なぜEDRを入れても大規模サイバー攻撃被害を防げないのか？低アラートに潜む組織の運用課題を洗いだせ

大規模インシデントから学ぶ、EDRを生かすための運用と基本対策

　2025年9月、アサヒグループホールディングスはランサムウェア攻撃を受け、国内グループ各社で受注・出荷システムが停止した。商品供給は手作業を交えて継続されたものの、物流業務の正常化には時間を要し、サイバー攻撃が事業継続に与える影響の大きさを改めて示す事例となった。

　同社は調査の結果、外部の攻撃者がグループ内拠点のネットワーク機器を経由して侵入し、複数のサーバーや一部PC端末が暗号化されたことを公表している。また、EDRを導入していたものの、攻撃が高度かつ巧妙で検知できなかった趣旨も説明した。

　もっとも、公表情報だけから攻撃者がEDRをどのように回避・無効化したのか、設定や運用のどこに課題があったのか断定はできない。一般的に攻撃者は、脆弱性の悪用、認証情報の窃取、設定不備などを組み合わせて侵入・活動を広げる。EDRは重要な防御策だが、導入するだけですべての侵害を検知・阻止できるわけではない。侵入経路、ネットワーク構成、特権管理、脆弱性対応、検知後の体制を含む対策が、被害の範囲を左右する。

　クラウドネイティブ社の吉田浩和氏は、「EDRを入れた、あるいは運用をどこかに任せたから解決という、解像度の低い関わり方では見えてこない課題がある」と指摘する。アラートを誰が確認し、どういった基準で優先順位を付け、端末隔離や追加調査、復旧を誰がどの時間軸で実行するか、平時から定めることが重要だ。MDR（Managed Detection and Response）やSOC（Security Operations Center）サービスを利用する場合も、委託先との責任分界、エスカレーション条件、顧客側の意思決定者を明確にしなければ、迅速な対応にはつながりにくい。

　EDRの効果を引き出すには、攻撃表面を明らかにして減らしていく基本対策も欠かせない。不要な通信を遮断するファイアウォール設定、最小権限を徹底する特権管理、IT資産の把握、脆弱性管理、更新プログラムの計画的な適用が重要である。EDRはこれらに代わるものではなく、異常の検知から調査、封じ込め、復旧を支える仕組みだ。

　「一言で言えば、当たり前のことを当たり前にやっていれば、攻撃者ができることは実はそれほど多くない」と吉田氏は語る。新たなツールの導入と並行して、脆弱性管理、パッチ適用、特権管理、通信制御、検知後の対応といった「やるべき基本」を着実に実行することが、EDRを含むセキュリティ投資の効果を最大化できるのだ。