検知感度のトレードオフ

2026年9月3日

EDRの誤検知、運用でどう向き合うか

EDRを導入すると、多くの会社が最初に驚くのは「アラートの多さ」です。開いてみれば、その大半は攻撃ではない――いわゆる誤検知。しかし誤検知は故障でも製品の欠陥でもなく、EDRの仕組み上、避けられないものです。この記事では、誤検知とどう付き合えば「本物を見逃さず、疲弊もしない」運用ができるのかを、中小企業向けに解説します。

誤検知とは？――ふるまい検知の「宿命」

EDRは、ウイルスの名簿と照合する従来型と違い、端末上の「ふるまい」を監視して怪しい動きを見つける仕組みです（仕組みの違いは「EDRとEPP（従来のアンチウイルス）、何が違うのか」で解説しています）。ここに誤検知が生まれる理由があります。たとえば、情報システム担当者が使う遠隔操作ツールや一括設定のスクリプトは、攻撃者がよく使う道具や手順とそっくりです。ふるまいだけを見れば区別がつかないケースがあるため、「怪しい」と判定される正常な業務が必ず出てくるのです。

ここで大事なのがトレードオフの理解です。検知の感度を上げれば、見逃し（検知漏れ）は減りますが誤検知が増える。感度を下げれば、アラートは静かになりますが本物の攻撃を見逃すリスクが上がる。つまり「誤検知ゼロ」を目指すことは、「見逃しの増加」を受け入れることと同じです。目指すべきは誤検知ゼロではなく、「見逃さない範囲で、ムダなアラートを減らす」バランスです。

図1：検知感度のトレードオフ。目指すのは両極端ではなく「見逃さない範囲で絞る」

なぜ「向き合い方」が重要なのか

誤検知を放置したときの本当の怖さは、アラートそのものではありません。「アラート疲れ」です。毎日誤検知ばかり見ていると、人は必ずアラートを軽視するようになります。そして、その中に紛れた本物の1件を見逃す――ランサムウェア被害の多くで、実は侵入の兆候は事前に記録されていたのに、誰も反応しなかったというパターンが繰り返されています（予兆の見つけ方は姉妹記事の内部セキュリティカテゴリでも扱っていますが、EDRの文脈では「アラートに反応できる状態を保つこと」がすべての土台です）。

最近はAIがアラートの重要度を自動で仕分けする機能も進化しており、運用の負担は下がる方向にあります。それでも、「自社にとって何が正常か」を知っているのは自社だけ。最後の判断を支える運用体制は、どんなに製品が進化しても必要です。人手の限られた中小企業こそ、仕組みとルールで「疲れない運用」を設計しておく価値があります。

誤検知と付き合う運用、5つのステップ

導入直後は「学習期間」と割り切る
導入から2〜4週間は誤検知が最も多い時期です。この期間は「自社の正常な業務をEDRに教える期間」と位置づけ、アラートの多さに慌てず、1件ずつ「これは何の業務か」を確認していきます。ここで焦って感度を下げすぎるのが、いちばん危険な失敗です。
アラートの仕分け（トリアージ）を3段階に決める
すべてのアラートを同じ熱量で見るのは不可能です。「即対応（業務を止めてでも確認）」「当日中に確認」「記録のみ（週次でまとめて見る）」の3段階に仕分ける基準をあらかじめ決めておきます。基準は完璧でなくて構いません。「迷ったら1段階上へ」を合言葉にします。
除外設定は「理由を記録して」最小限に
正常な業務と確認できたものは除外設定（この動きは検知しない）でアラートを減らします。ただし、除外は検知の穴にもなります。「何を・なぜ・いつ・誰が除外したか」を必ず記録し、無条件の広い除外（フォルダごと除外など）は避けましょう。
「迷ったときの相談先」を決めておく
攻撃か誤検知か判断がつかないアラートは必ず出ます。製品ベンダーのサポート、監視を委託するサービス（MDR）、IPAの「サイバーセキュリティお助け隊サービス」のような中小企業向けの支援など、相談先を導入時に決めておくことで、判断の抱え込みを防げます。選定段階でサポート体制を確認する観点は「中小企業向けEDR、選定の5つのポイント」で解説しています。
月1回、数字でふりかえる
「今月のアラート件数」「うち誤検知の割合」「対応にかかった時間」を月1回だけ集計します。誤検知の割合が下がっていればチューニングは前進、アラート対応が誰か1人に偏っていれば体制の見直しどきです。数字にすると、感覚論にならずに済みます。

図2：3段階のトリアージ。基準を先に決めておけば、アラートの山に埋もれない

中小企業の現実解：全部を自社でやらない

誤検知運用の理想を突き詰めると、24時間の監視体制が必要になりますが、それは中小企業の現実ではありません。現実解は3つです。

1つめは、外部の力を組み込むこと。監視と一次判断を委託するサービス（MDR）や、中小企業向けにサイバー攻撃への対処をワンパッケージで提供する「サイバーセキュリティお助け隊サービス」（IPAの制度）を使えば、「夜間や休日のアラートをどうするか」という一番重い問題を外に出せます。EDRの基本から知りたい方は「EDRとは？「アンチウイルスだけでは足りない」を中小企業向けに解説」をご覧ください。

2つめは、判断材料になる「平常時の姿」を持っておくこと。誤検知かどうかの判断は、結局「このPCでこの動きは普段どおりか？」に行き着きます。社内にどんな端末があり、普段どう使われているかが見えていれば、判断は速く、正確になります（「社員のPC、業務外で何が起きているか把握できていますか」「クラウド時代のエンドポイントセキュリティ」）。

3つめは、EDRだけに全部を背負わせないこと。侵入前提の検知（EDR）と、そもそもの入口を減らす基本対策（更新・認証・可視化）は車の両輪です。土台が整っているほどアラートの母数は減り、誤検知運用は楽になります（「ゼロトラストセキュリティ、中小企業にも必要か」）。

誤検知は「なくすもの」ではなく「さばくもの」。
さばく仕組みを先に作った会社だけが、EDRの価値を引き出せます。