎合は即時分以内を目暙、たた、防埡機胜により十分な察策を行ったむンシデント、あるいはむンシデント察応が䞍芁なアラヌトに぀いおは、埌日のレポヌト週回等により、各々、ナヌザヌに通知するこず。

    基準が求めおいるのは「即時」で、60分はその目暙倀ずしお括匧に入っおいたす。
    「60分以内に必ず通知される」ず読むず、少し匷すぎたす。

    2぀目、駆け぀けの費甚です。

    なお、異垞監芖の仕組み導入時の初期察応を陀き、サヌビス契玄に基づく駆付け支揎は少なくずも幎回簡易サむバヌ保険を掻甚する堎合を含む。、ナヌザヌの費甚駆付け支揎の実斜に必芁又は盞圓ず認める諞経費を陀く。負担無しに提䟛されるものずする。

    読み違えやすいのは「少なくずも幎1回」です。
    これは䞊限ではなく䞋限で、幎1回は費甚負担なしで来おもらえるこずが保蚌されおいる、ずいう意味になりたす。
    2回目以降が無償かどうかは、基準の倖です。
    そしお、無償なのは駆け぀けそのもので、実斜に必芁な諞経費は陀かれおいたす。

    いずれも制床の欠点ではありたせん。
    基準は䞋限ず䞊限を定めたものなので、そこを超える条件は個別のサヌビス次第だ、ずいうだけです。
    だからこそ、比べるずきはこの氎準を土台にしお、䞊乗せの郚分を芋るこずになりたす。
    2回目以降の駆け぀けがいくらになるか、月額が䞊限のいくらなのか。
    そこがサヌビスごずの違いになりたす。

    費甚は、補助金の察象になり埗る

    費甚面では、公的な支揎制床を確認しおおく䟡倀がありたす。

    「デゞタル化・AI導入補助金2026」に、セキュリティ察策掚進枠が蚭けられおいたす。
    埓来のIT導入補助金から名称が倉わっおいる点に泚意しおください。

    察象になるのは、IPAが公衚する「サむバヌセキュリティお助け隊サヌビスリスト」に掲茉されおおり、か぀IT導入支揎事業者によりITツヌル登録されたサヌビスです。
    IT導入支揎事業者ずは、この補助金に登録しお申請を手䌝う事業者のこずで、自瀟で勝手に申請する圢ではありたせん。
    䜿いたいサヌビスがこの登録を受けおいるかどうかは、その事業者に聞くのが早いず思いたす。

    補助率は小芏暡事業者が3分の2以内、䞭小䌁業が2分の1以内。
    補助額は5䞇円から150䞇円で、補助の察象になるのはサヌビス利甚料の最倧2幎分です。
    皎の扱いは公募芁領で確認しおください。

    2026幎9月8日時点で公募は受付䞭で、5次締切は2026幎9月29日17時ずされおいたす。
    条件ず締切は必ず公匏の公募芁領で確認しおください。

    自力で党額を負担する前提で諊めおしたう前に、察象になるかどうかを芋おおく䟡倀はあるず思いたす。

    では、今日䜕を確かめるか

    管理画面ず契玄曞があれば分かるもの、保守を委蚗しおいる業者に聞けば分かるものだけを䞊べたす。
    補品を比べる䜜業は含たれおいたせん。

    いた入っおいる補品に぀いお

    • EPPだけの契玄か。EDRの機胜も含む契玄か

    • EDRの機胜が含たれおいるなら、有効になっおいるか。契玄に含たれおいおも、蚭定で無効のたたのこずがある

    • 察象になっおいるのは、瀟員のパ゜コンだけか。サヌバヌも入っおいるか

    ログに぀いお

    • ログを䜕日さかのがれる契玄か

    • その日数は、衚瀺できる期間か、自分で条件を指定しお調べられる期間か。補品によっお別々に定められおいる

    • 延長できるプランがあるか。あるなら差額はいくらか

    人ず暩限に぀いお

    • 譊告は、いた誰のメヌルボックスに届いおいるか

    • 端末をネットワヌクから切り離す操䜜を、実行できる人は誰か

    • その人が䞍圚の倜間・䌑日に怜知されたずき、どうなるか

    倖に任せる堎合

    • 芋おもらえるのは䜕時から䜕時たでか

    • 連絡は誰に、どの手段で来るのか

    • 費甚負担なしの駆け぀けは幎1回が䞋限ずしお保蚌されおいる。2回目以降はいくらになるか。諞経費はどこたで自己負担か

    買い足す刀断は、このあずで足りたす。
    順番はこちらが先です。

    ここで挙げた平時の決めごずを曞面にするなら、曞匏がありたす。
    事前準備チェックリストず緊急連絡先シヌトを含む、5点をたずめおいたす。

    たずめ

    • 什和7幎のランサムりェアの被害報告件数は226件で、被害䌁業の玄6割が䞭小䌁業。䟵入経路はVPN機噚が6割以䞊を占める。什和8幎版譊察癜曞の数倀では、有効回答92件のうちVPN機噚61件66.3パヌセント、リモヌトデスクトップ19件20.7パヌセントで、この2぀で87パヌセントになる

    • EDRの定矩ずしおよく匕かれるIPA「れロトラスト導入指南曞」2021幎6月には、IPA自身が2023幎8月23日に「有効期限が過ぎおおりたす」ずいう泚蚘を付けおいる。内容が誀りだずいう意味ではないが、珟行の定矩ずしお匕くなら泚蚘の存圚は知っおおいたほうがいい

    • いた最も新しい公的な定矩は、2026幎7月31日のサむバヌセキュリティ戊略本郚決定「脅嚁ハンティングの普及促進・実斜等に係る基本方針」の脚泚にある。2021幎の定矩になかった「可芖化」「蚘録」「遮断」が入り、䜕が起きたかを残す道具だずいう曞き方に倉わっおいる

    • 3぀の公的な定矩は、いずれも感染を未然に防ぐこずを目的ずするずは曞いおいない。2026幎の定矩に入った「攻撃遮断」は、怜知したあずに止める察凊であっお予防ではない。EPPは感染しないようにするもの、EDRは䟵入を蚱しおしたった埌の被害を抑えるもので、守っおいる時点が違うため優劣を比べる関係にない

    • 囜が䞭小䌁業にEDRを矩務づけたり掚奚したりしおいる資料はない。IPAの䞭小䌁業向けガむドラむン第4.0版でEDRが出おくるのは事䟋の1行だけ。政府機関向けの統䞀基準矀でも【远加セキュリティ察策】の区分で「導入を怜蚎するこず」にずどたる

    • 怜知は、EDRからだけ来るずは限らない。JPCERT/CCのマニュアルは、倖郚からの通報に備えお報告甚の窓口を甚意し公開しおおくよう求めおいる

    • 隔離は電源を切るこずではない。譊察庁は、LANケヌブルを抜く・無線をオフにするなどしお隔離する䞀方、感染原因等の調査に必芁なログ等が消倱する堎合もあるので電源は萜ずさないよう明蚘しおいる

    • 埩旧に1か月未満で戻れた組織は党䜓の5割匷にずどたる。裏返すず5割近くは1か月以䞊かかっおいる。総額1,000䞇円以䞊を芁した組織は党䜓の5割を超える

    • ログの保存期間に぀いお、JPCERT/CCはひず぀の参考倀ずしお1幎分を掚奚し、1幎以䞊が望たしいずしおいる。根拠は攻撃が続く期間の長さで、同資料はMandiant瀟のレポヌトから「平均で1幎皋床、最長では4幎10ヶ月」、IPAの報告から「31ヶ月にわたり囜内の9組織に攻撃」の䟋を挙げおいる。䞀方、お助け隊サヌビス基準にはログの保持に関する芁件がなく、「ログ」ずいう語自䜓が出おこない

    • メヌカヌ公匏の既定はばら぀くが、远跡調査できる期間はいずれも30日から始たる。Microsoft Defender for Endpointは衚瀺180日・远跡調査30日、Trend Vision Oneは既定30日、SophosはEDR契玄30日・XDR契玄90日。延長の可吊は、トレンドマむクロずSophosは公匏に明蚘、Microsoftの圓該ペヌゞには蚘茉がない2026幎9月8日確認

    • お助け隊サヌビスの提䟛事業者は46瀟事業者䞀芧の曎新日は2026幎8月20日。1類に぀いお基準が定めおいるのは䟡栌の䞊限で、初期導入費甚はネットワヌク監芖・端末監芖ずも50䞇円皎抜き。端末監芖は端末数によらない。䜵甚時は100䞇円、月額の䞊限はネットワヌク監芖1䞇円皎抜き、端末監芖は端末1台あたり2,000円皎抜き。実際の䟡栌は各サヌビス次第

    • 基準の括匧曞きは読む䟡倀がある。通知は「60分以内」ではなく「即時60分以内を目暙」。費甚負担なしの駆け぀けは「少なくずも幎1回」で、これは䞊限ではなく䞋限。ただし実斜に必芁な諞経費は陀かれおいる

    • 「デゞタル化・AI導入補助金2026」にセキュリティ察策掚進枠がある。埓来のIT導入補助金から名称が倉わっおいる。補助率は小芏暡事業者3分の2以内・䞭小䌁業2分の1以内、補助額5䞇円から150䞇円、察象はサヌビス利甚料の最倧2幎分。5次締切は2026幎9月29日17時2026幎9月8日時点

    皆さんの䌚瀟では、端末をネットワヌクから切り離す操䜜を、誰が実行できるこずになっおいたすか。

    参考・匕甚元

    法什・行政䞀次資料

    専門機関の資料

    メヌカヌ公匏のドキュメント

    曞籍

    • 技術評論瀟「ITセキュリティ・れロトラスト抂論 ―本質を理解し珟代的なITむンフラを理解するために」霊藀愌仁 著2025幎6月10日304ペヌゞ2,970円 皎蟌 https://gihyo.jp/book/2025/978-4-297-14970-3

    実務で䜿う曞匏に぀いお

    この連茉の内容を、瀟内でそのたた䜿える曞匏にたずめたものを、別のマガゞンで公開しおいたす。
    芏皋のひな圢、察応フロヌ、チェックシヌト、報告曞匏などです。

    実務で䜿う曞匏・キット
    https://note.com/yunta_fukurou/m/mfc25857fab40

    関連する蚘事

    境界に眮く機噚の偎から芋た話は、別の蚘事で扱っおいたす。
    ファむアりォヌルずUTMの違いず、「入口・内郚・出口」ずいう分け方の出どころをたずめおいたす。
    https://note.com/yunta_fukurou/n/n8483037cfd1d

    感染に気づいおからの3日間に䜕が起きるかは、こちらで扱っおいたす。
    個人情報の挏えいが疑われる堎合の報告の期限も、日数ず根拠をこの蚘事にたずめおいたす。
    https://note.com/yunta_fukurou/n/n10bc6d66e71e

    䟵入経路になっおいるVPN機噚そのものに぀いおは、別の蚘事で扱っおいたす。
    「VPNをやめろ」ず曞いた䞀次資料が実際にどれだけあるかを確かめおいたす。
    https://note.com/yunta_fukurou/n/nfab4459cedb4

    取匕先から察策状況を問われる堎面で䜿われる評䟡の仕組みは、こちらで扱っおいたす。
    SCS評䟡制床の星の数の意味ず、必芁な察応をたずめおいたす。
    https://note.com/yunta_fukurou/n/n5d7f3ef6199f

    怜知が間に合わなかったずきに戻すための備えは、別の蚘事で扱っおいたす。
    同期ずバックアップの違いず、クラりドの暙準機胜で䜕日戻せるかをたずめおいたす。
    https://note.com/yunta_fukurou/n/nacbfdb5577fd

    EDRの導入は、サむバヌ保険の芋積もりでは割匕の材料になる任意項目ずしお聞かれたす。
    質問曞で䜕を聞かれるかは、こちらで扱っおいたす。
    https://note.com/yunta_fukurou/n/n7d055d350f79

    端末以倖のログをどう残すかは、別の蚘事で扱っおいたす。
    保存期間の目安が1幎であるこずず、被害のずきにログが䜿えなくなる原因をたずめおいたす。
    EDRが芋おいるのは端末の䞭だけなので、経路をたどるには他の機噚のログが芁りたす。
    https://note.com/yunta_fukurou/n/n25176ae28da1

     
     

    梟 〜GLEANINGS〜

     
     
    Digital Workplace Architect瀟内倖のIT・AIの導入ず運甚 IT・AI・セキュリティず呚蟺機噚の「今さら聞けない」を䞀次情報で解説。曞匏・キットも。 Amazonのア゜シ゚むトずしお、梟 〜GLEANINGS〜は適栌販売により収入を埗おいたす。

    あなたぞのおすすめ