IPSやDNSフィルタリングは、危ない通信を遮断して記録を残します。しかし、その記録を誰も見ていなければ、同じ端末で何度も遮断が起きていても、感染に気づけません。

攻撃は、偽のメールから始まり、端末の乗っ取り、社内の別の機器への侵入、情報の持ち出しへと進みます。それぞれの痕跡は、メール、端末、ファイアウォール、認証基盤と、別々の機器に残るため、つなげて見ないと全体が分かりません。

機器ごとに通知を受けていると、件数が多すぎて、本当に危ないものを見落とします。重要度で振り分け、誤検知を減らす仕組みが要ります。

通信を遮断できても、感染した端末はそのまま残ります。端末を切り離し、原因を調べ、再発を防ぐまでを誰が担うかを決めておく必要があります。

端末に入れたエージェントが、プロセスの起動と終了、ファイルの作成と変更、レジストリの変更、ネットワークの接続、スクリプトの実行などを記録します。Windowsでは、カーネルからの通知（コールバック）、ファイルの操作を見張るドライバー（ミニフィルター）、ETW（Event Tracing for Windows）、スクリプトの中身を検査するAMSIなどの仕組みを使います。

Windowsのイベントログや、Microsoftの無償のツールSysmonでも、似た記録は取れます。EDRは、それより細かい記録を、攻撃者に止められたり書き換えられたりしにくい形で取り続けます。

記録を、どのプロセスがどのプロセスを起動したか（親子関係）でつなげます。たとえば、メールの添付ファイルを開いたWordがPowerShellを起動し、外部からプログラムを取り込んで実行し、指令サーバーに接続した、という流れです。1つ1つは普通の操作でも、つなげると攻撃だと分かります。

既知の不正なプログラムの特徴（シグネチャ）に加えて、攻撃に特有の振る舞いのパターン、クラウドに集めた多数の端末の情報、機械学習を使って判定します。ファイルを使わず、メモリの中だけで動く攻撃も、振る舞いから見つけられます。

不審な端末をネットワークから切り離す、プロセスを止める、ファイルを隔離する、といった対処を、自動で、または遠隔から行います。切り離した端末でもEDRの管理サーバーとの通信は残るので、調査を続けられます。

記録は一定期間保管されるので、後から「この端末で、いつ、何が起きたか」をさかのぼれます。SIEMに送れば、ネットワークや認証のログと時刻でつなげて調べられます。

監視から封じ込めまでを自社で担います。NOCと同じ部屋や同じ担当者で運用すれば、ネットワークの状態とセキュリティの通知を、同じ場所で見られます。

24時間365日の監視には人数が要るため、規模によっては負担が大きくなります。

監視と一次判定、調査を、外部の事業者に任せます（マネージドSOC、MDR）。夜間や休日も含めて、専門の人員に見てもらえます。

ただし、端末の切り離しやアカウントの停止など、業務に影響する判断を、自社の誰が下すかは決めておく必要があります。

夜間や休日の監視と一次判定は外部に任せ、調査の判断と封じ込め、再発防止は自社に残す形です。ログとSIEMを自社で持っておけば、委託先を替えても記録が途切れません。

ネットワークの障害と攻撃は、見分けにくいことがあります。通信が急に増えたときに、機器の故障なのか攻撃なのかを、NOCとSOCで情報を交わして切り分けます。連絡の経路と、どちらが主に対応するかを決めておきます。