変更要約: 初版
3.1OSのセキュリティ概念
Windows/macOS/Linuxという主要OSに共通する守りの仕組み——Windows Defenderやホストベースファイアウォール、CLIとPowerShell、ファイル/ディレクトリの権限、そして攻撃者が狙う権限昇格——を、「このエンドポイントは適切に守られているか」を見分ける基礎として学びます。
ネットワークの入口をどれだけ固めても、最後にデータが置かれ、人が操作するのはエンドポイント（PCやサーバ、スマホ）です。だからこそ攻撃者はエンドポイントを狙い、守る側はOSに備わった仕組みを正しく使う必要があります。この節では、Windows・macOS・Linuxという主要OSに共通する守りの考え方として、標準搭載のマルウェア対策Windows Defenderとホストベースファイアウォール、操作の土台となるCLIとPowerShell、誰が何をできるかを決める権限（ファイル/ディレクトリのアクセス制御）、そして攻撃者が管理者権限を奪おうとする権限昇格を、暗記ではなく「このPCは適切に守られているか」を見分ける視点で学びます。
3.1.1主要OSと標準のセキュリティ機能
- Windowsは企業クライアントの主流で、標準のマルウェア対策Windows Defender（Microsoft Defender Antivirus）とホストベースのWindows Defenderファイアウォールを備える。ユーザー操作の権限を確認するUAC（ユーザーアカウント制御）が、管理者権限が必要な操作の前に同意を求める。
- macOSはUnix系で、アプリの署名を検証するGatekeeperやディスク暗号化FileVaultを持つ。LinuxもUnix系で、多くのサーバに使われ、ホストFWのiptables/firewalldやアクセス制御のSELinux/AppArmorなどを備える。OSは違っても「マルウェア対策・ホストFW・アクセス制御・暗号化」という守りの要素は共通している。
- ホストベースファイアウォールは、そのエンドポイント自身で通信を許可/拒否する。ネットワーク境界のファイアウォールが「入口の門」なら、ホストFWは「各部屋の鍵」で、内部に侵入されても横方向の広がりを抑える多層防御の一枚になる。
3.1.2CLI・PowerShellと権限
- CLI（コマンドラインインターフェース）は文字でOSを操作する手段で、GUIより自動化・遠隔操作・監査に向く。Windowsでは高機能なPowerShellが標準で、Linux/macOSではbashなどのシェルを使う。管理者はこれらで設定確認やログ収集を行うが、同じ道具は攻撃者にも使われうる点に注意する。
- ファイル/ディレクトリの権限は「誰が読み/書き/実行できるか」を決めるアクセス制御。WindowsはNTFSのACL、Linux/macOSは所有者/グループ/その他に対する読み(r)/書き(w)/実行(x)で表す（例：
rwxr-xr--）。最小権限の原則（必要な人に必要な分だけ）が基本で、全員に書き込みを許すような緩い設定は改ざんの温床になる。 - 権限昇格（privilege escalation）＝通常ユーザーの権限しか持たない攻撃者が、脆弱性や設定ミスを突いて管理者（Windowsの Administrator・Linuxの root）権限を奪うこと。昇格されると設定変更・ログ消去・他アカウント作成など何でもできてしまうため、標準ユーザーで運用し管理者権限を絞ることが最大の防御になる。
「Windows Defender＝Windows標準のマルウェア対策／ホストベースFWはエンドポイント自身で通信を許可・拒否」「PowerShellはWindowsの高機能CLI」「ファイル権限はWindows=NTFS ACL・Linux=rwx（所有者/グループ/その他）で最小権限が基本」「権限昇格＝一般ユーザーが管理者/root権限を不正に奪うこと」が頻出です。OSは違っても守りの要素は共通、と押さえましょう。
サポート担当のあなたに、あるユーザーから「共有フォルダ内のファイルが誰かに勝手に書き換えられていた」と相談が来たとします。ここで慌ててウイルススキャンだけを回すのは早計です。まず確認すべきは権限の設定——そのフォルダが「全員に書き込み可（Linuxでいえば rwxrwxrwx のような緩い設定）」になっていないかです。もし誰でも書き込める設定なら、マルウェアではなく単に最小権限が守られていないことが原因かもしれず、正しい所有者/グループだけに書き込みを絞る（例：rwxr-x---）のが本筋の対処になります。次に「そのPCで見慣れない管理者アカウントが増えている」「深夜にPowerShellが動いた形跡がある」といった兆候があれば、権限昇格を疑う場面です。攻撃者が一般ユーザーとして侵入したあと、脆弱性を突いて管理者権限を奪い、net user で新しい管理者を作った、というシナリオが考えられます。この場合、標準のWindows Defenderのスキャン結果とWindowsのログを併せて確認し、不正なアカウントや自動実行の有無を洗い出します。ここで大切なのは、「改ざん＝即マルウェア」と決めつけず、権限設定（そもそも書けてしまう設定か）と権限昇格（管理者を不正に奪われたか）の両面から切り分ける姿勢です。入門段階では、深い侵入解析まで踏み込む必要はありませんが、最小権限とホストの標準機能（Defender・ホストFW）を正しく使えているかを確かめるこの基本動作が、エンドポイント防御の土台になります。
| 観点 | Windows | Linux / macOS（Unix系） |
|---|---|---|
| 標準マルウェア対策 | Windows Defender（Defender Antivirus） | ClamAV等を追加（macOSはXProtect/Gatekeeper） |
| ホストFW | Windows Defenderファイアウォール | iptables / firewalld / pf |
| 主なCLI | PowerShell / コマンドプロンプト | bash などのシェル |
| ファイル権限 | NTFSのACL | rwx（所有者/グループ/その他） |
| 最上位権限 | Administrator | root |
ひっかけ： 「マルウェア対策ソフトさえ入れれば、ファイルの権限設定は緩くてもよい」は誤りです——権限（最小権限）とWindows Defenderのようなマルウェア対策は別々の層で、全員に書き込みを許す設定は改ざんの入口になります。また「権限昇格とは一般ユーザーが自分のパスワードを変えること」も誤り＝権限昇格は管理者/root権限を不正に奪う攻撃で、正規のパスワード変更とは別物です。
3.1.3この節のまとめ
- 主要OS（Windows/macOS/Linux）は違っても、マルウェア対策・ホストファイアウォール・アクセス制御・暗号化という守りの要素は共通
- PowerShellなどのCLIは管理と自動化の土台。ファイル権限（Windows=NTFS ACL・Linux=rwx）は最小権限が基本
- 権限昇格は一般ユーザーが管理者/root権限を不正に奪う攻撃。標準ユーザー運用と管理者権限の絞り込みが最大の防御
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるWindows PCで、一般ユーザーとしてログインしていたはずの利用者が、いつの間にか新しいAdministratorアカウントを作成できる状態になっていた。この事象を最もよく表す用語はどれか。
Q2. Linuxサーバの共有ディレクトリが `rwxrwxrwx`（全員が読み書き実行可）に設定されていた。セキュリティ上の観点として最も適切なものはどれか。
Q3. Windowsに標準で搭載され、そのエンドポイント自身でマルウェア対策を行う機能として最も適切なものはどれか。