みなさん、こんにちは。SCSKの石井です。今日もお付き合いください。
「EPPとEDRの違いは分かっている。でも、Deep Instinctはどっちなの？」
これ、ここ1年で本当に増えました。しかも嬉しいことに、聞いてくださる方の顔がだいたい同じなんですよ。「分かってはいるんだけど、説明しろと言われると困る」という、あの少し曖昧な笑顔（私も昔やりました）。
答えは「どちらでもない」です。正確には、EPPとEDRの“前”に置かれる第3の層。ここを混ぜたまま比較表を眺めると、永遠に結論が出ません。今日はその整理を、図を使ってやってみます。難しい話にしないつもりなので、コーヒーでも片手にどうぞ。
本記事では競合製品名を伏せ、類型（A社・B社・C社）として整理します。特定ベンダーを論じるためではなく、自社の環境にどの層が足りていないかを判断するための材料として読んでください。
EPP/EDR比較詳細はこちらからダウンロード↓↓↓
1. まず「層」を分ける
EPP（Endpoint Protection Platform）は、端末に常在してマルウェアの侵入や実行を防ぐ仕組みです。EDR（Endpoint Detection and Response）は、端末上の挙動を記録・監視し、不審な動きを検知して対応する仕組み。ここまでは教科書どおりです。
問題は、この2つが時間軸のどこを担当しているかを意識しないまま製品比較に入ってしまうことです。EPPは「ファイルが届いてから実行されるまで」、EDRは「実行された後」。では実行の“直前”は誰が担当するのか。ここが空欄のまま、多くの構成が組まれています。空欄って、意外と気づかないんですよね。私も以前は、EPPとEDRが入っていれば「端末対策はできている」と、わりと素直に思っていました。
Deep Instinctは、この空欄に入ります。ファイルが実行される前に、そのファイルの構造から悪性か良性かを判定する。プロセスを一度も起動させないのが最大の特徴です。EPPの代替でもEDRの代替でもなく、両者の間に挟まる層だと捉えると、比較の話が一気に噛み合います。
2. 違いは「いつ」「何を見て」判断するか
類型ごとに、判断のタイミングと材料を並べます。ここが本質です。
| 類型 | 判断のタイミング | 判断の材料 | 止めた後に残るもの |
|---|---|---|---|
| A社 シグネチャ型 |
実行前（照合時） | 既知のパターン（定義ファイル）との一致 | 定義に無いものは判断できない。更新の空白が弱点になる |
| B社 振る舞い検知型 |
実行後 | プロセスの挙動、API呼び出し、通信 | 端末上で一度動いた後の対応。調査・隔離・復旧の工数が発生する |
| C社 クラウド照会型 |
実行前〜実行時 | クラウド側の脅威情報への問い合わせ | 通信できることが前提。閉域・オフライン環境では能力が制限される |
| Deep Instinct | 実行前 | ファイルの構造そのもの（ディープラーニングによる静的判定） | プロセスが起動していないため、端末に後始末が残らない |
※A社・B社・C社は、市場で一般的に見られる方式の類型を示したもので、特定の製品・ベンダーを指すものではありません。同一製品が複数の方式を併用する場合もあります。
この表で私がいつも強調するのは、優劣ではなく「止めた後に何が残るか」の列です。A社型は定義の鮮度に、B社型は後始末の量に、C社型は通信の可用性に、それぞれ構造的な制約があります。どの制約が自社にとって痛いかは、業種も運用体制も違うので、一概には言えません。
この表をお客様と一緒に埋めていくと、たいていどこかで少し気まずい沈黙が訪れます。「更新、止まってました」「アラート、誰も見てませんでした」——責める気はまったくなくて、みんな余裕がないだけなんです。だから私は、この表を“点数表”ではなく“地図”として使うようにしています。欠けている場所が分かれば、そこだけ埋めればいい。
3. 誤検知という、いちばん地味でいちばん響いてくる差
比較表で見落とされがちなのが誤検知率です。SCSKの製品ページでは、一般的なEPP/EDRが数%〜10%の誤検知を生む中、Deep Instinctは0.1%未満と記載しています。この差は、検知率の差よりも現場に効きます。
理由は単純で、誤検知はそのまま人の時間になるからです。1件のアラートに対して、対象端末の確認、ユーザーへのヒアリング、業務影響の判断、記録。これが週に数十件積み上がると、本来見るべき本物の脅威に割く注意力が削られます。EDRの運用課題として「アラート疲れ」が繰り返し指摘されるのは、検知性能が低いからではなく、検知性能が高いゆえにアラートが増えるという構造によるものです。
実行前に止める設計は、この構造に直接効きます。プロセスが起動しなければ、その後の挙動ログも、通信も、横展開も発生しない。アラートの“量”そのものが減るので、運用は静かになります。静かな運用は、セキュリティが弱いのではなく、止められている証拠だと私は考えています。
これは私の好きな言葉なんですが、「静かな情シスは、良い情シス」。電話が鳴らない、 Slackが鳴らない、土曜の朝に呼び出されない。地味ですけど、それがいちばんの成果なんですよね。
4. 動く条件 ── クラウド前提か、端末単独か
もうひとつ見ていただきたいのが、動作条件です。Deep Instinctは判定をエンドポイント上で完結させるため、クラウド接続を必要としません。更新は年1〜2回程度、バージョンアップ時の再起動も不要。エージェントは150MB未満・CPU1%未満で、フルスキャンはインストール時の初回のみと公表されています。
この特性が効くのは、工場の製造設備や医療機器のように、外部通信を絞っている環境です。「クラウドに問い合わせる前提の製品は入れられない」という相談は、製造業のお客様から特に多くいただきます。判定モデルが端末側に入っているから、閉域でも同じ精度が出る。これは仕様上の違いであって、優劣の話ではありません。ただし、選択肢が狭まる環境では決定的な差になります。
中身は3つの部品でできている
構造を簡単に整理しておきます。Deep Instinctは、大きく3つの要素で構成されます。
- D-Brain：ディープラーニングで学習した予測モデル本体
- D-Client：端末に入るエージェント。D-Brainを内包し、端末上で静的解析を実行する
- D-Appliance：管理サーバー。ポリシー配布や状態の集約を担う
ポイントは、判定がD-Client側で完結することです。クラウドに聞きに行かないので速く、通信が切れていても止まる。20ミリ秒という数字は、この構造から来ています。
初めてこの構成を聞いたとき、私は「頭がいいものを、わざわざ手元に置いている」と感じました。賢いのはクラウド側で、端末は聞きに行くだけ——そのほうが設計としては楽なんです。でも、それだと通信が切れた瞬間に判断が止まる。あえて重いものを持たせているから、閉域でも工場でも同じように動く。思想がはっきりしている製品だな、と。個人的にそこが好きなところです。
5. 誤解を解いておきます ── EDRの置き換えではありません
ここは誤解されやすいので、明確に書きます。Deep Instinctは既存のEPP/EDRと併用できます。SCSKの製品ページでも、併用によって従来製品では拾いきれない未知の脅威に対応し、多層防御を強固にすると説明しています。
「EDRを入れたのにアラートが減らない」「SOCとのやり取りが終わらない」。そういう相談に対して、私はEDRの撤去を提案したことはありません。提案するのは、実行前の層を足して、EDRに流れ込む“量”を減らすことです。EDRは実行後の調査に強い。その強みを活かすには、そもそも実行させない層が前段にあったほうがいい。順番の話です。
強いていうなら、私は「何かを外す」提案が苦手です。今ある仕組みには、それを作った人の事情と、運用してきた人の苦労がある。だからまず足す。足した結果として重複が気になったら、そのときに外し方を一緒に考えましょう、とお話ししています。順番を守るだけで、社内の角が立ちにくくなります（これ、地味に大事です）。
6. まとめ ── 自社に足りないところを構造で考える
最後に、実務で使える形に落としておきます。製品を比べるときのチェックは、次の3つで足ります。
- 判断は実行の前か、後か── 後であれば、後始末の工数は必ず発生する
- 判断の材料は定義か、構造か── 定義であれば、更新の空白がそのまま穴になる
- 判定はクラウド前提か、端末完結か── 閉域・オフライン環境があるなら、ここで選択肢が絞られる
この3つを自社の環境に当てはめると、たいてい1つか2つ、空欄が見つかります。その空欄が「実行の直前」であれば、Deep Instinctが選択肢になります。逆に、実行後の調査体制が手薄なのであれば、先にEDRの運用を整えるべきです。足りていない層を特定してから製品を選ぶ。順序を間違えなければ、比較表はもっと読みやすくなります。
もし今、手元の比較表が「なんとなく全部同じに見える」状態なら、それはたぶん、製品の情報が足りないのではなく、自社の空欄がどこかを決めていないからです。ここが決まると、表の見え方が驚くほど変わります。私が何度も経験してきたことなので、少し自信を持って言えます。
SCSKでは、Deep Instinctの国内導入実績3,300社以上、1か月のPoV（検証）支援、管理者向けの操作トレーニングを用意しています。自社の環境で、どの層が空欄なのか。そこから一緒に整理するところが始めやすいと思います。
「うちはどうなんだろう」と思われたら、その一言だけで十分です。白紙の状態で構いません。むしろ、白紙のほうがありがたい。私の仕事は、その白紙に一緒に線を引くことだと思っています。どうぞお気軽に声をかけてください。
★ディープラーニングによる予防型エンドポイントセキュリティに興味をお持ちの方へ
本記事でご紹介したディープラーニング（深層学習）による革新的な防御思想を、実際のプロダクトとして体現し、
多くのお客様の環境を守っているのが、SCSKが取り扱う「Deep Instinct（ディープインスティンクト）」です。
従来のセキュリティ運用（EDRなど）に限界を感じている方、未知のランサムウェア対策を強化したい方は、ぜひ以下の製品詳細ページをご覧ください。