変更要約: 初版
3.4更新適用とログ/マルウェア対応
エンドポイントを健全に保ち異常に気づく運用——Windows Updateやアプリ/ドライバ/ファームウェアのパッチ適用、Event Viewerやsyslogによるログの解釈と異常の特定、そしてマルウェアを見つけたときの除去手順（スキャン→ログ確認→修復）——を、「更新は当たっているか」「このログの何が異常か」を見分ける基礎として学びます。
エンドポイントの守りは「入れて終わり」ではなく、最新に保ち、記録を見て、異常に気づき、見つけたら対処するという日々の運用で支えられます。攻撃の多くは、既に修正が出ている古い脆弱性を突いてくるため、Windows Updateやアプリ・ドライバ・ファームウェアのパッチを当て続けることが基本の防御になります。同時に、何か起きたときに手がかりを残すのがログで、WindowsのEvent ViewerやUnix系のsyslogを読み、「いつもと違う（異常）」に気づく力が要ります。そして実際にマルウェアを見つけたら、慌てずスキャン→スキャンログの確認→修復という手順で対応します。この節では、これらを「更新は当たっているか」「このログの何が異常か」「マルウェアをどう除去するか」を見分ける視点で学びます。
3.4.1更新とパッチの適用
- パッチ＝ソフトの脆弱性やバグを直す修正プログラム。OSはWindows Update（Windows）やパッケージ管理（Linuxの apt/yum 等）で当て、アプリ・ドライバ・機器のファームウェアも更新対象になる。攻撃の多くは既知の（＝既に修正済みの）脆弱性を突くため、速やかなパッチ適用が最も費用対効果の高い防御。
- 更新は「当てれば安心」ではなく、適用状況の確認（未適用の端末はないか）と、業務影響を避ける適用タイミングの管理が伴う。資産管理（前節）のインベントリと組み合わせて、「どの端末がどのバージョンか・パッチ漏れはないか」を把握することが要点。
3.4.2ログの解釈と異常の特定
- ログ＝機器やOSが残すイベントの記録。WindowsはEvent Viewer（システム/セキュリティ/アプリケーションなどのログ）で、Unix系はsyslog（重大度は0=緊急〜7=デバッグ）で確認する。ログイン成否・サービス起動/停止・エラーなどが時刻付きで残り、事後の調査の土台になる。
- 異常（アノマリ）＝平常時（ベースライン）からの逸脱。例：深夜帯の管理者ログイン、短時間の連続したログイン失敗（総当たりの兆候）、見覚えのないプロセスやサービスの起動、普段と桁違いの通信量。「何が正常か」を知っているほど異常に気づける、という点が重要。
3.4.3マルウェアの発見と除去
- マルウェアの疑いがあるときの基本手順は、(1)スキャン（Windows Defender等でフルスキャン）→(2)スキャンログの確認（何が・どこで検出されたか、隔離/削除できたか）→(3)修復（隔離・駆除、必要なら再インストールやバックアップからの復元）。感覚で消すのではなく、記録を見ながら段取り良く進める。
- CCST（入門）では深いフォレンジック解析までは求められない。まずは「疑わしい端末はネットワークから切り離す」「スキャンして検出結果（スキャンログ）を確認する」「駆除できないものはバックアップから戻す・再構築する」という基本の流れを識別できることを目指す。
「パッチ／Windows Updateは既知の脆弱性を塞ぐ最重要の基本防御（アプリ/ドライバ/ファームウェアも対象）」「ログはWindows=Event Viewer・Unix=syslog（重大度0緊急〜7デバッグ）」「異常＝ベースラインからの逸脱（深夜の管理者ログイン・連続ログイン失敗・未知プロセス）」「マルウェア対応＝スキャン→スキャンログ確認→修復」が頻出です。「更新の当たり具合」「ログの異常」を見分けましょう。
あるユーザーから「PCの動作が急に重くなり、勝手に広告のような画面が出る」と連絡が来たとします。まず落ち着いて事実を集めます。マルウェアの疑いが濃いので、被害の拡大を防ぐためにその端末をネットワークから切り離し、標準のWindows Updateが最新か（＝既知の脆弱性を塞げているか）を確認したうえで、Windows Defenderでフルスキャンを実行します。スキャンが終わったら、感覚で「たぶん消えた」で済ませず、スキャンログを開いて「何が・どこで検出され、隔離/削除できたか」を確かめます——これが除去手順の中核です。並行して、いつから異常が始まったかを知るためにEvent Viewer（Windows）のログを見ます。ここで「昨夜、誰も使っていないはずの時間帯に管理者アカウントのログインが成功している」「見覚えのないサービスが自動起動に登録された時刻がある」といった異常（ベースラインからの逸脱）が見つかれば、単なるアドウェアではなく、より深い侵害の可能性が浮かびます。もしスキャンで駆除しきれない、あるいは改ざんの範囲が読めない場合は、無理にその場で直そうとせず、きれいなバックアップから復元するか端末を再構築するのが安全な判断です。ここで大切なのは、「重い＝とりあえず再起動」で済ませず、更新状況の確認・スキャンとスキャンログの確認・ログでの異常特定という手順を踏んで、事実に基づいて切り分ける姿勢です。入門段階では深い解析は不要ですが、この基本の段取りを正しい順で回せることが、エンドポイント運用の核になります。
| やること | 手段の例 | 目的 |
|---|---|---|
| 更新/パッチ適用 | Windows Update・apt/yum・ドライバ/ファームウェア更新 | 既知の脆弱性を塞ぎ攻撃面を減らす |
| ログの確認 | Event Viewer（Windows）・syslog（Unix系） | 事象の記録から異常を特定する |
| 異常の特定 | ベースラインとの比較（深夜ログイン・連続失敗） | 平常からの逸脱に早く気づく |
| マルウェア除去 | スキャン→スキャンログ確認→隔離/修復（必要なら復元） | 感染を除去し健全な状態に戻す |
ひっかけ： 「マルウェアが疑われる端末は、スキャンして駆除できたと表示されればスキャンログを見る必要はない」は誤りです——スキャンログで「何が・どこで検出され、隔離/削除できたか」を確認して初めて除去手順が完結します。また「パッチはOSだけ当てればよく、アプリ・ドライバ・ファームウェアは更新しなくてよい」も誤り＝これらも脆弱性の対象で、既知の穴を放置すれば侵入口になります。
3.4.4この節のまとめ
- パッチ適用（Windows Update・アプリ/ドライバ/ファームウェア）は既知の脆弱性を塞ぐ最重要の基本防御
- ログはWindows=Event Viewer・Unix=syslogで確認。異常はベースラインからの逸脱（深夜の管理者ログイン等）として特定する
- マルウェア対応は感覚で消さず、スキャン→スキャンログ確認→修復（必要ならバックアップから復元）の手順で進める
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある組織で、公開済みの修正プログラムがある既知の脆弱性を突く攻撃が増えている。最も費用対効果が高く優先すべき基本防御はどれか。
Q2. Windowsのセキュリティログに、深夜3時に管理者アカウントのログイン成功が記録され、直前に多数のログイン失敗が並んでいた。この記録の解釈として最も適切なものはどれか。
Q3. マルウェア感染が疑われる端末への基本的な対応手順として最も適切なものはどれか。