EDR（Endpoint Detection and Response）は、端末の脅威を検知し、調査と対処につなげる仕組みです。Microsoft Defender for Endpointでは、プロセスや通信などの情報を収集し、関連するアラートをまとめて調査できます。Microsoft公式のEDR概要
導入を検討する際は、誰が通知を受け、誰が調査し、誰の判断で端末を隔離するかまで決めましょう。本記事では、企業のIT担当者が使える役割分担案を示します。製品仕様はMicrosoft公式資料に基づき、担当表・判断表・委託確認・演習などの運用設計は編集上の提案です。組織の業務と対応体制に合わせて調整してください。
EDRを選ぶ前に、検知後の仕事を分ける
まず「検知されたらセキュリティ担当が対応する」という決め方を、具体的な作業に分解します。役割名には、実際の部署・担当者・委託先と代理担当を当てはめてください。小規模な組織では兼務しても構いませんが、判断と操作の責任は明記します。
| 作業 | 主担当の例 | 決めておくこと | 残す記録 |
|---|---|---|---|
| 通知の受領・一次確認 | 社内ITの当番、監視委託先 | 監視時間、受領確認、未応答時の連絡先 | 検知時刻、端末ID、受付時刻 |
| 調査・影響範囲の整理 | セキュリティ担当、調査委託先 | 調べる範囲、追加調査の依頼先 | 観測事実、仮説、未確認事項 |
| 隔離の判断 | 対応責任者 | 緊急時の事前承認条件、代理判断者 | 判断理由、承認者、対象端末 |
| 隔離の実行・結果確認 | 操作権限を持つ運用担当 | 対象確認、失敗時の連絡・代替対応 | 実行者、操作時刻、実行結果 |
| 業務への連絡 | 社内IT、業務責任者 | 利用者への案内、代替端末・業務の扱い | 連絡先、影響、次回報告予定 |
| 復旧・隔離解除 | 対応責任者と業務責任者、運用担当 | 解除の判断材料、承認、解除後の監視 | 残る懸念、解除理由、業務確認結果 |
特に、調査担当が「隔離した方がよい」と伝えた後の受け手を明確にします。調査、隔離の承認、管理画面での操作を別の組織が担うなら、その間の連絡方法まで一つの手順にまとめましょう。
調査では事実と仮説を分けて受け渡す
調査担当から判断者への報告には、端末の識別情報、利用者、検知時刻、観測された動作、関連端末、業務用途を入れます。「感染確定」といった結論だけでなく、何を観測し、何が未確認かを分けてください。
たとえば、次のような記入枠を用意します。
- 観測した事実：製品に表示された動作、対象、時刻、根拠への参照
- 調査上の仮説：疑っている侵入経路や影響範囲、その理由
- 未確認事項：他端末への影響、業務上の正当な操作かどうか
- 判断依頼：隔離などを求める対象と理由、想定する業務影響
Microsoftは、Defender for Endpointが端末の全操作を記録する監査・ログ製品ではないと説明しています。そのため、同製品で記録が見つからないことだけを、影響なしの根拠にしないでください。EDR概要の注意事項
隔離は業務影響と操作権限をセットで決める
製品例として、Defender for Endpointの端末隔離は、通常、同サービスへの接続を保ちながら端末をネットワークから切り離す機能です。ただし、フルトンネルVPN経由の端末では、隔離後にサービスへ到達できなくなるという注意があります。自社の接続構成で、隔離後も管理できるかを事前に検証しましょう。Microsoft公式の端末応答機能
同製品のデバイス隔離は、7日後に自動で解除されます。隔離を続ける必要がある場合に備え、自動解除までに判断する担当と、継続時の手順を決めておきましょう。
隔離条件は、端末の業務用途も含めて設計します。
| 想定する場面 | 導入前に合意する内容 |
|---|---|
| 被害拡大を疑い、緊急対応が必要 | 事前承認で隔離できる条件・対象と、実行後の報告先 |
| 重要業務を担う端末・サーバー | 影響を判断する業務責任者、緊急時の代理判断、代替業務 |
| 正常な操作か判別できない | 追加調査の担当、判断を見直す期限、悪化時の連絡条件 |
| 夜間・休日に承認者と連絡がつかない | 次の連絡先、当番が判断できる範囲、委託先の実行権限 |
| 管理画面から操作できない | ネットワーク担当や現地担当への引き継ぎ先と別の封じ込め手順 |
「隔離を依頼した」と「隔離できた」を分ける
Defender for Endpointでは、隔離操作のロールと対象デバイスへのアクセスが必要です。隔離要求時に端末が非アクティブまたはオフラインの場合、隔離の実行は最大3日間再試行されます。その間に再接続しなければ再試行は終了し、端末がアクティブになった後に管理者が隔離要求を出し直す必要があります。操作の詳細はAction centerで確認できます。端末応答機能の要件・操作記録
運用手順には、対象端末の照合、隔離要求、実行結果の確認、未完了時の連絡をそれぞれ記載しましょう。通知を受ける担当が、実際に対象端末へ操作できるかも演習で確認します。
外部委託では通知・調査・操作の境界を確認する
委託を検討する場合は、契約や提案内容を次の作業単位で確認することを勧めます。「監視を依頼する」という表現だけで、実行担当まで決まった扱いにしないことがポイントです。
| 確認する範囲 | 委託先と合意したい内容 |
|---|---|
| 受付 | 対応時間、通知先、受領確認の方法 |
| 調査 | 一次判定までか、関連端末の調査までか、追加費用の条件 |
| 隔離 | 助言のみか、承認後の実行までか、事前承認の範囲 |
| 権限・対象 | 操作可能な端末群、使用するアカウント、操作記録の保管先 |
| 復旧 | 解除判断に必要な報告、解除操作、業務再開の確認担当 |
社内側には、委託先からの判断依頼を受ける責任者を置きましょう。技術的な調査結果と、業務を止める判断をつなぐ窓口です。当社のインフラ領域の案内はインフラ支援をご覧ください。
導入前に一つの検知シナリオを通してみる
最初の確認は、机上演習で構いません。「夜間に業務用端末で不審な動作を検知し、一次連絡先が応答しない」という仮の状況を用意し、担当表に沿って受領から復旧判断まで進めてみてください。
確認したいのは、誰が次の担当へ何を渡すか、隔離の判断が止まったときに誰へ連絡するか、何をもって対応完了とするかです。その後、承認された検証用端末で、対象OS・契約条件・接続構成に応じた操作と結果確認を試してください。
復旧時も、解除ボタンを押す担当だけでなく、調査結果・実施した対処・残る懸念を確認して解除を認める人を決めておきます。Defender for Endpointでは7日後に自動解除されるため、それまでに解除の可否を判断するか、隔離を続ける場合の手順を定めてください。継続時には、再隔離の要否や実行担当・実行時点を事前に検討しておくことを提案します。重要な例外や事前承認の理由を残す際は、ADRの書き方で紹介している判断記録の考え方も参考になります。
まずは担当表に実名または当番名と連絡先を入れ、空欄になった工程を導入・委託の要件に加えてください。