変更要約: 初版
3.1マルウェア対策（ウイルス対策・EDR・パッチ管理・ランサムウェア対策）
ウイルス対策ソフトのパターンマッチング（定義ファイル）方式と、未知の脅威に対応するふるまい検知（ビヘイビア検知）・EDR（Endpoint Detection and Response）を学びます。パッチ管理による脆弱性の解消、未知の実行ファイルを隔離環境で検証するサンドボックス、そしてランサムウェア対策の要となるバックアップ（3-2-1ルール・オフライン/オフサイト保管）を、組織の運用管理の視点から整理します。
情報セキュリティマネジメントの実務では、「マルウェアに感染しない対策」だけでなく「感染を早期に検知し被害を最小化する対策」「感染しても復旧できる対策」を多層で組み合わせることが求められます。ウイルス対策ソフト1本で守り切れるという発想は既に過去のもので、入口対策（侵入防止）・内部対策（検知・封じ込め）・出口対策（被害局限）を役割分担させる考え方が現在の標準です。この節では、マルウェア対策を「防ぐ」「見つける」「戻す」の3段階に分けて整理します。
3.1.1ウイルス対策ソフトの検知方式
- パターンマッチング方式（シグネチャ方式）＝既知のマルウェアの特徴（定義ファイル／パターンファイル）と照合して検知する方式。既知の脅威には高精度だが、定義ファイルを常に最新へ更新する運用が前提であり、定義ファイルにない未知のマルウェア（ゼロデイ）は検知できないという限界がある。
- ふるまい検知（ビヘイビア検知）＝ファイルの特徴ではなく、実行時の挙動（不審な通信・レジストリ改変・大量のファイル暗号化等）を監視して検知する方式。定義ファイルに依存しないため未知のマルウェアにも対応できるが、正常な処理を誤って検知する誤検知（フォールスポジティブ）が起こりうる。パターンマッチングと組み合わせて多層で用いるのが実務。
- EDR（Endpoint Detection and Response）＝エンドポイント（PC・サーバ）上の挙動を継続的に記録・分析し、侵入を「防ぐ」前提を捨てて「侵入後の検知・調査・封じ込め」に重点を置くしくみ。EPP（Endpoint Protection Platform、従来型ウイルス対策ソフト）が「侵入前」を担うのに対し、EDRは「侵入後」を担うという役割分担を理解する。侵害の範囲特定（フォレンジック）や端末のネットワーク隔離にも活用される。
3.1.2パッチ管理・サンドボックス・ランサムウェア対策
- パッチ管理＝OS・ミドルウェア・アプリケーションの脆弱性を解消する修正プログラム（セキュリティパッチ）を、検証のうえ計画的に適用する運用プロセス。即時適用は業務システムの不具合を招くリスクがあるため、検証環境でのテスト→段階的な本番適用という手順が実務的。適用状況の資産台帳での一元管理と未適用資産の可視化が管理策の要。
- サンドボックス＝出所不明の実行ファイル・添付ファイルを、本番環境から隔離された仮想環境で実際に動作させ、挙動を観察してから安全性を判定する仕組み。未知のマルウェアが定義ファイルをすり抜けても、実行前に無害な環境で検証できる点が価値。近年はサンドボックスでの実行を検知して活動を偽装するサンドボックス回避型マルウェアへの対応も課題となっている。
- ランサムウェア対策の要はバックアップ。ファイルが暗号化され身代金を要求されても、復元可能なバックアップがあれば身代金を支払う必要がない。実効性のあるバックアップ運用の原則が3-2-1ルール＝3つ以上の複製・2種類以上の異なる媒体・1つ以上は遠隔地（オフサイト）または隔離（オフライン）保管。ネットワーク常時接続のバックアップは、ランサムウェアに暗号化・破壊される標的になり得るため、少なくとも1系統はオフライン/隔離バックアップとすることが重要。
パターンマッチング（既知・定義ファイル依存）とふるまい検知（未知にも対応・誤検知あり）の使い分け、EPP=侵入前／EDR=侵入後の検知・封じ込めという役割分担、パッチは検証後に計画適用（即時適用のリスク）、ランサムウェア対策=3-2-1ルールに基づくバックアップ（うち1つはオフライン保管）が最頻出です。
ある企業で発生したランサムウェアインシデントを追って、多層防御の考え方を確認しましょう。まず従業員のPCに、取引先を装ったメールの添付ファイルが開かれ、マルウェアが実行されました。このPCには従来型のウイルス対策ソフト（EPP）が導入されていましたが、このマルウェアは新種で定義ファイルに登録がなく、パターンマッチングをすり抜けました。しかし導入されていたEDRが「短時間に大量のファイルが暗号化されている」という異常な挙動（ふるまい）を検知し、セキュリティ担当者に即座にアラートを通知するとともに、該当PCをネットワークから自動的に隔離しました。この初動により、ランサムウェアが社内の共有サーバやほかの端末へ拡散する前に被害を局限できました。事後の調査で、原因となった添付ファイルが事前にサンドボックスで検証されていれば、実行前に不審な挙動が判明し感染自体を防げた可能性があることも判明し、添付ファイルの自動サンドボックス検証の導入が再発防止策として決定されました。また、暗号化されたPC内のファイルについては、3-2-1ルールに基づき遠隔地のオフラインストレージに保管していた前日分のバックアップから復元でき、攻撃者への身代金支払いを回避できました。もし仮にバックアップが常時ネットワーク接続された同一セグメントのNASのみだった場合、そのバックアップ自体も暗号化され、復元手段を失っていた可能性があります。この一連の流れが、「防ぐ（パッチ・サンドボックス）」「見つける（EDR）」「戻す（バックアップ）」を組み合わせる多層防御の実務的な意味です。
| 検知方式 | 仕組み | 強み・弱み |
|---|---|---|
| パターンマッチング | 既知の定義ファイルと照合 | 既知の脅威に高精度／未知には無力 |
| ふるまい検知 | 実行時の挙動を監視 | 未知の脅威にも対応／誤検知の可能性 |
| EDR | 侵入後の記録・調査・封じ込め | 侵入前提の被害局限に強い／侵入自体は防がない |
ひっかけ： 「ウイルス対策ソフトを導入していれば未知のマルウェアも含めてすべて検知できる」は誤りです。パターンマッチング方式は定義ファイルに登録された既知の脅威のみ検知可能で、未知のマルウェアへの対応にはふるまい検知やEDRとの併用が必要です。また「ランサムウェア対策としてバックアップを取っていれば、常時ネットワーク接続されたNASへの保存でよい」も誤りで、常時接続のバックアップはランサムウェアの暗号化対象になり得るため、3-2-1ルールに基づき最低1系統はオフライン/隔離保管とすることが必須です。「パッチは脆弱性情報の公開後、即座に本番環境へ適用すべきだ」も、検証を経ない即時適用は業務影響のリスクを伴うため一律には正しくありません。
3.1.3この節のまとめ
- パターンマッチング=既知の定義ファイル依存／ふるまい検知=未知にも対応。EPP=侵入前／EDR=侵入後の検知・封じ込めという役割分担
- パッチ管理は検証を経た計画的適用、サンドボックスは実行前に隔離環境で挙動検証
- ランサムウェア対策の要＝3-2-1ルールのバックアップ（最低1系統はオフライン/隔離保管）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるウイルス対策ソフトは、既知のマルウェアの特徴を登録した定義ファイルと照合してマルウェアを検知する。この方式の限界として最も適切なものはどれか。
Q2. ある組織はエンドポイントに導入した仕組みにより、マルウェアの侵入自体を完全に防ぐことは前提とせず、侵入後の異常な挙動を検知し、影響範囲の調査や該当端末のネットワーク隔離を行えるようにしている。この仕組みはどれか。
Q3. ランサムウェア被害を受けた際に身代金を支払わずに復旧するための対策として、最も効果的なバックアップ運用はどれか。