EDR・XDRの製品地図 生ログは何日残り、夜は誰が日本語で動くか

Microsoft Defender for Endpointのデータは180日残ります。ただし、クエリで検索できるのは30日までです。

TrendAI Vision Oneの180日と30日、Cortex XDRの186日と31日も同じ形です。侵入の跡をさかのぼる夜に効くのは、短いほうの数字でしょう。EDR・XDRの13製品の公式の文書を読み比べると、生のログの標準日数は7日から1年まで開き、24時間の窓口が英語のみと書かれた製品もありました。

地図は料金と夜の窓口で引く

13製品は、情シスのSaaSマップのEDRの欄にある6社の製品が土台です。足したのは、公式の文書で保管日数を確認できたSentinelOne、Cortex XDR、Cisco Secure Endpoint、WithSecure Elements EDR、Aurora Focusの5製品です。自社運用の例としてWazuhも加えました。市場の全製品を調べたわけではなく、載っていない製品が劣るという意味でもありません。Microsoftは契約で中身が違うため、2つに分けて数えました。

検知の性能は公式の文書だけでは比べられないので、地図の軸に入れていません。位置は書かれ方の違いで、順位やおすすめではありません。販売店が別に用意する監視サービスも数えていません。

「記載を確認できず」は、確認したページや文書に見当たらなかったという意味です。「未確認」は、編集部がその文書を読めていないという意味です。どちらも、機能がない、日数が短いという意味ではありません。

MDMやUTMとの違いはMDM・EDR・UTMの違いでご覧いただけます。

画面の日数と検索の日数は別もの

生のログは、端末の動きをそのまま残した記録を指します。見積もりでは、各社の呼び名で聞くと話が早いでしょう。ESETなら「生ログ」、TrendAIなら「raw information」、Cortex XDRなら「Ingested data」です。Microsoftの30日は、文書が「生のDefender XDRデータ」と呼ぶ高度なハンティングの範囲です。

並びはアルファベット順で、Ciscoの値は2024年8月更新のガイドによります。

アラートが残っていても、その前後に端末で何が動いたかを広く洗えるのは濃い棒の日数まで、と考えておくと安全でしょう。Microsoftの端末ごとのタイムラインは日付の範囲を選べますが、30日より前のイベントがどこまで出るかは文書から読み取れません。自社の画面で試しておくのが早道です。

同じ製品でも、SentinelOneはCompleteの14日がCommercialで90日に延びます。公開の額の差は1台年50米ドルでした（編集部で計算）。

日数どおりに残らない製品もあります。Sophosの端末の枠は1ライセンス1日20MBで、XDRの端末が毎日40MBを送ると45日で枠に届き、古い記録から消えていきます。ほかの製品に枠がないとは言えないので、見積もりで聞いておくと確実です。

30日で足りるかは発見の速さ次第

MandiantのM-Trends 2026によると、2025年の調査で侵入から発見までの日数は中央値14日で、前の年の11日より延びました。30日あれば、中央値の倍まで届く計算です。

ただし、サイバースパイ活動と北朝鮮のIT労働者の事案は、どちらも中央値が122日でした。組織が自分で最初に気づいた割合も52%で、半分近くは別の経路で知ったことになります。外から指摘されて調べ始める日に、生のログがもう消えている。30日の製品で起こりうるのは、そういう場面です。

国内には、ログが失われる理由の数字もあります。警察庁の資料が挙げる、令和4年のランサムウェア被害でログが使えなかった89件の要因です。

暗号化と削除を足すと63件、全体の約7割です（編集部で計算）。クラウド型のEDRならログは社外に残るので、この7割には強いはずです。保存期間の経過の18件を防ぐのが、日数の選び方でしょう。ただ、VPN機器やサーバーのログまでEDRが肩代わりするわけではありません。

同じ資料は保存期間の例として、PCI DSS v4.0の「少なくとも12カ月」を挙げています。確認できた標準の保管日数で1年に届くのはWithSecure Elements EDRだけで、ほかは延長の購入か、SIEMなどへの転送を考えることになります。

次の目安は公式の基準ではなく、ここまでの数字から編集部が考えたものです。

24時間365日と、日本語は別の欄

24時間の代行（MDR）の案内には、多くの会社で「24時間365日」の文字が並びます。差が出るのは、その時間に何語で話せるかです。

いちばん確認しておきたいのはMicrosoftでしょう。Defender Experts MDRの文書には「現在、このサービスは英語でのみ利用できます」とあります。Microsoft 365でそろえた会社が、監視の代行も同じ会社で、と考えたときに最初にぶつかる点です。

夜中の2時に、英語で状況を説明できる人が社内にいるか。編集部は、これを機能の差と同じ重さで見たほうがよいと考えます。「記載を確認できず」は、日本語で対応しないという意味とは違います。ただ、営業の窓口と夜の窓口は別なので、書かれていないなら聞くしかありません。

応答の速さの数字も、平均、中央値、最短、目標と測っているものが各社で違うので、並べて比べるのは無理があります。

EDRが入っていない版がある

Falconと名前が付いていても、EDRが入っているとは限りません。CrowdStrikeの料金ページでEDRに印が付くのはFalcon Enterpriseからで、Falcon GoとFalcon Proには入っていません。

意外なのはMicrosoftです。Microsoft 365 E3に含まれるのはDefender for Endpoint P1で、公式の比較表のEDRの行に印がありません。一方、Defender for BusinessにはEDRの印があります。E3だからEDRも入っている、という思い込みは一度疑ったほうがよいでしょう。

円の額が製品単体で出ているのは3製品ですが、単位が違います。Defender for Businessは1ユーザー年5,388円（編集部で計算）で1人5台まで、ESET PROTECT MDR Liteの額は24時間の監視を含みます。額の順に見ても、中身の順にはなりません。

Aurora Protectだけの契約（1台月500円）にEDRは付かず、Aurora Focusを足すと月200円増えます。

13製品で自社に置けるのは一部

外につなぎにくいネットワークを抱える会社にとって、置き場所は最初の分かれ目です。13製品のうち、管理の仕組みまで自社側に置けると文書で確認できたのはWazuhとCiscoでした。Ciscoの2024年8月更新のガイドによると、Secure Endpoint Private Cloudは利用する会社の環境に置く形で、端末の記録も手元で管理できます。

SentinelOneの案内にもオンプレミスやエアギャップの環境への対応とありますが、管理の仕組みまで自社に置けるかは、見積もりで確かめる必要があります。

ESET Inspect on-premとESET Inspectは、単体の新規販売が2024年3月31日に、更新の販売が2025年3月31日に終了しました。セットの製品での扱いは、販売店に確認が必要です。

Wazuhは無料のオープンソースですが、監視も更新も自社の仕事です。10月にはWazuhの脆弱性15件への対応が必要になりました。

13製品の外では、Elastic Stackにも自社で運用する形があります。ただ、Elastic Defendのライセンス表はクラウド向けの見出しで、自社運用での機能の範囲を読み切れなかったため、地図には入れていません。

公式で確認しきれなかったこと

• Defender for Businessは、比較表のデータ保持の行（30日間の高度なハンティングと6か月間のデータ保持）に印がありません。CrowdStrike Falconとともに、標準の日数は確認した公式のページに見当たりませんでした
• Cybereason EDRは、確認日に編集部の環境から国内サイトを開けず、保管日数と料金を確認していません。ブランドの動きはサイバーリーズンのLevelBlue統合でご覧いただけます
• ESETの7日と31日はMDR Ultimateの資料の値で、MDR Liteの資料に日数の記載はありませんでした
• SentinelOneの14日と90日は料金表の「Data Retention」の値で、どのデータの日数かの説明はありません
• WithSecureの1年は保管の期間です。イベント検索でどこまでさかのぼれるかは、管理者ガイドに書かれていません
• TrendAIの版の分け方は2024年5月更新のサポート記事の値で、今の製品ページには記載がありません
• Sophosの日本語の窓口とSentinelOneの日本語の体制は、どちらも2022年の発表です。今のSophos MDRとWayfinder MDRの言語は確認していません

確認日はすべて2026年11月2日で、料金と日数は変わることがあります。

見積もりの前に確認すること

1. 今の契約の版を確認します。Microsoft 365なら管理センターのライセンスの画面を開き、E3だけならEDRの印がないP1です。
2. 導入済みのEDRで、毎日動いている端末を1台選び、31日前の日付でプロセスの起動の記録を検索します。結果が返らなければ、生のログはそこまでの可能性が高いでしょう。
3. アラートを見る頻度から、気づくまでの最長の日数を見積もり、上の目安の表と比べます。
4. 契約や取引先の基準に、12か月などの保存の定めがないかを法務か営業に聞きます。
5. 販売店に次の質問を送り、答えを製品ごとに記録します。

180日と30日、営業の資料に出てくるのはどちらの数字か。見積もりの席では、まずそれを聞くだけで話が具体的になります。