用語比較
XDRとEDRの違い｜連携範囲・導入順序・費用の比較
一言でいうと
EDRは端末を中心に検知・調査・対応を支え、XDRは複数の領域の信号を関連付けて調査・対応を支える。XDRはEDRを含み得るため、単純な上位互換への買い替えではない。端末対応の不足が中心ならEDRの運用を整え、メール・ID等をまたぐ調査が課題なら連携条件を揃えてXDRを比較する。
XDRとEDRの違いを、端末・メール・ID・クラウドの連携、調査、対応権限の7軸で比較。既存EDRを先に整える条件、XDRを検討する条件、ライセンスとログ検索範囲を解説します。連携を受け入れる4つの確認と工数の仮定計算、無料の記録例で、SOC・情シスの導入判断を支えます。
- 難易度
- 中級
- 想定読者
- 情シス・SOC・セキュリティ運用設計・調達
- 所要時間
- 約12分
- 最終確認
- 2026-10-30
- 1. 調査の不足を特定
端末の運用不足か、メール・IDをまたぐ照合の不足かを分ける。
- 2. 接続条件を照合
領域ごとの契約、データ、権限、検索期間と費用を並べる。
- 3. 4つの受入確認
到達・対応付け・閲覧権限・応答結果を、許可済み環境で確認する。
EDRとは
端末の挙動やイベントを使い、検知・調査・端末隔離等を支える仕組み。AVの予防やメール・IDの監査記録をすべて置き換えるものではない。
XDRとは
Extended Detection and Response。端末・メール・ID・クラウド等の信号を横断して関連付け、調査と対応を支える仕組み。含まれる領域や連携の深さは製品・ライセンス・設定・権限で異なる。
違いの比較表
| 比較軸 | EDR | XDR |
|---|---|---|
| 範囲 | 主に端末。OS・エージェント・登録範囲を確認 | 複数領域。メール・ID等のうち実際に接続した範囲を確認 |
| 相関 | 端末のプロセス・通信等の前後関係を調査 | 複数領域のアラートや影響資産をまとめる。因果関係の立証とは分ける |
| 導入条件 | 端末登録、センサーの健全性、保護・対応の運用 | 各サービスの契約、データ接続、ID・時刻の対応と担当権限 |
| 操作 | 端末隔離等。許可された対象と実行可否を確認 | 領域ごとの操作可否と承認を確認。一覧表示と実行権限は別 |
| 保存 | 画面・データ種別・契約ごとに保存と検索期間を確認 | 統合画面でも全データが同期間とは限らない。外部保存の条件も確認 |
| SIEM | 他のログと組み合わせる必要は自組織の調査要件で判断 | 一般業務ログや長期保存も含めるならSIEM等の要件を別に評価 |
| 見積 | 対象端末・サーバーと調査・運用工数 | 既存契約の重複、領域別ライセンス、接続・保存・移行・委託工数 |
見積前に、必要なデータと検索期間をそろえる
調査したい期間、取得元、保持条件、権限と欠落を揃え、必要な連携範囲を決める。判断表で不足した条件を、次の記録へ引き継げます。
無料のログ保存・取得条件の記録例を開く使い分け
- 端末の未登録、センサー停止、通知先不明、隔離承認の未整備が中心なら、XDRの購入より先に現在のEDR運用の不足を埋める。
- メール、端末、IDをまたぐ手動照合が負担なら、実際の対象サービスと担当者の権限を揃えてXDRの横断調査を評価する。全ログの移管は前提にしない。
- 既存の複数ベンダー製品を使うなら、コネクターが表示・検索・相関・応答のどこまで対応するかを個別に確認する。接続可という回答だけで選ばない。
2026年の仕様確認：統合画面と契約範囲は別
Microsoft Defender XDRの前提条件資料では、相関に利用できる信号は保有ライセンスと付与されたアクセスに依存する。Defenderポータルへ入れることと、端末・メール・ID等のすべてを使えることを同一視しない。既存契約、対象利用者、接続先、閲覧と操作の権限を領域ごとに並べる。
Microsoftの機能例では、関連アラートをインシデントにまとめ、影響資産やタイムラインを調査できる。まとめられた図は調査の手掛かりであり、表示されたすべての関連が原因だと確定するものではない。未接続のメールやIDに異常表示がないことを、安全の証拠にしない。
前提条件資料は、automatic attack disruptionとthreat analyticsにDefender for Endpoint Plan 2を要件として挙げている。ただしPlan 2だけで全領域の自動対応が完了するという意味ではない。その他の接続・対象・権限・設定条件は機能別の現行資料で確認する。
ログの確認方法：検索できる30日と全体の保存を分ける
MicrosoftのAdvanced hunting資料では、ネイティブのDefender XDR生データを検索できる範囲は過去30日まで。接続したMicrosoft Sentinelのテーブルは設定されたanalytics-tierの保持に従う。これは特定の検索機能・データの条件であり、XDRという分類全体や、すべての画面の一律保存期間ではない。
30日を超える調査が必要なら、対象テーブルと外部保存・Sentinel側の保持、取り出す権限、費用を導入時に確認する。ストリーミングの保持は有効化した日からで、後から有効にして消えた過去データが復元するとは扱わない。
保存期間だけでなく、対象期間のレコードが検索できるか、接続の開始日、欠落、タイムゾーン、確認担当と証跡を記録する。合成データで取得の経路を確認し、実際の機密ログをCyberLensの入力や共有URLへ貼り付けない。
導入手順：4つの連携確認を終えてから対象を広げる
編集部の受入確認例は、①各領域のデータ到達、②同じ検証用利用者・端末・時刻との対応、③担当者が必要なデータを見られ許可のない範囲を見られないこと、④承認された応答の実行結果と復旧の確認、の4つ。許可済みの評価環境と公式の安全な検証方法だけを使う。
接続成功は検知成功や封じ込め完了の証明ではない。期待した相関が出なければ元データ・対象範囲・時刻・権限を確認し、未確認事項を明記する。利用者の一括停止や本番端末の隔離を接続テストとして実施しない。
担当者、承認者、夜間の連絡先、API失敗・重複・未完了の扱いを決め、小さな承認済み範囲から広げる。運用開始後も構成変更やライセンス変更で取れなくなった信号を確認する。進行中の被害があれば受入表の完成を待たず報告・封じ込めへ進む。
費用・効果の比較：画面数より、調査の引き継ぎを測る
見積は対象利用者・端末・サーバー、接続先、追加契約、ログ保存・転送、API、運用委託、教育・移行・契約終了時の取り出しを同じ条件で比較する。XDRとEDRは機能の分類であり、共通の固定料金はない。既存ライセンスで利用できる機能は重複購入しないよう確認する。
仮定の工数例で、月30件の横断調査に使う手動照合が1件20分から10分になれば30×（20−10）÷60＝月5時間の差になる。これは編集部の計算例で、製品の実測・性能保証・実際の削減率ではない。増えた確認や移行・運用工数も含めて評価する。
導入後は画面が1つになったかだけで判断せず、検知から担当引き継ぎ、封じ込め完了確認までの時刻と未解決件数を比較する。まず無料の保存条件の記録例で不足を整理し、調査目的と保存・権限を揃えてから見積へ進む。
よくある誤解
- XDRの名称だけで全製品の相関・自動対応・24時間有人監視を保証しない。機能、接続、契約と運用を確認する。
- SIEMが必ず不要になるわけではない。一般業務ログ、外部製品、調査期間と保持要件を別に整理する。
- ポータル上の完了や関連表示だけで調査を閉じない。対象側の状態と、影響範囲・未確認事項を分けて記録する。
よくある質問
XDRに変えれば既存のEDRを削除できますか？
自動的な置き換えとは考えません。XDRはEDRを含み得る機能の分類です。現在の端末保護と対応を維持し、対象OS、契約、データ接続と応答の条件を確認して移行範囲を決めます。
Microsoft Defenderポータルが使えれば全領域を調査できますか？
利用できる信号はライセンスと付与されたアクセスに依存します。端末・メール・ID等を個別に確認し、一覧表示、相関、検索、応答操作の可否を分けて評価します。未接続の領域に警告がないことは安全の証明ではありません。
XDRのログはすべて30日で消えますか？
一律には説明できません。MicrosoftのAdvanced huntingでネイティブDefender XDR生データを検索できる範囲は過去30日までですが、Sentinelテーブルはanalytics-tierの保持設定に従います。画面・データ種別・契約・保存先ごとに確認します。
編集・確認情報
MicrosoftのXDR前提条件・有効化・インシデント・Advanced huntingとEDRの公開資料を照合し、連携、契約、検索範囲、受入条件を改訂しました。実環境での接続検証・製品比較の実測・個別監修は行っていません。 最終確認日は 2026-10-30 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。