NDR（ネットワーク検知・対応）とは？EDRとの違い・仕組み・中小企業での導入ガイド

社内ネットワークに不審な通信が流れていても、ファイアウォールやエンドポイントのログだけでは気づけないことがあります。「セキュリティ製品は入れているのに、なぜ侵害が見えないのか」と感じるエンジニアは少なくないはずです。

その答えのひとつが、ネットワーク全体のトラフィックをリアルタイムで監視するNDR（Network Detection and Response：ネットワーク検知・対応）です。

この記事では、NDRの仕組み・EDR/SIEMとの違い・実際の導入ステップまでを、現場目線で解説します。中小企業の情シスが「予算の範囲でどこから手をつけるか」という視点も網羅しています。

NDR（ネットワーク検知・対応）とは？

NDRは、ネットワーク上を流れるパケットやフロー情報を継続的に収集・分析し、攻撃者の横断的な移動（ラテラルムーブメント）・C2（Command & Control）通信・データ窃取をリアルタイムで検知する製品カテゴリです。

もともとは「NTA（Network Traffic Analysis：ネットワークトラフィック分析）」と呼ばれていましたが、2020年ごろからGartnerが「NDR」という用語を定義し、検知だけでなく対応（Response）まで含む概念として位置づけました。

NDRが分析する主なデータソースは次のとおりです。

・NetFlow / IPFIX / sFlow: スイッチやルーターが出力するフローデータ。誰がどこにどれだけ通信したかを記録する
・パケットキャプチャ（PCAP）: 全パケットを取得し、より深いペイロード分析が可能
・DNS / HTTP / TLSメタデータ: 通信先ドメイン・証明書の有効期限・SNIなどを解析する
・クラウドフローログ（VPC Flow Logsなど）: クラウド環境の通信を可視化する

なぜ今NDRが注目されるのか

従来のセキュリティ対策は「境界防御」が中心でした。しかし攻撃者は、フィッシングや正規ツールを悪用するLOLBins攻撃などにより境界を突破した後も、正規の管理者ツールと区別がつかない形で活動します。

エンドポイントのEDR製品が各PCの挙動を監視する一方、ネットワーク全体を俯瞰する視点が欠けていると、次のような死角が生まれます。

・管理外のIoTデバイスや複合機からの不審通信
・VPNセッション内のラテラルムーブメント（内部横断）
・暗号化通信（TLS）を使ったC2通信（パケットの中身を復号しなくてもメタデータで検知可能）
・クラウドとオンプレミスをまたいだデータ窃取

NDRはこの「ネットワーク可視性のギャップ」を埋める役割を担います。

NDR・EDR・SIEMの違いと使い分け

3つの製品はよく混同されますが、監視対象と強みが異なります。

理想的には3つを組み合わせてXDR（拡張型検知・対応）として運用しますが、中小企業では予算的に難しいケースも多いです。まず「何が見えていないか」を把握することが先決です。

NDRの検知の仕組み

NDRが不審通信を検知するアプローチは主に3つあります。

1. ルールベース検知（シグネチャ）

既知の攻撃パターン（C2サーバーのIPアドレス・ドメイン・ポート番号）に一致した場合にアラートを出す方式です。SuricataなどのオープンソースIDSと組み合わせることも多く、Linuxサーバーで動かせるのが特徴です。姉妹サイトLinuxMaster.JPでは、Linuxサーバーの構築・運用について詳しく解説しています。

誤検知が少なく運用しやすい反面、未知の攻撃（ゼロデイ攻撃やカスタムC2通信）は見逃しやすいという弱点があります。

2. 異常検知（機械学習・ベースライン分析）

通常の通信パターンを学習し、統計的に逸脱した通信を検知します。たとえば「普段は社内にしか通信しないサーバーが深夜に海外IPへ大量送信している」という挙動が典型的な検知対象です。

NetFlow / IPFIXを活用したベースライン監視から始めると、NDRの基礎的な考え方を低コストで実践できます。

3. 脅威インテリジェンス連携

外部の脅威インテリジェンス（Threat Intelligence）フィードを取り込み、既知の悪意あるIPアドレス・ドメイン・証明書ハッシュと通信先を突き合わせます。

商用NDR製品の多くはこのフィードを自動更新するため、新しいC2インフラが判明した際にも迅速に検知できます。

具体的な防御手順

1. ネットワーク通信の可視化から始める

まず「どんな通信が流れているか」を把握することが第一歩です。NetFlowやsFlowに対応したルーター・スイッチがあれば、フローエクスポートを有効化するだけで通信の概要が見えてきます。

# Cisco IOS系ルーターでのNetFlow設定例（概念）
# インターフェースにNetFlowを有効化
interface GigabitEthernet0/0
 ip flow ingress
 ip flow egress
!
# エクスポート先（NetFlowコレクター）の設定
ip flow-export version 9
ip flow-export destination 192.168.1.100 2055

オープンソースのNetFlowコレクター（ntopng、nfdumpなど）を使えば、無償でネットワーク通信のダッシュボードを構築できます。

センサーの設置場所も重要です。インターネット出口だけでは、社内の東西通信（East-West Traffic）が見えません。コアスイッチのミラーポートにセンサーを配置することで、内部横断を検知できるようになります。

2. 検知アラートの優先度を定める

NDR製品を導入した場合、最初から全てのアラートに対応しようとすると運用が破綻します。次の順序で優先度を整理します。

・最優先（即時対応）: 既知C2サーバーへの通信、大量データの外部送信、業務時間外の管理アクセス
・高優先（当日中に対応）: 社内からの異常なDNSクエリ、ポートスキャン的な通信パターン
・中優先（週次レビュー）: 新規ドメインへの通信、平均を大きく超える通信量のホスト
・低優先（月次確認）: ベースラインからの微小な逸脱

3. インシデント発生時の初動フローを整備する

NDRがアラートを発した際に担当者が迷わないよう、インシデント対応手順書をあらかじめ準備します。

基本フローは次の通りです。

・アラート確認 → 誤検知判定 → 問題なければクローズ
・本物の侵害疑いと判定 → 該当ホストの通信遮断 → ログの保全
・影響範囲の確認 → 経営層・法務への報告基準に従い対応

中小企業でも今日からできること

高機能な商用NDR製品（Darktrace、Vectra AIなど）は月額数十万円からの価格帯で、中小企業には手が届きにくい場合があります。しかし、NDRの考え方を小規模に実践することは十分可能です。

・NetFlow可視化の無償導入: 既存ルーターにNetFlowエクスポートを設定し、ntopngやnfdumpで分析する（月0円から実践できる）
・オープンソースIDS活用: Suricataをミラーポートに設置し、既知の悪意あるシグネチャを検知する
・クラウドネイティブ機能の活用: AWS GuardDuty（VPC Flow Logsの自動分析）やAzure Network Watcherなど、クラウド環境に付属するNDR相当の機能を利用する
・無償脅威インテリジェンスフィード: 公開IOCフィードを自社ファイアウォールのブロックリストに取り込んで自動更新する

まずは「外部への通信ログを1週間分確認し、見慣れないドメインへの通信を洗い出す」だけでも、NDR的な視点を持つきっかけになります。

よくある誤解と注意点

【誤解1】NDRを入れれば全ての攻撃が検知できる

NDRはネットワーク可視性を劇的に改善しますが、暗号化されたエンドポイント内の挙動（ファイルレスマルウェアのメモリ内実行など）の詳細まで把握することはできません。EDRと組み合わせることで死角が減ります。

【誤解2】NDRとSIEMは同じようなもの

SIEMは「ログ（テキストデータ）」を収集・相関分析します。NDRは「通信フロー・パケット」を分析します。SIEMにNetFlowを取り込む構成もありますが、NDR専用製品の方が通信分析の深度と速度が優れています。

【注意】プライバシーと法規制への配慮

社内トラフィックの解析は、従業員のプライバシーに関わる場合があります。個人情報保護法・就業規則・監視の範囲について法的な確認を行い、社員への適切な通知を行ったうえで実施してください。詳細は法律の専門家にご確認ください。

本記事のまとめ

NDRはエンタープライズ向けの高価な製品というイメージがありますが、考え方そのものはNetFlowとオープンソースツールで無償から実践できます。まずは「ネットワーク上を何が流れているかを見える化する」ところから始めてみましょう。