27秒。これは、攻撃者がエンドポイントに侵入し、ネットワーク内を横方向に移動を開始するまでの記録上最速のタイムです。2025年の全攻撃の平均時間は29分で、前年比65%の速度向上となりました。この時間枠のどこかで、純粋な予防ツールは、気づいているかどうかに関わらず、既に競争に敗れているのです。これがEDRとEPPの議論の核心であり、もはや理論上の話ではありません。
EDRとEPP：それぞれの実際の機能とは？
EPP（Endpoint Protection プラットフォームは、この話の悪者ではありません。シグネチャマッチング、機械学習によるファイルスキャン、サンドボックス、ファイアウォール、デバイス制御など、これは、市販のマルウェアの圧倒的大多数を静かに阻止するレイヤーです。 フィッシングペイロードそして、ランサムウェアが実行される前に検知します。あらゆる本格的なセキュリティ対策には、依然としてこの機能が必要です。
しかし、 EDRとEPPの比較において、「既知の脅威のほとんどを初期段階で阻止する」という謳い文句は、「あらゆる脅威を捕捉する」という謳い文句とは全く異なるものでした。2025年に最も深刻な被害をもたらす攻撃は、まさにこのギャップに潜んでいたのです。
問題点：予防には限界がある
いくつかの数字を見れば、どんなプレゼンテーション資料よりも説得力があることがわかるでしょう。
- 2025年に検出された事例の82%は、マルウェアとは全く関係がなかった。 攻撃者は盗んだ有効な認証情報を使って、まるで従業員であるかのように簡単にログインした。スキャンするファイルも、照合する署名も存在しない。
- ゼロデイ攻撃は前年比42％増加つまり、攻撃の大部分は、定義上、初日からシグネチャベースの防御では検知できないものになっているということだ。
- ブレイクアウトまでの平均時間は現在29分です。 それは、「攻撃者が足がかりを得た」時点から「攻撃者が次のマシンに移動する」時点までの全期間を指します。
- 組織が情報漏洩を特定し封じ込めるまでには、依然として平均241日かかる。 ―これは過去9年間で最高の数字であり、ほぼ1年間の最高記録でもある。
- 200日以上続く情報漏洩の平均コストは5.49万ドルであるのに対し、早期に発見された場合は3.61万ドルにとどまる。 ― 約2万ドルの変動は、完全に可視性と対応速度によってもたらされた。
これらの統計を総合すると、 EDRとEPPのギャップの本質が明らかになります。それは、侵入者が侵入防止をすり抜け、静かに潜伏し、横方向に移動しながら、何週間も気づかれないうちに被害を与え続けるというものです。EPPは、そのような侵入を検知するために設計されたものではありません。ドアが開くのを阻止するために設計されたものであり、既に内部を歩き回っている人物を検知するためのものではないのです。
EPPギャップが実際の事件として現れる場所
ファイルレス攻撃とは、ファイルを一切ドロップしない攻撃手法です。PowerShell、WMI、正規の管理ツールといった既存のシステム上で動作する手法を用い、マシン上で既に信頼されているソフトウェアを使用して完全にメモリ上で実行されます。シグネチャベースのウイルス対策ソフトが検出する要素は一切ありません。
内部関係者による不正アクセス、あるいは盗まれたというよりは借りられた認証情報。現在ではIDベースのアクセスが主要な侵入経路となっているため、「攻撃者」はしばしば本物の従業員と全く同じように認証を行う。これを検知する唯一の方法は、ログイン後のアカウントの動作を分析することである。
エンドポイントを完全にスキップするランサムウェア。高度なランサムウェア攻撃グループは、ユーザーのエンドポイントよりも監視機能が少ない仮想化レイヤー（ESXiなど）に直接攻撃を仕掛けるケースが増えている。
29分問題。EPPが何らかの異常を検知しても、その時間帯に自動的な封じ込めが行われなければ、人間が確認する頃には攻撃者はすでにネットワークの3ホップ奥深くまで侵入している。
証拠の痕跡が全くない捜査。EPPログにはファイルがブロックされたことしか記録されていない。プロセスツリーやタイムライン、関連するインシデントなどは示されない。
EDRとEPP：EDRが埋めるギャップとは
Endpoint Detection and Response これは予防に取って代わるものではなく、予防に欠けていた後半部分、つまりエンドポイントで発生しているすべての事象を継続的に可視化し、迅速に調査・対応するためのツールを追加するものです。どちらか一方を選ぶのではなく、予防と検出はそれぞれ異なる問題を解決するという認識を持つことが重要なのです。
Seqrite EDRはその後半部分を中心に構築されている。 上記のギャップに直接対応する機能の例をいくつか挙げます。
- イベントとアラートの完全なテレメトリ生の、より詳細なデータがサーバーにストリーミング配信され、単なる薄いアラートではなく、捜査官が実際に何が起こったのかを再構築できるようにする。
- イベントやアラート全体にわたる脅威ハンティング、最大7日間の検索可能な履歴データそのため、セキュリティチームは、何らかの大きな問題が発生するのを待つのではなく、静かでファイルを使用しない侵入を積極的に追跡することができる。
- エンドポイントから直接リアルタイムでデータを収集するライブクエリまさに29分というブレイクアウトタイムが要求するような、数分が重要な局面を締めくくる形となった。
- インシデント相関とプロセスツリー可視化機能を備えた調査ワークベンチバラバラのアラートを、タイムライン付きの1つのインシデントに統合します。
- 相関エンジンと MITRE ATT&CK マッピングキルチェーン全体にわたる微弱な信号を、単一の機密脅威として結びつける。
- リモートフォレンジックスクリプト 疑わしい端末について、担当者が機械にたどり着くのを待つことなく、トリアージや証拠収集を行う。
- 自動修復 —隔離、殺滅プロセス、復旧により、封じ込めが29分時点で人間が覚醒しているかどうかに依存しないようにする。
- カスタムルールの作成とMISP脅威インテリジェンスの統合これにより、各チームがそれぞれの環境に合わせて検出機能を調整できるようになります。
EDR対EPP：判決
EPPは「我々はそれを阻止できたか？」という問いに答える。EDRは「阻止できなかった場合、我々はそれを認識しているか、そして拡散する前に対応できるか？」という問いに答える。脅威の発生が30分以内に起こり、侵害の発見に数ヶ月かかるような状況において、最初の問いにしか答えられないエンドポイント戦略は、片目を閉じたまま運用しているようなものだ。
その EDR 対 EPP 問題はどちらを残すかではなく、両者の差をどれだけ早く縮められるかだ。 Seqrite EDRは、お客様が既に信頼されている予防策の上に、完全な可視性、迅速な調査、自動対応を直接重ね合わせることで、第二の目となるように設計されています。
に話す Seqrite EPPのみからEPP + EDRへの移行について ― 完全に入れ替えるのではなく、最初の30分以降に何が起こるかを実際に把握できる、欠けていた守備陣の半分を補う存在として。
