0
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@k2_naka

端末内論理分離はEPP/EDRと「相性が悪い」のか ― 一次資料で読む共存条件

0
Last updated at Posted at 2026-08-10

筆者

役割 担当
課題提示 K⁺oji Na⁺kamura
原案作成 Gemini 3.1 pro
全面改訂 GPT 5.6 Sol
つぶやき K⁺oji Na⁺kamura

はじめに

前編（ネットワーク分離における端末内論理分離の系譜）では、端末内で業務環境を分けるクライアント型の論理分離製品7つを、方式と登場順で整理しました。

本稿は、その方式分類をEPP/EDRとの共存という角度から読み直します。

先に結論をいえば、端末内論理分離とEPP/EDRは併用できます。実際、両者を組み合わせた製品構成や導入例もあります。ただし、分離方式によっては、ホスト側センサーからの可視性、アンチウイルス等の除外設定、仮想化基盤、同一OS上で動く制御機能、分離領域の証跡保全に追加の設計が必要です。

本稿でいう「相性が悪い」とは、製品同士が一律に併用できないという意味ではありません。分離とEPP/EDRは担当する領域が異なり、単純に重ねるだけでは監視範囲や責任分界が自動的には整わない、という意味です。

なお本稿では前編と同様、1台の物理端末上で複数の業務環境・通信先・データ領域・アプリケーションの利用を分けるクライアントソフトウェアを、便宜上「端末分離ソフトウェア」と総称します。ガイドライン上の正式な方式名ではありません。

本稿の結論（3点）

  1. 分離とEPP/EDRは目的上排他的ではなく、担当範囲が異なる。 HP Sure Click Enterpriseは、検知ベースのAV・EDRを回避する攻撃への追加防御として、micro-VMによる封じ込めを提示している。これはEDRを不要とする説明ではなく、検知を回避された場合にもホストへの到達を防ぐ多層防御である。
  2. 共存条件は製品・方式ごとに異なる。 HPやハミングヘッズの公開資料では、除外・許可リスト、製品別の共存設定、仮想化基盤の構成条件が示されている。ただし、AVの除外設定がそのままEDRの監視停止を意味するとは限らない。
  3. 設計の中心は、分離領域の可視性と証跡の行き先である。 ホスト側EPP/EDRが分離環境内部を同じ粒度で直接観測しにくい方式では、製品固有テレメトリ、取り出し時検査、SIEM連携などで補完する必要がある。

1. 「相性が悪い」を5つの設計論点に分解する

本稿で扱う「相性」は、製品の優劣ではなく、次の5つの設計論点に分解できます。

# 設計論点 内容 根拠区分
1 ゲスト内部への直接可視性の制約 別カーネルのmicro-VMやローカルコンテナの内部で動くプロセスは、ホスト側EPP/EDRからホストプロセスと同じ粒度では直接観測しにくい アーキテクチャ上の整理＋HPのテレメトリ資料
2 セキュリティ製品間の共存条件 分離製品と他のエンドポイント製品を同居させる際、除外、許可リスト、インストール順、機能設定などが必要になる場合がある HP・DeP HEの公開資料
3 除外による保護範囲の縮小 除外対象となったスキャンや保護機能の適用範囲は縮小する。ただし、EDRへの影響は製品と除外種別で異なる Microsoft Defenderの公式資料
4 ローカル痕跡の揮発と証跡保全 使い捨てVM・コンテナの終了時に、内部の状態やログが消える場合がある。調査に必要な情報を外部へ保存する設計が必要 NIST・HP・製品資料
5 制度・運用要件との調整 分離と未知脅威対策を重ねる場合、監視範囲、検査不能条件、アラート連携、問い合わせ先を仕様化する必要がある 1〜4から導く本稿の整理

重要なのは、「分離領域がホストEDRから直接見えにくい」ことと、「その領域に証跡が存在しない」ことは同じではない点です。製品固有のセンサーや管理基盤が内部情報を取得する場合もあります。

同様に、「AVのスキャン除外」と「EDRの監視除外」も同じではありません。例えばMicrosoft Defenderでは、Windows上のAV除外はAVスキャンに適用されますが、除外されたファイルが引き続きEDRアラートを発生させる場合があります。除外による影響範囲は、製品ごと、除外種別ごとに確認する必要があります。

2. 分離と検知は、対立ではなく役割分担である

micro-VM型の代表例であるHP Sure Click Enterpriseのデータシートは、フィッシング、ランサムウェア、ファイルベース攻撃が、従来の検知ベースAV・EDRを回避するケースが増えていることを課題として掲げています。その追加防御として提示されるのが、危険なWeb閲覧やファイル操作をハードウェア強制型のmicro-VM内に封じ込める方式です。

ここから読み取れるのは、「EDRは無意味である」という主張ではありません。

  • EPP/EDRは、ホスト上の不審な挙動を検知・調査・対応する
  • 分離製品は、信頼されていないコンテンツをホストへ到達させない
  • 検知を回避された場合にも、分離が被害の成立を妨げる

という役割分担です。

したがって、両者は多層防御として補完関係になり得ます。一方で、どの領域をどちらが担当するのかを明確にしないまま導入すると、双方が相手の機能で補われていると思い込み、監視・検査・証跡保全の境界が曖昧になるという問題が生じます。

「思想が逆向き」というより、前提と責任範囲が異なると整理するのが正確です。

3. 一次資料に現れる共存条件

3.1 HP Sure Click Enterprise：除外と仮想化条件を明示

HP Sure Click Enterprise 4.4 Release 32のリリースノートは、サードパーティー製エンドポイントセキュリティ製品との併用について、次の条件を示しています。

  • 競合を避けるため、サードパーティー製セキュリティソフトウェア向けの除外・許可リスト設定を確認する
  • 導入済みエンドポイントセキュリティ製品側で、HP製品の正常動作を妨げないための適切な除外を作成する
  • 必要な対応に、HP Sure Click Enterpriseのプロセスやバイナリの除外が含まれる場合がある
  • 除外がない場合、Sure Click Enterpriseの初期化失敗や、信頼されていないサイト・文書を開く際の遅延またはブロックが発生する可能性がある

旧Release 1には、Sure Click関連ディレクトリをサードパーティー製品のスキャン対象から除外することを推奨する、より具体的な記述がありました。現行版は、特定ディレクトリに限定せず、プロセスやバイナリを含む適切な除外を製品側の文書に従って設定する表現になっています。

HPは、この目的の相互運用性文書を公開しています。URLには旧名称の「Bromium and Third-Party Software Interoperability Guide」が残っていますが、現在のページタイトルは「Configure Exclusions and Whitelisting for Third-Party Security Software」です。2026年8月10日時点では公開ページとして確認でき、ログイン必須とは確認できませんでした。ただし、Salesforce系のサポートサイトであるため、ブラウザー設定によって表示が不安定になる場合があります。

仮想化基盤にも構成条件があります。

項目 HP Release 32の記載
VirtualBoxのゲストVM内でSCEを実行 非サポート
SCEを入れたホストでVirtualBoxを共存 Intel CPUかつHyper-V無効の場合に限る。HP資料は「Sure Click固有の制限ではない」と注記
WHP／Hyper-V／VBS 対応OSビルド、64ビットWindows、UEFI Secure Boot、Fast Startup無効、対応CPU、休止状態無効などの条件付きでサポート

ここで注意したいのは、これを単純な「CPUの仮想化支援機能の取り合い」と説明しないことです。HPの一次資料が示しているのは、複数の仮想化基盤を重ねる際の構成・互換性・性能上の条件です。WHP、Hyper-V、VBSとの共存自体は、所定条件の下で正式にサポートされています。

3.2 ハミングヘッズ：公開FAQが示す製品別共存設定

ハミングヘッズがSePの技術を基に提供する個人向け製品DeP HEの公開FAQには、他社アンチウイルス製品との併用について次の記載があります。

  • 公開リストに掲載された製品はDeP HEと併用できる
  • ただし、製品ごとに「共存させるための設定」が必要
  • リスト外の製品は動作未確認
  • SePとDeP HEは併用できない

このFAQから確認できるのは、同一端末上で複数の制御製品を重ねる際に、ベンダーが明示した共存条件が必要になる例です。

一方、FAQは、SePとDeP HEが併用できない技術的原因をAPIフックやカーネルドライバの競合と説明していません。したがって、「フック競合が原因である」とまでは断定できません。

また、個人向けDeP HEとは別に、企業向けSeP本体について、他社EPP/EDR製品名と共存条件を一覧化した公開資料は、今回の調査では確認できませんでした。企業向け構成は、導入時にベンダーへ個別確認する必要があります。

3.3 RevoWorks：ゲート型検査とEDRの組み合わせ

RevoWorks Browserの開発元資料は、ローカルPC内に生成する「ローカルコンテナ」による分離方式であること、ファイルをローカル環境へ渡す際に無害化・検査を行う構成を示しています。

販売代理店アクシスの公開FAQでは、RevoWorks VirusCheckerについて次の条件が示されています。

  • リアルタイムスキャンは行わない
  • コンテナからファイルを取り出す際に検査する
  • パスワード付きファイルは検査できない
  • オフライン起動時は利用できない

この方式は、「分離領域内をWindows用AVで常時スキャンする」のではなく、ホストへ持ち出す境界で検査するゲート型です。これは欠陥ではなく、監視点を境界へ置く方式選択です。

なお、上記の詳細4条件は販売代理店の公開FAQで確認できるもので、開発元の公開ページでは、方式と取り出し時の無害化・検査までは確認できるものの、4条件すべてを明記した一次資料は確認できませんでした。

一方で、ジェイズ・コミュニケーションは2026年3月、RevoWorksとFFRI yaraiを組み合わせた「RevoWorks Plus EDR」の提供を開始しました。これは、ブラウザ分離とEDRが原理的に併用できないわけではなく、監視対象と役割を分けて製品化できることを示す明確な例です。

4. 「見えない」ではなく、「同じ粒度では直接見えにくい」

端末内論理分離とEPP/EDRの関係を、方式別に概念化すると次のようになります。

図は方式上の概念整理です。実際のセンサー範囲、ネットワーク観測、ファイル監視、ログ収集、SIEM連携は製品と構成によって異なります。

ホスト側EPP/EDRは、通常、ホストOS上のプロセス、ファイル操作、ネットワーク通信などを監視します。別カーネルのmicro-VMやローカルコンテナ内で動くゲストプロセスは、ホスト上の通常プロセスと同じ形では現れません。

ただし、ホストEDRが何も観測できないわけではありません。仮想化プロセス、ホスト側の通信、ファイルの受け渡し、分離環境の起動・終了などを観測できる場合があります。また、分離製品側が独自のイントロスペクションやテレメトリを備える場合もあります。

4.1 HP：micro-VM内を製品固有テレメトリで補完

HPは、Sure Clickが隔離した脅威から詳細なフォレンジックデータを収集し、HP Wolf Security Controllerで管理・分析する構成を示しています。Threat Forwardingを利用して外部の監視基盤へ連携する構成もあります。

したがって、HPの方式は「ホストEDRに見えないから証跡がない」のではなく、ホストEDRとは別のセンサーとテレメトリ経路を持つと理解するのが適切です。

その結果、SIEM等で統合しない構成では、ホスト側EPP/EDRと分離製品側の管理基盤という複数の監視面が生じ得ます。設計上は、アラートの転送、端末IDの対応、時刻同期、調査手順を決める必要があります。

4.2 ハミングヘッズ：Defender管理とEDR-Realtime Analyticsを組み合わせる

ハミングヘッズは、サイバーハイジーンオプションでMicrosoft Defenderの定義ファイル、スキャン、検知後の処理を管理し、Defenderが脅威を検出した端末のネットワーク隔離を行えると説明しています。また、EDR-Realtime Analyticsと連携して履歴を追跡できます。

これは、SeP・DePの機能、管理下のDefender、EDR-Realtime Analyticsを組み合わせ、検知・履歴追跡・隔離を構成する設計です。各機能の役割を分けて記述する必要はありますが、分離製品側が監視・対応機能を自社スタックに取り込む例といえます。

5. MDAGの非推奨化から、何が言えて何が言えないか

Microsoft Defender Application Guard（MDAG）は、EdgeやOfficeの信頼されていないコンテンツを、Hyper-Vベースの分離環境で扱う機能でした。

5.1 公表事実

Microsoftの非推奨機能一覧では、次の時系列が確認できます。

  • Application Guard for Officeは2023年11月に非推奨化
  • Office向けの移行先として、保護ビュー、Windows Defender Application Control、Microsoft Defender for Endpointの攻撃面縮小ルールを推奨
  • Edge向けMDAGは2023年12月に非推奨化
  • Windows 11 バージョン24H2以降では、Windows Isolated App Launcher APIを含めMDAGは利用不可

ここで、攻撃面縮小ルールは単なる「検知機能」ではありません。危険な挙動を事前にブロックする予防制御を含みます。したがって、Microsoftの方針を「分離をやめて検知だけへ移行した」と表現するのは正確ではありません。

5.2 本稿による分析

Microsoftは、MDAGを非推奨にした理由を「EPP/EDRとの共存が困難だから」と説明していません。よって、MDAG非推奨を端末分離とEDRの相性問題の直接証拠とすることはできません。

一方、OS標準のmicro-VM分離であっても、対応ブラウザー、Office、拡張機能、API、Windowsの更新、管理ポリシーを長期にわたって維持する必要があります。MDAGの非推奨化は、分離方式がOSのライフサイクルやプラットフォーム戦略に強く依存することを示す事例としては重要です。

調達・更改の観点では、次を確認すべきです。

  • 分離方式が依存するWindows機能と、そのサポート期間
  • OS大型更新時の対応時期
  • 分離機能が終了した場合の移行先
  • EPP/EDR、アプリケーション制御、攻撃面縮小、無害化をどう組み替えるか

MDAGから得るべき教訓は、「本家が撤退したから分離は無理」ではなく、分離機能にも製品・OSのライフサイクル管理が必要であるということです。

6. 方式別の共存プロファイル

前編の方式分類を、EPP/EDRとの共存設計という観点で並べ直すと、次のようになります。

方式・製品 ホスト側EPP/EDRとの関係 公開資料で確認できた条件 補完策・未確認事項
ハードウェア支援micro-VM：HP Sure Click Enterprise micro-VM内部はホストセンサーと同じ粒度では直接観測しにくい サードパーティー製品側の除外・許可リスト、VirtualBox・WHP・Hyper-V・VBS等の構成条件 Sure Controllerへの脅威・フォレンジック情報、Threat Forwarding等
ローカルコンテナ：RevoWorks Browser ホストOSとは独立したコンテナ実行環境。ホストEDRは主にホスト側を担当 開発元資料でローカルコンテナと取り出し時の無害化を確認。VirusCheckerの詳細制約は代理店FAQ RevoWorks Plus EDRとしてFFRI yaraiとの組み合わせを公式提供
OS内ポリシー制御：SePセパレートオプション 同一OS上の他のセキュリティ機能と共存設計が必要 DeP HEでは他社AVとの製品別共存設定、SePとの併用不可を公開 企業向けSeP本体の他社EPP/EDR共存リストは公開確認不可。サイバーハイジーン、EDR-Realtime Analyticsで補完
セキュアブラウザ：Soliton SecureBrowser 専用ブラウザとゲートウェイを利用。アプリはサンドボックス化され、終了時にデータを消去する構成 ソリトンのサポートサイトにはOS・仮想基盤・ウイルス対策ソフト対応状況への案内がある SecureBrowser固有のEPP/EDR除外・共存条件は公開範囲で確認不可。導入時に個別確認
非コンテナ型：SKYSEA Client View ブラウザ環境分離 PC内の論理分離環境でブラウザーを利用。公式にコンテナ型ではないと明記 一部ソフトウェアとの非共存条件、関連ファイル・フォルダーへの他ソフトウェアからのアクセス制限を公開 EPP/EDR固有の除外条件は公開範囲で確認不可
仮想ディスク（セキュアコンテナ）型：LOCK STAR-SGate クライアント上の仮想環境で既存アプリを実行し、終了時に仮想領域を削除 仮想ディスク、保存・印刷・画面コピー制御、無害化製品との連携を公開 EPP/EDR除外・共存条件は公開範囲で確認不可。終了前の証跡保存方法は個別確認

大づかみにいえば、micro-VM型やローカルコンテナ型では、分離環境内部の直接可視性と証跡連携が論点になりやすく、同一OS上の制御型では、他製品との共存設定が論点になりやすい傾向があります。

ただし、micro-VM型・ローカルコンテナ型にも仮想化基盤やエンドポイント製品との共存条件があります。「見えないがぶつからない」「見えるがぶつかる」という二分法ではなく、方式によって共存コストの現れる場所が違うと理解するのが適切です。

7. 実務への示唆：「分離＋EPP/EDR」構成の設計チェック

端末分離ソフトウェアとEPP/EDRを併用する場合、少なくとも次を仕様書、設計書、検証計画に落とし込む必要があります。

1. 監視範囲を表にする

「端末全体をEDRが監視する」といった抽象表現ではなく、対象ごとに担当を明確にします。

対象 監視・制御する製品 取得できる情報 取得できない／未確認の情報
ホストOSのプロセス
micro-VM／コンテナ内部
分離環境とホスト間のファイル移送
ネットワーク通信
分離環境終了時の証跡

2. 除外の影響範囲を機能別に確認する

分離製品が要求する除外を、パス・プロセス・バイナリ・ドライバ・証明書等に分けて一覧化します。

その上で、除外が次のどこに影響するかをEPP/EDRベンダーへ確認します。

  • リアルタイムAVスキャン
  • オンデマンドスキャン
  • 振る舞い検知
  • 攻撃面縮小ルール
  • EDRテレメトリ
  • 自動調査・自動修復

「AV除外を入れたからEDRも見えない」とも、「EDRがあるから除外は問題ない」とも決めつけないことが重要です。

3. 仮想化条件を構成管理する

次の組み合わせを、OS大型更新と製品更新のたびに再確認します。

  • CPU世代・ベンダー
  • UEFI Secure Boot
  • Hyper-V、WHP、VBS、Credential Guard
  • Fast Startup、休止状態
  • VirtualBox、VDI、他の仮想化製品
  • GPU、ブラウザー、Office、PDF閲覧ソフト

4. 分離領域のテレメトリ経路を決める

  • 分離製品の管理コンソールで見るのか
  • SIEMへ転送するのか
  • ホスト側EDRのアラートとどう突合するのか
  • 端末ID、ユーザーID、時刻、ファイルハッシュをどう関連づけるのか
  • SOCが最初に確認する画面はどれか

を決めます。

5. ゲート型検査の限界を仕様化する

取り出し時検査や無害化を利用する場合は、次を明記します。

  • 検査の起点
  • 検査エンジン
  • パスワード付きファイルの扱い
  • オフライン時の扱い
  • 検査失敗時の動作
  • 原本、無害化後ファイル、ログの保存期間

6. 証跡保全を設計する

使い捨て環境を終了するとローカル状態が消える場合があります。これは封じ込め上の利点ですが、インシデント調査には別の要件が必要です。次を確認します。

  • 終了前に取得されるログは何か
  • 管理基盤へ送信される情報は何か
  • ネットワーク断時に証跡は保持されるか
  • 必要に応じて分離環境を保全できるか
  • 証跡の保存期間とアクセス権はどうするか

7. 障害時の責任分界を決める

初期化失敗、性能低下、ブラウザーや文書の起動失敗、BSOD等が発生した場合、分離製品とEPP/EDRのどちらへ先に問い合わせるかを決めておきます。

相互運用ガイド、共存確認リスト、除外設定票、製品バージョン、OSビルドを、問い合わせ時に提示できる状態にしておく必要があります。

まとめ

端末内論理分離とEPP/EDRは、原理的に併用できない組み合わせではありません。HP Sure Click EnterpriseはEPP/EDRとの併用条件を公開し、RevoWorksはFFRI yaraiとの組み合わせを製品化しています。

一方、共存は自動では成立しません。次の点を明示的に設計する必要があります。

  • 分離環境内部をホスト側EPP/EDRがどの粒度で観測できるか
  • 共存のための除外が、どの保護機能に影響するか
  • 仮想化基盤の構成条件を満たすか
  • 分離領域の脅威情報とフォレンジック情報をどこへ集約するか
  • 使い捨て環境の終了前に、必要な証跡を外部へ保存できるか

MDAGの非推奨化も、端末分離とEDRが両立しない証拠ではありません。ただし、分離方式がOS、ブラウザー、仮想化基盤、管理APIのライフサイクルに依存することを示す事例ではあります。

したがって、本稿の結論は「端末内論理分離はEPP/EDRと併用すべきでない」ではありません。

端末内論理分離とEPP/EDRの間には、方式ごとに異なる設計上の緊張がある。併用するなら、監視範囲、除外範囲、仮想化条件、証跡経路を明示して初めて多層防御になる。

ということです。

出典区分と、公開資料で確認できていない事項

  • ハミングヘッズの製品別共存条件は、個人向けDeP HEの公開FAQで確認した。企業向けSeP本体の他社EPP/EDR共存一覧は、公開範囲では確認できなかった
  • DeP HEとSePの併用不可について、公開FAQは技術的原因をAPIフックやドライバ競合と説明していない
  • RevoWorks VirusCheckerのリアルタイムスキャン非実施、パスワード付きファイル不可、オフライン不可等は、販売代理店アクシスの公開FAQに基づく。開発元の公開資料では方式と取り出し時検査までは確認できるが、詳細条件をすべて明記した資料は確認できなかった
  • Soliton SecureBrowser、SKYSEA Client View、LOCK STAR-SGateについて、EPP/EDR製品別の除外・共存条件は公開範囲では確認できなかった
  • MicrosoftはMDAG非推奨の理由を、端末分離とEPP/EDRの共存困難性として説明していない。5章後半は公表事実に基づく本稿の分析である
  • 本稿は特定製品の優劣や欠陥を主張するものではなく、方式に内在するトレードオフと共存設計の論点を整理したものである

もう一人の筆者のつぶやき

  • β系モデルの場合、EDR導入必須なので、LGWAN接続系の利用は、今のところ、画面転送型の方がお勧め

参照資料（2026年8月10日閲覧）

HP Sure Click Enterprise

ハミングヘッズ

RevoWorks

Microsoft

フォレンジック

その他の端末分離製品

0
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?