FortiEDRは完全にクラウドで実行できますか？

はい、FortinetはFortiEDR向けに完全にクラウドホスト型の展開オプションを提供しています。このモデルでは、FortiEDR Core Server (FCS) インフラストラクチャはFortinetによってクラウドで管理されます。FortiEDRコレクターを搭載したエンドポイントは、CrowdStrikeモデルと同様に、インターネットアクセスがあるだけでクラウドマネージャーに接続できます。

FortiEDRコレクターが送信するデータ量とCrowdStrike Falconセンサーが送信するデータ量はどのくらいですか？

CrowdStrike FalconセンサーはWAN帯域幅の利用効率が高く、通常、エンドポイントあたり1日あたり25〜50 MBのデータを直接クラウドに送信します。FortiEDRコレクターはより多くの生テレメトリー、エンドポイントあたり1日あたり約150〜200 MBを生成し、これはオンプレミスのAggregator/Coreサーバーに送信されるため、WAN帯域幅ではなく内部ネットワーク帯域幅を消費します。

FortiEDRは従来のアンチウイルス（AV）を置き換えますか？

はい。FortiEDRには、従来のシグネチャベースの検出に加えて、機械学習と行動分析を使用する次世代アンチウイルス（NGAV）機能が含まれています。この機能は、従来のAVソリューションを置き換えるように設計されており、感染前防御と感染時検出および対応の両方を提供します。

FortiEDRのFortiAnalyzerとの統合の主な利点は何ですか？

主な利点は、統合された可視性と脅威の相関です。詳細なエンドポイントログをFortiAnalyzerにフィードすることで、EDRイベントとFortiGateファイアウォール、FortiMailメールゲートウェイ、その他のFabricコンポーネントからのログを相関させることができます。これにより、アナリストは単一のコンソールからネットワーク、メール、エンドポイント層にわたる完全な攻撃チェーンを追跡できます。

CrowdStrike Falconは侵害されたデバイスを隔離できますか？

はい、CrowdStrike Falconには「ネットワーク封じ込め（Network Contain）」機能があります。アナリストまたは自動ポリシーは、これを使用してホストをネットワークから即座に隔離できます。Falconセンサーは、CrowdStrikeクラウドとの通信を除くすべてのネットワークトラフィックをブロックすることで、ホストレベルでこれを強制し、隔離されたデバイスの継続的な管理と調査を可能にします。

FortiEDRを効果的に使用するにはFortiSOARが必要ですか？

いいえ、FortiSOARは必須ではありませんが、FortiEDRの潜在能力を最大限に引き出します。FortiSOARがなくても、FortiEDR ManagerとSecurity Fabric統合を使用して手動または半自動の対応を実行できます。しかし、FortiSOARは完全に自動化されたクロスプロダクトのプレイブックを可能にし、セキュリティチームの対応時間と手作業を劇的に削減します。

10,000エンドポイントの展開の場合、FortiEDRログ用の現実的なFortiAnalyzerのGB/日ライセンスはどのくらいですか？

エンドポイントあたり平均200 MBのデータが毎日生成されると仮定すると、10,000エンドポイントの展開では、1日あたり約2 TBのログデータが生成されます。したがって、他のすべてのログソースに加えて、FortiAnalyzerをFortiEDRテレメトリー専用として少なくとも2 TB/日の容量でライセンスする必要があります。

FortiEDR vs. CrowdStrike Falcon: エンタープライズEDR テクニカル詳細比較 2026

CrowdStrike Falconは、その優れた脅威インテリジェンスと大規模なテレメトリーグラフによりクラウドネイティブEDR市場を牽引し続けている一方、FortiEDR 7.2は強力な統合主体の代替手段を提供する。Fortinet Security Fabricにコミットしている企業にとって、FortiEDRはFortiGate、FortiAnalyzer、特にFortiSOARとの深い連携による魅力的なTCO（Total Cost of Ownership）と運用効率を実現する。2026年の意思決定は、もはやEDRを選ぶことではなく、アーキテクチャの戦略を選ぶことにある。最高のクラウドパワーを追求するベストオブブリード戦略か、単一ベンダーのセキュリティプラットフォームがもたらす深いシナジー効果か。

コレクターアーキテクチャとエンドポイントのフットプリント

FortiEDRとFalconの根本的な違いはエージェントから始まる。FortiEDRコレクターは、テレメトリーをオンプレミスまたはクラウドに展開可能な集中管理コンソールに送信する洗練されたエンドポイントエージェントである。典型的なオンプレミス環境では、Windows 11またはRHEL 9などのエンドポイントで動作するコレクター（バージョン7.2+）が、アグリゲーターとコアサーバー（VMとして動作し、総称してFortiEDR Core ServerまたはFCSと呼ばれる）からなる階層型バックエンドにイベントを転送する。このアーキテクチャは、データをWANに送信する前に企業ネットワークのエッジでフィルタリングおよび集約することを可能にし、WAN帯域幅を節約する一方で、オンプレミスインフラストラクチャの管理オーバーヘッドを伴う。コレクター自体は軽量だが、その動作モードは積極的で、OSカーネルの奥深くにフックして、プロセス作成、ファイルI/O、ネットワークソケット、レジストリ変更などのシステムコールを監視する。管理者は、機密性の高いサーバーでのエンドポイントパフォーマンスの低下を防ぐために、CPUThrottlingなどの特定のパラメータで動作を調整できる。

対照的に、CrowdStrikeのFalconセンサーは純粋なクラウドネイティブ哲学を体現している。これは、驚くほど軽量な単一エージェントであり、通常30MB未満のRAMと1%未満のCPUしか消費せず、イベントデータを直接マルチテナントのCrowdStrike Threat Graphクラウドにストリーミングする。展開または保守するオンプレミスのコレクター、アグリゲーター、またはマネージャーは存在しない。これにより、展開は劇的に簡素化され、インフラストラクチャのサイジングに関する懸念が解消される。すべてのデータ分析、相関、ポリシー適用はクラウドで行われる。このアプローチは、CrowdStrikeに脅威のグローバルに集約されたリアルタイムビューを提供するが、エンドポイントの常時安定したインターネット接続が必要であり、すべての生テレメトリーデータがWANを介して転送されることを意味する。これは、従量制または制約のある接続環境では考慮事項となる。

検出メカニズムと有効性

FortiEDRは、多段階の検出および対応戦略を採用している。感染前には、次世代アンチウイルス（NGAV）機能のための静的解析エンジンを使用し、ファイルシグネチャとヒューリスティクスに基づいて既知のマルウェアをブロックする。しかし、その中核となる力は、感染時の振る舞い分析にある。プロセスが実行されると、EDRカーネルセンサーはその動作をリアルタイムで監視し、悪意のあるパターン（例えば、ファイルレス攻撃、ランサムウェアのようなファイル暗号化活動）を識別するように設計されたルールセットと機械学習モデルと比較する。脅威となるパターンが検出されると、感染後フェーズが自動的にトリガーされ、プロセスツリーがブロックされ、悪意のある変更が元に戻され、エンドポイントが隔離される。ポリシーロジックは集中管理されるが、コレクターにキャッシュされるため、エンドポイントがオフラインの状態でも自律的なブロックが可能である。

CrowdStrikeの有効性は、そのThreat Graphから生まれる。Falconは、単一マシンのイベントにのみ焦点を当てるのではなく、顧客ベース全体にわたるプロセス、ユーザー、ネットワーク接続、ファイル間の関係を分析する。これは週に数兆件のイベントに及ぶ。これにより、IoC（Indicators of Compromise）のような単純なものから、攻撃者のTTP（Tactics, Techniques, and Procedures）を表す洗練されたIoA（Indicators of Attack）を特定できる。例えば、Falconは悪意のあるPowerShellスクリプトだけでなく、ユーザーがメールのリンクをクリックし、それがWordマクロを生成し、さらにPowerShellコマンドを起動してペイロードをダウンロードするという、一連の攻撃チェーン全体を把握する。このグラフベースのビッグデータアプローチによる脅威検出は非常に強力であり、Falcon OverWatchのマネージド脅威ハンティングチームによって常に強化されている。これにより、単一のエンドポイントの視点からは無害に見えるかもしれない、新しく複雑な攻撃チェーンを検出する点でCrowdStrikeは優位に立つ。

サイジングと展開: 10,000エンドポイントの例

これら2つのプラットフォームのバックエンド要件を定量化すると、そのアーキテクチャの根本的な違いが明らかになる。10,000個のエンドポイント（Windows 11ワークステーション7,000台、RHEL 9サーバー3,000台）を持つハイブリッド企業を考えてみよう。

FortiEDR オンプレミスサイジング

堅牢なFortiEDRオンプレミス展開には、かなりのインフラストラクチャが必要となる。まず、テレメトリー量を計算する。ある程度の活動があるエンドポイントは、1日あたり200 MBのログデータを生成する可能性がある。10,000エンドポイントの場合、これはFCSによって処理されなければならない1日あたり2 TBのデータとなる。推奨される仮想化展開には、以下が含まれる可能性がある。

1x Manager VM: 16 vCPU, 64 GB RAM, 管理とポリシー用の1 TBストレージ。
2x Core VM: 各12 vCPU, 48 GB RAM, 2 TBストレージ。これらがイベント処理と分析の重い作業を処理する。2台実行することで冗長性と負荷分散が提供される。
2x Aggregator VM: 各8 vCPU, 32 GB RAM。これらはネットワークエッジに配置され、コレクター接続を受信し、データをCoreに転送する。

これはEDRアプリケーションのみのサイジングである。1日あたり2 TBのログデータは、長期間の保存と相関のためにFortiAnalyzerに送信する必要がある。処理後の平均ログサイズを1.5 KBと仮定すると、これは1日あたり約14億ログに相当する。これには、FAZ-3500GペアのようなハイエンドのFortiAnalyzerクラスターと、1日あたり2〜3 TBのティアという実質的なGB/日ライセンスサブスクリプションが必要となり、ソリューション全体のコストの主要な部分を占める。

CrowdStrike Falcon サイジング

CrowdStrikeのサイジングは根本的に異なる。サイジングするオンプレミスサーバーインフラストラクチャは存在しない。責任はネットワークとサブスクリプションに移る。Falconセンサーは非常に効率的で、通常、エンドポイントあたり1日あたり25〜50 MBをクラウドに送信する。最大値では次のようになる。

WAN帯域幅: 10,000エンドポイント * 50 MB/日 = 1日あたり500 GBの出力トラフィック。これは大きいが、FortiAnalyzerに到達する前のFortiEDRによって生成される内部トラフィックの4分の1である。

コストは、エンドポイントの数と選択されたサブスクリプションティア（例: Falcon Pro、Enterprise、またはElite）のみに基づいている。このティアには、NGAV、EDR、脅威インテリジェンス、マネージドハンティングなどの機能がバンドルされている。顧客は、バックエンドのセキュリティインフラストラクチャのスケーリング、保守、またはパッチ適用に責任を負わない。これは運用上の大きな利点である。

統合: Security Fabric vs. APIファースト

これはFortiEDRの得意分野である。Fortinet Security Fabricの一部として展開された場合、その価値は指数関数的に増幅される。統合はシームレスかつ強力である。

FortiGate統合: FortiEDR (v7.2+) がワークステーション上で高リスクの脅威を検出すると、Fabric Connectorを介してFortiOS 7.6を実行しているFortiGate 1800Fにこれを伝達できる。FortiGateは、スイッチポート（FortiSwitchを使用している場合）に即座に隔離ポリシーを適用したり、クリティカルサーバーへのアクセスをソースIPからブロックしたりすることができ、ネットワーク層で数ミリ秒以内に脅威を効果的に隔離する。
FortiAnalyzer相関: 真の力は、FortiEDRのエンドポイントテレメトリーと、FortiGate（ファイアウォール）、FortiMail（メール）、FortiWeb（WAF）からのログを相関させることにある。FortiAnalyzerでは、セキュリティアナリストは、悪意のあるメール添付ファイル（FortiMailログ）から、ユーザーがそれをダウンロード（FortiGateログ）、エンドポイントでファイルが実行（FortiEDRログ）、そしてC2サーバーへの接触試行（再びFortiGateログ）まで、攻撃を追跡できる。この統合された可視性は、異なるベンダーのソリューションでは再現するのがほぼ不可能である。
FortiSOAR自動化: これはFabric統合の頂点である。FortiEDRからの「高リスクメモリ改ざん」イベントは、FortiSOARプレイブックを自動的にトリガーできる。これにより、Fabric全体で対応をオーケストレートできる。FortiEDRを使用してホストを隔離し、悪意のあるファイルのハッシュを取得し、FortiSandboxに送信して爆発処理し、FortiAnalyzerでハッシュを検出したすべてのホストを照会し、すべてのエンリッチされたデータとともにServiceNowで高優先度のチケットを発行する。これらすべては人間の介入なしに行われる。

CrowdStrikeは、CrowdStrike Storeと豊富なAPIエコシステムを介してAPIファースト戦略を追求している。Falconは、ネットワークアクセス制御のためのZscaler、IDベースの応答のためのOkta、SIEM統合のためのSplunkなど、さまざまなサードパーティシステムと統合できる。これにより、非常に高い柔軟性が提供されるが、統合の責任は顧客にある。Falcon検出からのZscaler ZIAポリシー応答を結合するには、APIスクリプト作成、コネクタの保守、および複数のベンダー関係の管理が必要となる。これは強力だが、Fortinet Security Fabricのようなすぐに使えるワンクリックのシナジー効果は期待できない。

よくある落とし穴: FortiEDRのデフォルトの脅威ハンティングポリシー

FortiEDRの導入時によくある間違いは、すべての資産にデフォルトのデータ収集および脅威ハンティングポリシーを適用したままにすることである。これらのデフォルトは汎用ワークステーション向けに調整されており、特に開発サーバーやビルドサーバーのような特殊なサーバー上では、かなりのノイズとパフォーマンスオーバーヘッドを発生させる可能性がある。例えば、「プロセス作成」および「ファイル書き込み」イベント収集は、脅威の検出に不可欠である一方で、数千のファイルを合法的にコンパイルし、数分で数百のプロセスを生成するビルドサーバーを圧倒してしまう可能性がる。これにより、SOCアナリストの警告疲労と開発者からのパフォーマンスに関する苦情につながる。正しいアプローチは、FortiEDR Managerで詳細なポリシーを作成することである。ビルドサーバーのグループの場合、主要なビルドディレクトリ（例: D:\build_agent\_work\*）や既知のコンパイラプロセス（例: csc.exe、gcc.exe）を最も詳細なリアルタイム監視ルールから特別に除外するポリシーを作成する必要がある。異なる資産の役割に合わせてこれらのポリシーを適切に調整しないと、広範囲にホワイトリスト化しすぎて（セキュリティの盲点を作成）、または誤検知に溺れることになる。

FortiEDRを使用すべきでない場合

FortiEDRは優れた製品だが、その主な強みは統合性にある。もし貴社がFortinet製品を使用していない、つまり主要なファイアウォールとしてFortiGateを使用しておらず、FortiAnalyzerやFortiSOARの導入予定がないのであれば、FortiEDRを採用するメリットは大幅に減少する。スタンドアロンEDRとして見ると、FortiEDRはCrowdStrike Falcon、SentinelOne、Microsoft Defender for Endpointなどのクラウドネイティブソリューションと直接競合する。これらのソリューションは、よりシンプルな展開アーキテクチャ（オンプレミス管理サーバー不要）と、おそらくより成熟したスタンドアロン機能セットを提供している。Security Fabricのコンテキストなしでは、オンプレミスでのFCS管理、FortiAnalyzerのサイジング、手動での統合構築は、異種混在のネットワークセキュリティスタックにとって、クラウドネイティブの競合製品よりも魅力のない選択肢となる。

最終的に、FortiEDRとCrowdStrike Falconの選択は戦略的なものである。Fortinetエコシステムに深く投資している組織にとって、FortiEDR 7.2は、サードパーティ製品では達成が困難で高価なレベルの自動応答と相関可視性を提供する。FortiSOARとの運用シナジーだけでも、その決定は正当化される。逆に、ベストオブブリードの検出、マネージド脅威ハンティング、およびマルチベンダー環境での運用シンプルさを優先する企業にとっては、CrowdStrike Falconが引き続きベンチマークとなる。そのクラウドネイティブアーキテクチャとThreat Graphの前例のないインテリジェンスは、強力な防御を提供し、市場でのそのプレミアムな地位を正当化する。決定を下す前に、貴社が将来どのセキュリティアーキテクチャを採用するかをまず決定する必要がある。techleague.ioの専門家にご連絡いただき、詳細なアーキテクチャレビューを予約してください。

さらに詳しく知りたい場合は、FortiGateとPalo Alto Networksのファイアウォールの比較、または2026年のXDR vs. SIEMの解明に関するガイドをご覧ください。