「EDRを導入したのに、なぜランサムウェアの被害が止まらないのか」——2026年、この問いは多くの情報システム部門にとって現実の課題となっています。近年のランサムウェア攻撃は、侵入後にまずEDR（Endpoint Detection and Response）そのものを無力化してから暗号化やデータ窃取に進む手口が標準化しました。本記事では、攻撃者が実際に使うEDR回避（EDR Evasion）の代表的な手法を、防御側の視点で整理し、企業が取るべき現実的な対策を解説します。
なお本記事は攻撃手法の悪用を助長するものではなく、あくまで防御体制の設計・検証（レッドチーム/ペネトレーションテスト）のための知識として、公開情報に基づき解説します。
なぜ今「EDR回避」が問題になっているのか
EDRは、エンドポイント上の不審な挙動を検知・記録し、対応を可能にする強力な仕組みです。しかし攻撃者もEDRの普及を前提に戦術を進化させました。米CISAが2024年に実施した重要インフラ組織のレッドチーム評価では、展開されたペイロードのうちEDRが検知できたのは「ごく一部」にとどまったと報告されています。さらにCrowdStrikeの2026年脅威レポートによれば、検知の82%が「マルウェアレス（マルウェアファイルを使わない）」であり、資格情報の悪用やLiving-off-the-Land（正規ツールの悪用）がEDRの検知網をすり抜けています。
つまり「EDRを入れれば安心」という時代は終わり、EDRが回避される前提で多層防御を設計することが求められています。
攻撃者が使うEDR回避の代表的な7つの手法
1. BYOVD（脆弱な正規ドライバの悪用）
BYOVD（Bring Your Own Vulnerable Driver）は、2026年のEDR回避における最重要手法です。攻撃者は署名済みだが脆弱性を持つ正規のカーネルドライバを標的端末に持ち込みます。正規署名があるためWindowsはこれをカーネル権限で読み込み、攻撃者はそのドライバの脆弱性を悪用してカーネルレベルの権限を獲得。EDRプロセスの強制終了やカーネルコールバックの解除を行います。2026年3月の分析では、54種のEDRキラーが35種の脆弱ドライバを悪用していることが判明しました。
2. EDRキラー・ツールの武器化（RaaS化）
BYOVDを実装した専用ツールが、ランサムウェア・アズ・ア・サービス（RaaS）に組み込まれ流通しています。「EDRKillShifter」「TrueSightKiller」「AuKill（Poortry）」などが代表例で、2026年2月にはReynoldsランサムウェアが脆弱なドライバ（CVE-2025-68947）をペイロード内に直接埋め込み、別途ドライバを投下する工程すら不要にしました。ディスク上に痕跡を残さず、検知の機会を最小化しています。
3. ユーザーモードフックのアンフックと直接システムコール
多くのEDRは、ntdll.dllなどのユーザーモードDLLに「フック」を仕掛けてAPI呼び出しを監視します。攻撃者はこのフックを削除（アンフック）したり、フックされたDLLを経由せずカーネルを直接呼び出すダイレクト/インダイレクト・システムコールを用いることで、監視レイヤーそのものをスキップします。
4. 信頼されたプロセスの悪用（プロセスインジェクション）
正規プロセスのアドレス空間内で悪意ある処理を実行する手法です。プロセスハロウイング、PPIDスプーフィング、モジュールストンピングなどにより、EDRが「信頼済み」と判断するプロセスに紛れて活動します。
5. Living-off-the-Land（LOLBins）
PowerShell、WMI、certutil、rundll32といったWindows標準搭載のバイナリ（LOLBins）を悪用します。これらは正規業務でも使われるため、EDRは誤検知を恐れてアラートを抑制しがちで、「正規ツールによる正規に見える操作」として検知を回避します。
6. メモリ内実行と暗号化ペイロード
ディスク上のファイルは無害な状態にしておき、実行の瞬間だけメモリ上で復号して動作させる手法です。ファイルベースのスキャンを回避し、フォレンジックの痕跡も最小化します。
7. 資格情報の悪用（「侵入」ではなく「ログイン」）
そもそもマルウェアを使わず、窃取した正規の資格情報でログインする攻撃です。MFAバイパス・セッションハイジャック・デバイスコードフィッシングと組み合わされ、EDRのエンドポイント監視だけでは捉えきれないID中心の侵害が主流化しています。
企業が取るべきEDR回避への対策
EDR回避は「EDRを強化する」だけでは防ぎきれません。以下の多層的な対策が有効です。
- HVCI（メモリ整合性）の有効化：Windows 10/11でHypervisor-protected Code Integrity（HVCI/メモリ整合性）を有効にすると、多くのBYOVD攻撃を無効化できます。対応端末では優先的に展開してください。
- Microsoft 脆弱ドライバブロックリストの適用：「Windowsセキュリティ > デバイスセキュリティ > コア分離 > Microsoft 脆弱なドライバー ブロック規則」を有効化し、既知の悪用ドライバの読み込みを阻止してください。
- EDR単独に依存しない多層検知：ネットワーク検知（NDR）、ID脅威検知（ITDR）、資格情報の異常利用監視を組み合わせ、エンドポイントの死角を補完してください。検知の8割がマルウェアレスである以上、ID・ネットワーク層の監視が不可欠です。
- 特権アクセス管理と最小権限：カーネルドライバの導入やEDR停止には管理者権限が必要です。ローカル管理者権限の制限、特権アカウントの分離（PAM）、アプリケーション許可リスト（AppLocker/WDAC）で攻撃の前提を崩してください。
- ペネトレーションテスト／レッドチームによる検証：自組織のEDRが実際にどこまで回避されるかは、攻撃者視点での検証（ペネトレーションテスト・レッドチーム演習・BAS）でしか分かりません。「導入して終わり」ではなく、定期的に回避耐性を実測することが最も確実です。
まとめ：EDRは「入れる」より「回避されない設計」が重要
2026年のランサムウェアは、EDRの存在を前提にBYOVDやマルウェアレス攻撃で検知網をすり抜けます。重要なのは、EDRを単体の「銀の弾丸」として過信せず、HVCIやドライバブロックリストによる土台の強化、ID・ネットワーク層を含む多層検知、そして攻撃者視点での定期的な検証を組み合わせることです。自社の防御が最新のEDR回避手口に耐えられるか——その答えは、実際に攻撃者の視点で試してみて初めて明らかになります。
AEVUSのペネトレーションテスト・レッドチームサービス
AEVUSでは、実際の攻撃者が使うEDR回避手法を含めた実践的なペネトレーションテスト・レッドチーム演習を提供しています。「導入済みのEDRが本当に機能するか検証したい」「侵入後の横展開にどこまで耐えられるか知りたい」といったご要望に、専門チームが貴社環境に即した評価と改善提案を行います。お気軽にお問い合わせください。
