正解：ア
各選択肢の解説
ア端末上の不審な挙動を検知し、原因の調査や端末の隔離を支援するEDR。
正解。EDRは端末（エンドポイント）の中で起きたことを記録し続け、不審な 挙動を見つけたら、どこから入り何をしたかの調査や、ネットワークからの 切り離しを助けます。侵入された後の対応に重心があります。
イ既知のマルウェアの特徴と照合し、ファイルを検出・駆除するマルウェア対策ソフト。
誤り。どちらも端末に入れて使うため混同しますが、マルウェア対策ソフトの主な 役割は、既知のマルウェアを見つけて侵入や実行を未然に防ぐことです。 侵入後の調査や封じ込めを主眼に置くのがEDRです。
ウネットワーク上の不審な通信を検知し、その通信を遮断するIPS。
誤り。IPSが見ているのは端末に届くまでのネットワーク上の通信で、端末の 中で何が起きたかは分かりません。守る場所がネットワークか端末の中かで EDRと区別します。
エ組織のシステムを常時監視し、攻撃の分析や対応の助言を行う専門組織のSOC。
誤り。SOCは監視と分析を担う「組織（チーム）」であり、ソフトウェアや 装置ではありません。SOCがEDRの記録を使って分析することはありますが、 端末上の動きを記録する仕組みそのものはEDRです。
理解を深めるために
「入られない」ではなく「入られた後に素早く気づく」
マルウェア対策ソフトは玄関の鍵にあたり、知っている泥棒を家に入れないための ものです。しかし、見たことのない手口の泥棒は入ってきます。 EDRは家の中の防犯カメラと記録係です。入られた後に、どこから入り、 何に触ったかを記録から追い、その部屋を閉鎖する手助けをします。
なぜEDRが必要になったのか
- 新しいマルウェアは次々に作られ、既知の特徴との照合だけでは防ぎきれません
- そこで「侵入されることはある」という前提に立ち、端末上のプロセスの起動や ファイル操作、通信などの動きを記録・監視します
- 不審な挙動を見つけたら、侵入経路や被害範囲の調査、感染した端末の ネットワークからの隔離といった対応（Response）を支援します
名前の Endpoint Detection and Response は、「端末で・検知して・対応する」を そのまま表しています。
混同しやすいものとの違い
| 名前 | 守る場所 | 主な役割 |
|---|---|---|
| EDR | 端末の中 | 侵入後の検知・調査・封じ込めを支援 |
| マルウェア対策ソフト | 端末の中 | 既知のマルウェアを検出し侵入を未然に防ぐ |
| IPS | ネットワーク上 | 不審な通信を検知し遮断する |
| SOC | （組織） | 監視・分析・対応の助言を行う専門チーム |
試験では「侵入後」「端末上の挙動」「調査」「隔離」といった言葉が出たらEDRです。 同じ端末上の対策でも、入口で防ぐのがマルウェア対策ソフト、入られた後に 備えるのがEDRと覚えると区別できます。