EDR / XDR / MDR

EDR・XDR・MDRは、サイバー攻撃の検知と対応を支える仕組みです。EDRは端末、XDRは複数の領域を対象とし、MDRは専門の事業者が監視と対応を代行するサービスです。

■ 試験で押さえるポイント

• EDRは、端末の上のプロセスやファイル、通信を記録し、不審な動きの調査や端末の隔離を行います。

• XDRは、端末、メール、ネットワーク、クラウドなどの情報を関連付けて、攻撃の流れを見つけます。

• MDRは製品ではなく、専門の事業者による運用のサービスです。

■ 過去問での着眼点

MDRを契約しても、最終的な責任は組織に残ります。対応の権限と責任の分担を決めておきます。

例: 端末で不審なスクリプトが動いたことをEDRが検知し、MDRの事業者が分析して端末の隔離を支援します。

■ 観測情報・隔離と運用責任

• EDRでは親子プロセス、実行コマンド、ファイル、利用者、接続先を時系列でつなぐ。端末名や利用者名だけでなく、端末ID・プロセスID・時刻の対応を確認する。

• XDRが相関できるのは連携して収集した情報源である。NDRは通信の観測、EPP・NGAVは端末の脅威防止などを担うが、製品名だけで全端末・全経路を保護できるとは判断しない。

• エージェントの停止、収集設定、除外、保持期間があれば観測が欠ける。隔離後も永続化、別端末への横展開、資格情報・トークンの漏えいを調査し、再接続条件を決める。

• MDRには監視時間、通知先、隔離の承認権限、証拠保全、復旧支援の範囲を定める。外部事業者へ任せても、組織による業務影響の判断や最終責任は残る。