どんな製品か
Cortex XDR は、Palo Alto Networks が提供する XDR（Extended Detection and Response）製品です。XDR は EDR の考え方を端末だけにとどめず対象を広げたもので、Cortex XDR は端末・ネットワーク・クラウドといった複数の領域からデータを集め、横断的に相関分析して脅威を検知・調査・対応します。端末側ではエージェントによる防御（EPP）と検知・対応（EDR）も担います。
横にスクロール
仕組み・特徴
Cortex XDR の核心は「複数領域のデータを一つに束ねて相関する」ことです。端末エージェントの情報に、同社のファイアウォールなどが持つ通信側のデータ、クラウドやログを統合し、単一の端末だけでは見えにくい攻撃の全体像をつかみます。
- 端末エージェントによる防御・検知に加え、ネットワーク・クラウドのデータを統合。
- 関連する事象を自動で束ね（インシデントとしてまとめ）、調査の起点を分かりやすくする。
- 端末の隔離などをコンソールから要求できる。未接続端末では保留になり得るため、Action Center で実行結果を確認する。
- 同社のファイアウォール製品群とログ・基盤を共有し、連携運用しやすい。分析基盤は Cortex Data Lake を土台にする。
EDR と XDR の違い
| 観点 | EDR 専業 | Cortex XDR |
|---|---|---|
| 対象 | 端末が中心 | 端末＋ネットワーク＋クラウド |
| 強み | 端末の検知・対応 | 領域横断の相関で全体像 |
| ベンダー特性 | エンドポイント特化 | NW セキュリティの資産を活用 |
| 運用 | アラート精査が前提 | 横断分析の読み解きが前提 |
位置づけ・注意点
エンドポイント単体の EDR が「端末上の検知・対応」に軸足を置くのに対し、Cortex XDR は最初から「端末＋ネットワーク＋クラウドの横断」を前提に設計されている点が特色です。ネットワークセキュリティに強い Palo Alto Networks が、通信側のデータと端末側の情報を突き合わせられることが差別化点です。
XDR である以上、束ねられたインシデントを読み解く運用は前提になります。自社対応が難しい場合は MDR（運用代行）と組み合わせる構成も選ばれます。既存で同社ファイアウォールを使っているとデータ連携の利点が出やすくなります。
総じて Cortex XDR は、端末に加えネットワーク・クラウドを横断相関する XDR で、ネットワークセキュリティの資産を活かした全体像の把握が強みです。
Security Vendor
Palo Alto Cortex XDRを実務で読む
TL;DRは入口です。実際に選ぶ・使う段階では、何を解決するか、何と比較するか、導入後にどこで詰まるかまで見る必要があります。
解決すること
標的型・ランサム対策
比較で見る軸
対応カテゴリ: 1領域 / 主な領域: エンドポイント検知・対応
導入後に効く点
侵入後の検知・対応
先に潰すリスク
ベンダー名だけで選ばず、守る対象、運用体制、既存環境との連携、検知後の対応手順まで確認する。
- 対応カテゴリ
- 1領域
- 主な領域
- エンドポイント検知・対応
判断チェックリスト
- 自社の用途が「標的型・ランサム対策 / インシデント調査・対応」に近いか確認する。
- 強みである「侵入後の検知・対応」が本当に評価軸になるか確認する。
- 注意点の「ベンダー名だけで選ばず、守る対象、運用体制、既存環境との連携、検知後の対応手順まで確認する。」を運用で吸収できるか確認する。
- 公開値や仕様値は、対象プラン・対象機種・対象リージョンまで確認する。
- 既存システム、ID、ネットワーク、監視、バックアップとの接続方法を先に洗い出す。
- 小さく試してから、本番移行、権限設計、障害時手順、コスト監視を決める。