3.1エンドポイント技術

ネットワーク境界のセンサだけでは、暗号化された通信の中身や、正規の認証情報で持ち込まれた不正な操作は見えません。だからこそエンドポイント（ホスト）そのものの可視性が要ります。この節では、ホスト上で動く3つの防御——HIDS（ホストの挙動・ファイル・ログを監視）、AV/アンチマルウェア（悪性コードを検知/隔離）、ホストファイアウォール（そのホスト宛/発の通信を制御）——の役割分担と、これらが何を根拠に「悪い」と判定するのか（シグネチャか、振る舞いか）を、アラートを読むアナリストの視点で整理します。

3.1.1ホスト上の防御の役割

• HIDS（ホスト型侵入検知システム）＝そのホスト上のシステムコール・プロセス生成・ファイル/レジストリ変更・ログ改ざんなどを監視し、不審な挙動を検知する。ネットワーク型IDS（NIDS）が回線を流れるパケットを見るのに対し、HIDSはホスト内部の状態を見るため、暗号化トラフィックの先で起きた実行や、内部からの侵害後活動を捉えやすい。現代のEDRはHIDSに対応/封じ込め機能を統合したもの。
• アンチマルウェア/アンチウイルス（AV）＝ファイルやメモリ上のコードが既知のマルウェアと一致するかを照合し、検知したら隔離/駆除する。従来型（レガシー）AVはシグネチャ照合が中心で、既知検体には強いが未知/亜種には弱い。次世代AV（NGAV）は振る舞い/機械学習を併用する。
• ホストファイアウォール＝そのホスト自身が持つパケットフィルタで、ホスト宛/発の通信をポート・プロトコル・アプリ単位で許可/拒否する（Windows Defender Firewall、Linuxの iptables/nftables など）。ネットワークFWが境界を守るのに対し、ホストFWは個々の端末を最終防衛線として守り、内部横展開（ラテラルムーブメント）を絞る。

3.1.2検知の土台：シグネチャと振る舞い/予測

• シグネチャ/ルールベース＝ハッシュ・バイト列・既知の悪性パターンなど、あらかじめ定義した既知の特徴に一致したら検知する。誤検知（FP）が少なく判断根拠が明確な反面、未知/ゼロデイやわずかに改変された亜種を取りこぼす（シグネチャが未整備なため）。
• 振る舞い/予測（予測AI）ベース＝正常な基準（ベースライン）からの逸脱や、悪性に典型的な動作の連鎖（例：文書アプリがPowerShellを起動し外部へ接続）を検知する。未知の脅威にも反応できるが、正常な業務でも似た動作が起きればFPが増えやすい。予測AI/機械学習はこの振る舞い型を高度化したもの。

あなたはSOCで、ある業務PCから同時に上がった2つの通知をトリアージしています。1つはAVの「既知のトロイの木馬 Trojan.GenericKD を検知・隔離」、もう1つはHIDS/EDRの「winword.exe が子プロセスとして powershell.exe -enc <Base64> を起動し、外部IPへ接続を試行」という振る舞いアラートです。ここで「AVが既知として隔離したのだから対処済み、HIDS側はFPだろう」と早合点するのは危険な判断です。AVのシグネチャ検知はその検体1つを止めただけで、winword.exe（文書アプリ）が難読化PowerShellを起動して外部接続を試みる連鎖は、シグネチャに載っていない未知/亜種のペイロードやファイルレス実行の兆候であり、まさに振る舞い/予測型が捉えるべき事象です。判断としては、HIDSアラートを真陽性寄りに扱い、その端末を隔離してプロセスツリー・接続先・生成ファイルを保全します。逆に、AVだけを入れて振る舞い監視を欠く構成では、ちょうどこの「文書マクロ→難読化スクリプト→外部C2」の連鎖をシグネチャ未整備ゆえに見逃す——これが「レガシーAVは既知に強く未知に弱い」という弱点の実務での現れ方です。またホストFWの観点では、この端末からの見慣れない宛先ポートへの外向き通信をブロックしておけば、たとえ実行を許してもC2確立や横展開を最終防衛線で絞れます。どの技術が何を根拠に上げたアラートかを見分けることが、過小評価（未知の見逃し）も過大評価（FPへの過剰反応）も避ける鍵です。

3.1.3この節のまとめ

• HIDS/EDRはホスト内部の挙動、AVは悪性コード、ホストFWは端末宛/発の通信を見る——境界センサでは見えない可視性を補う
• シグネチャ/ルールは既知に強く未知に弱い、振る舞い/予測AIは未知に反応するがFPが増える——両者は補完関係
• アラートは「どの技術が何を根拠に上げたか」で読み解く——AVの既知隔離だけで安心せず、振る舞いアラートの侵害後活動を見落とさない