用語比較
EDRとアンチウイルスの違い｜併用・費用・運用の選び方
一言でいうと
アンチウイルス（AV）はマルウェアの予防・検知・対処を担い、EDRは端末の挙動を使った検知・調査・対応を支える。機能は重なり、別製品を2本購入することが必須という意味ではない。端末の予防機能を維持したうえで、調査・隔離を担当できる体制と契約範囲で選ぶ。
EDRとアンチウイルスは両方必要？予防・検知・調査・隔離の役割を7軸で比較し、現代のAVの挙動検知、併用時の稼働モード、担当者不在時の判断を解説します。端末数と調査時間の仮定計算、導入前の受入条件、無料の初動記録への導線で、情シスの選定と運用設計を支えます。
- 難易度
- 初級
- 想定読者
- 情シス・端末管理者・調達・SOC担当
- 所要時間
- 約12分
- 最終確認
- 2026-10-30
- 1. 現状をそろえる
端末・OS・既存保護・契約と、現在できない調査を明確にする。
- 2. 運用を決める
互換性、通知先、隔離承認、監視時間帯と復旧担当を決める。
- 3. 結果を受け入れる
通常・通知・隔離・復旧の4状態で、期待と実際・未確認を記録する。
アンチウイルス（AV）とは
端末でマルウェアを検知・ブロック・隔離する保護機能。現代の製品にはシグネチャだけでなく、挙動分析や機械学習、クラウドの情報を使うものもあり、既知のファイルだけに限定されない。
EDRとは
Endpoint Detection and Response。端末のイベントや挙動から兆候を検知し、関連イベントの調査や端末隔離などの対応を支える機能。全操作の監査記録や、担当者による24時間の監視を製品名だけで保証するものではない。
違いの比較表
| 比較軸 | アンチウイルス（AV） | EDR |
|---|---|---|
| 役割 | 感染予防とマルウェアへの対処を中心にする | 端末の兆候を調べ、影響範囲の把握と対応を支える |
| 検知 | シグネチャ、挙動、クラウド判定など。実装は製品ごとに異なる | プロセス・通信・利用者などの関連を調査。AVと重なる機能もある |
| 証跡 | 検知・隔離履歴を確認。詳細や保存期間は契約を照合 | タイムライン等を利用。すべての操作が記録されるとは限らない |
| 対応 | ファイルのブロックや隔離。解除の承認と業務影響も確認 | 端末隔離など。プラン、OS、権限、接続状態で実施可否が変わる |
| 併用 | 主にリアルタイム保護を担う製品と稼働モードを確認 | 既存AVとの互換性と必要な依存機能を確認。単純な二重有効化は避ける |
| 担当 | 更新・検知・誤検知・解除を扱う端末管理の担当が必要 | 根拠の調査、隔離の承認、夜間の連絡先と復旧担当が必要 |
| 費用 | 対象端末・サーバー、更新、管理、保守を同条件で比較 | 追加ライセンス、調査時間、保存、監視委託、移行と教育も含める |
導入の前に、アラートを受けた後の運用を確認
アラートID・端末・時刻・実行結果・残件を揃え、調査と隔離を誰が扱うかを確認する。判断表で不足した条件を、次の記録へ引き継げます。
無料のEDR初動確認・引き継ぎ例を開く使い分け
- 予防機能の未導入・更新停止があるなら、その解消と資産把握を優先する。EDR導入を待って既存保護を外さない。
- 管理者端末や重要データを扱う端末で、検知の前後を調査し隔離する必要があるなら、EDRの機能と担当・承認経路を具体的に検討する。
- 調査担当や夜間対応を確保できないなら、導入範囲の段階化と監視委託（MDR等）を比較する。委託先が通知だけか、隔離まで扱うかを契約で分ける。
併用の確認方法：AVを2本とも有効にすればよい？
Microsoft Defender Antivirusの概要資料は、挙動や機械学習による検知も説明している。「AVは既知だけ、未知はEDRだけ」という選び方はしない。AVとEDRの役割を比べ、契約した製品で実際に使える機能を確認する。
Microsoftの互換性資料では、Windowsの種類、他社AV、Defender for Endpointへの登録等によってActive・Passive・Disabledの扱いが変わる。Windows ServerをクライアントOSと同じ自動切り替えだと扱わず、対象OSの公式条件と現在の保護状態を管理担当が照合する。
機能例として、MicrosoftのEDR in block modeはDefender for Endpoint Plan 2の機能で、他社AVを使いDefender AntivirusがPassiveの構成を補う。一方、Passiveでは利用できない予防機能もあり、リアルタイムAVの代わりと考えない。この記事を根拠に保護を停止したり、除外を追加したりしない。
導入前チェック：4状態で運用を受け入れられるか
編集部の受入確認例は4状態。①通常業務と更新、②製品公式の安全な評価方法による検知と担当者への通知、③承認された検証端末の隔離と実施結果の確認、④誤検知時の承認と復旧を、合成データのある許可済み環境で確認する。攻撃の再現や本物のマルウェアは使わない。
各状態で、対象OS・端末、期待結果、実際の結果、確認時刻、担当者、残件を記録する。インストール完了と、イベント到達・担当者への通知・対処完了は別の確認項目にする。既存の保護設定と互換性、更新後の業務影響も比較する。
隔離は要求を送っただけで完了ではない。対象側と管理画面の処理状態を確認し、未完了なら未確認と記録して担当へ引き継ぐ。進行中の暗号化や不審な操作があれば、評価表の完成を待たず責任者への連絡と承認された封じ込めを進める。
費用の比較：端末単価に調査・委託・移行を加える
見積では、利用者と端末の数え方、サーバーの扱い、最低契約数、保有期間、税・通貨、既存契約の重複を揃える。追加で調査する人件費、監視時間帯、ログの保存・取り出し、導入・教育、契約終了時のデータ取得を確認する。製品名だけで月額相場や固定料金は決められない。
仮定の工数例として、月40件の一次調査に1件15分かかるなら40×15÷60＝月10時間。これは調査だけの計算で、監視待機、追加調査、隔離・復旧、休日対応を含まず、製品の性能や削減率の実測値ではない。自組織の記録で件数・所要時間を置き換えて比較する。
価格が安くても、隔離承認者と未完了時の連絡先が空欄なら運用は完成していない。無料の初動記録で必要な項目を揃えてから、既存契約で足りる範囲と追加支援が必要な範囲を分ける。
よくある誤解
- EDR導入はAVの停止指示ではない。防御の重複と競合、同梱機能、製品ごとの稼働条件を分けて確認する。
- 検知が0件でも安全の証明ではない。未登録端末、通信不良、記録の欠落や範囲外を確認する。
- MDRへの委託で自社の承認や業務判断が不要になるわけではない。監視・通知・実行・復旧の責任分界を決める。
よくある質問
EDRを導入したらアンチウイルスは不要ですか？
一律には不要になりません。AVの予防とEDRの調査・対応は役割が重なりつつ異なります。同梱機能や既存AVとの互換性、対象OSの稼働モードを公式資料で確認し、既存保護を自己判断で停止しないでください。
EDRは誰もアラートを見なくても運用できますか？
製品名だけで24時間の有人監視は保証されません。確認する担当、隔離の承認者、夜間連絡先、未完了の引き継ぎ先が必要です。確保できない場合は段階導入やMDR等の委託を比較し、通知だけか実行までかを確認します。
EDRとAVの費用は端末単価だけで比較できますか？
単価に加え、端末・サーバーの数え方、調査・監視工数、ログ保存、移行・教育、委託範囲を揃えます。月40件を1件15分で調査する仮定なら月10時間ですが、追加調査や休日対応を含む実測値ではありません。
編集・確認情報
MicrosoftのAV概要・互換性・EDR・block mode・応答操作の公開資料を照合し、併用条件、受入確認、工数例を改訂しました。製品を同条件で実測した比較や専門家の個別監修ではありません。 最終確認日は 2026-10-30 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。