EDRとアンチウイルスの比較

従来のアンチウイルス（AV）と最新のEDRはいずれもエンドポイントを保護しますが、仕組みは異なります。

この違いを理解すると、なぜEDRが必要になったのかが分かります。

従来のアンチウイルスは、既知のマルウェアの指紋であるシグネチャに依存しています。

ファイルをスキャンしてデータベースと照合し、一致すると、そのファイルをブロックまたは削除します。

シグネチャで検知できるのは、すでに知られているマルウェアだけです。

攻撃者はコードを少し変更して、どのシグネチャにも一致しない新しい亜種を作り、アンチウイルスだけの防御をすり抜けます。

最近の攻撃の中には、悪意のあるファイルをディスクに一度も書き込まないものがあります。メモリ上で活動したり、PowerShellのような組み込みツールを悪用したりします。

スキャンするファイルがないため、従来のアンチウイルスには検知する対象がありません。

EDRはシステム全体にわたる振る舞いとコンテキストを監視します。

プロセスチェーン、ネットワーク通信、ファイルの変更を記録し、既知のシグネチャがなくても疑わしいパターンを検知します。

アンチウイルスの主な役割は防止、つまり既知の不正なファイルをブロックすることです。

EDRは検知と対応を追加します。つまり、一部の脅威は侵入するという前提に立ち、それらを発見して阻止するためのツールを提供します。

アンチウイルスは通常、何かをブロックしたことだけを報告します。

EDRは詳細なタイムラインを保持するため、アナリストは攻撃がどのように始まり、何に影響を与え、どこまで拡大したのかを確認できます。

アンチウイルスはファイルを隔離できます。EDRでは、それ以上のことが可能です。

• ホストを隔離する
• プロセスを停止する
• すべてのエンドポイントを横断して脅威ハンティングを行う
• 変更をロールバックする

アンチウイルスはほとんどの場合、自律的に動作します。一方、EDRは調査に熟練した人材を必要とするアラートを生成します。

EDRは強力ですが、検知した内容に対応するセキュリティチーム、またはマネージドサービスが必要です。

EDRはアンチウイルスを完全に置き換えるものではありません。現在の多くのプラットフォームは、両方を組み合わせています。

アンチウイルスが既知の脅威を迅速にブロックする一方で、EDRは高度な脅威や未知の脅威を検知します。これが多層防御です。

小規模な個人利用であれば、優れたアンチウイルスで十分な場合があります。

標的型攻撃に直面する組織では、EDRが提供する可視性、未知の脅威の検知、対応ツールのメリットを得られます。

EDRとアンチウイルスの違いについての理解を確認しましょう。

アプローチを比較すると、次のようになります。

• アンチウイルス - シグネチャベースで既知の脅威を防止
• EDR - 振る舞いの検知、可視性、対応

両者を多層防御戦略の一部として組み合わせることで、最も強固な防御を実現できます。