EDRが入ってるのに被害が止まらない理由｜“導入しただけ”では守れない現実

「EDRを入れているのに被害が出た」
これは今や珍しい話ではありません。

EDRは強力です。しかしEDRは“魔法の盾”ではなく、運用されて初めて武器になる仕組みです。
この記事では、EDRが入っていても被害が止まらない理由を、現場目線で整理します。

まず前提：EDRは“検知と対応の仕組み”であって“侵入防止”ではない

EDRは Endpoint Detection and Response の略で、端末上の挙動を監視し、怪しい活動を検知し、隔離などの対応を行う仕組みです。

ここで重要なのは、EDRは基本的に「侵入を完全に防ぐ」ものではなく、侵入された後の被害拡大を止める思想であることです。

つまり、侵入が起きたこと自体が失敗なのではなく、侵入後に止められなかったことが問題になります。

EDRの最大の敵は攻撃者ではなく、アラート疲れです。

EDRは「検知」しただけでは意味がありません。
検知→判断→隔離（止血）までが繋がって初めて守れます。

よくあるのが、EDRを導入したものの、

つまりEDRは入っているが、止血スイッチが押せない状態です。

これは“機能不足”ではなく“設計不足”です。
隔離の判断基準（どのレベルなら隔離するか）を運用ルールに落とさないと、EDRは置物になります。

EDRが得意なのは端末上の挙動です。
しかし現代の攻撃は「端末だけ」で完結しません。

これらは端末に痕跡が薄い場合があり、EDR単体では追いにくいことがあります。
つまり「EDRの外側」で被害が進むことがある、ということです。

EDRの効果を最大化するには、認証ログやメール監査ログと組み合わせて「横から見る」必要があります。

EDRが検知しても、次の問いに答えられないと封じ込めが遅れます。

資産管理（台帳）やログ基盤が弱いと、EDRのアラートが“単発のイベント”になり、全体像が掴めません。

最近の攻撃は速いです。
検知から数十分で横展開や権限奪取が進むケースもあります。

EDRが検知しても「翌営業日に確認」では、攻撃者に自由時間を与えます。
ここで必要なのは、EDRそのものよりも24/7の監視体制やSOC連携です。

最後に、EDRの効果が出る会社が必ず押さえているポイントを整理します。

EDRが入っていても被害が止まらない理由は、製品が弱いからではなく、止める仕組みが組織にないからです。

EDRは検知できます。隔離もできます。証拠も取れます。
でも、最終的に止めるのは「運用と意思決定」です。

今日からできる最初の一歩は、EDRアラートに対する“隔離基準”を決めることです。
それだけで、次のインシデントで止められる確率が大きく上がります。