セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

Windows 10・Windows 11にはMicrosoft Defender Antivirusが標準搭載されているため、「市販のウイルス対策ソフトはもういらないのか」と考える企業担当者もいるでしょう。 結論から言えば、Windows標準のMicrosoft Defender Antivirusを適切に有効化・更新・管理できる環境では、第三者製のアンチウイルス製品を必ず追加しなければならないとは限りません。 ただし、「第三者製のウイルス対策ソフトが不要な場合がある」ことと、「企業のエンドポイントセキュリティ対策が不要」という話は別です。 企業では、マルウェアの予防だけでなく、端末設定の一元管理、侵害後の検知、端末隔離、調査、ログ保存、SOC・CSIRTでの対応まで含めて判断する必要があります。 WindowsにはMicrosoft Defender Antivirusが標準搭載されている Microsoft Defender Antivirusは、Windows 10、Windows 11、Windows Serverの対応バージョンで利用できるMicrosoftのアンチウイルス機能です。 Microsoftは、主な保護機能として次を案内しています。 リアルタイム保護 ファイル・プロセスの挙動監視 ヒューリスティック検知 クラウド保護 セキュリティインテリジェンスによる検知 不要な可能性のあるアプリの検知 ランサムウェア対策に関する機能 そのため、「Windows PCを購入したらアンチウイルス機能が何も入っていない」という状態ではありません。 一方、企業利用では、端末1台でマルウェアを検知できるかだけでなく、数百台・数千台の端末を管理者が把握し、異常を検知した後に対応できるかが判断基準になります。 Microsoft Defender AntivirusとDefender for Endpointは同じではない 「Microsoft Defender」という名称には複数の製品・機能が含まれるため、企業での比較では切り分けが必要です。 項目 Microsoft Defender Antivirus Microsoft Defender for Endpoint 主な役割 マルウェアの予防・検知 エンドポイントの予防、侵害検知、調査、対応 Windows標準 Windowsに組み込み 契約・ライセンス条件に応じて利用 リアルタイムウイルス対策 対応 Defender Antivirus等と連携 EDR 単体の主目的ではない 対応 端末隔離・調査 限定的 企業向け機能として提供 複数端末のインシデント分析 単体では限定的 Defenderポータル等で実施 対象 個人PCから企業PCまで 企業・組織のエンドポイント管理 MicrosoftはDefender for Endpointを、エンドポイント上の高度な脅威を予防・検知・調査・対応する企業向けプラットフォームと説明しています。 つまり「DefenderがあるからEDRはいらない」という比較は、何をDefenderと呼んでいるのかによって結論が変わります。 第三者製のセキュリティソフトがいらない場合 企業で第三者製アンチウイルスを追加しない構成を検討しやすいのは、次の条件を満たせる場合です。 Microsoft Defender Antivirusが全対象PCで有効になっている セキュリティインテリジェンスを継続的に更新できる リアルタイム保護が無効化されていない クラウド保護など必要な機能を組織ポリシーで設定している 利用者が勝手に設定を変更できない 除外設定を管理できる 管理者が端末の保護状態を一元確認できる インシデント発生時の調査・隔離方法がある OSやアプリケーションの更新管理ができる メール、ID、クラウドなど端末以外の対策も実施している この状態であれば、「Defender Antivirusとは別に、同じ役割の第三者製アンチウイルスを二重に導入する必要があるか」を検討できます。 一方、端末ごとに初期設定のまま利用し、利用者任せで更新・除外・検知結果を確認している場合は、「Windows標準だから十分」と判断する根拠にはなりません。 企業で追加のセキュリティ製品を検討したいケース 次のような環境では、アンチウイルス以外の機能や第三者製品を含めた比較が必要です。 侵害後の調査が必要 ランサムウェアや認証情報窃取では、マルウェアファイルを削除するだけで対応が終わらないことがあります。 どの端末が最初に侵害されたか どのプロセスが実行されたか 他の端末へ横展開したか 認証情報が窃取されたか 外部へ通信したか 情報が持ち出されたか まで確認するにはEDRのログや調査機能が必要になります。 EDRについては「EDRとは？意味やウイルスソフトやUTMとの違いを解説」で整理しています。 数百台・数千台を一元管理する必要がある 600～3,000人規模の企業では、PCを1台ずつ確認する運用は現実的ではありません。 管理者側で次を把握できるか確認します。 保護機能が無効になっている端末 更新が遅れている端末 マルウェア検知端末 高リスク端末 管理外端末 除外設定が追加された端末 インシデントに関連する複数端末 製品選定では検知率だけでなく、「管理画面から何を確認・操作できるか」が運用負荷に直結します。 SOC・CSIRTで対応する SOCやCSIRTがある企業では、アラートを受信して終わるのではなく、調査や封じ込めにつなげます。 端末隔離、プロセス確認、タイムライン調査など、インシデント対応に必要な機能を確認します。 Windows以外のOSが多い macOS、Linux、サーバー、モバイル端末を含む場合は、Windows標準機能だけで全社ポリシーを統一できるか確認します。 OSごとに別製品を運用すると、管理画面やログ形式、インシデント対応手順が分散します。 取引先・監査・業界要件がある 取引先のセキュリティチェック、ISMS、業界ガイドラインなどで、マルウェア対策だけでなくログ監視、EDR、集中管理などが要求される場合があります。 「Defenderを使っている」という製品名ではなく、要求されている管理策を満たしているかで判断します。 ウイルス対策ソフトとEDRの違い 従来のウイルス対策は、マルウェアを端末へ侵入・実行させないことを中心に設計されています。 EDRは、攻撃を完全には防げない前提で端末上の挙動を記録し、不審な動作の検知、調査、封じ込めを支援します。 比較 アンチウイルス・EPP EDR 主な目的 侵入・実行の防止 侵害の検知・調査・対応 主な対象 マルウェア 不審な挙動・攻撃活動 検知後 削除・隔離 端末隔離、調査、影響範囲確認など ログ 製品による インシデント調査を想定したログ 運用 比較的自動化しやすい アラート分析と対応体制が必要 現在はEPPとEDRを一つのエージェントで提供する製品も多いため、「ウイルス対策かEDRか」の二者択一ではありません。 既存製品を確認する場合は、アンチウイルス機能とEDR機能のどこまでを契約しているかを整理します。 Microsoft Defender Antivirusを使う企業が確認したい設定 リアルタイム保護 全対象端末で有効になっているかを管理側から確認します。 クラウド保護 Microsoft Defender Antivirusは、クラウド保護によって新しい脅威を検知・ブロックする仕組みを備えています。 社内ネットワークの通信制限によって必要なクラウド通信が遮断されていないかも確認します。 改ざん防止 利用者や攻撃者が保護設定を変更できないよう、改ざん防止機能の利用を検討します。 除外設定 Microsoftは、除外設定について保護のギャップを作る可能性があるとして、必要な場合に限定するよう案内しています。 業務アプリの性能問題を理由に、フォルダ全体や実行ファイルを広範囲に除外していないか点検します。 更新状況 OS更新だけでなく、Microsoft Defender Antivirusのプラットフォームやセキュリティインテリジェンスが更新されているか確認します。 他社製アンチウイルスから移行するときの注意点 Microsoftは、Windows 10・Windows 11で第三者製アンチウイルスがプライマリ製品として動作している場合、Microsoft Defender Antivirusの動作状態が変わることを説明しています。 そのため移行時は、旧製品を削除してから「Defenderが自動的に有効になるはず」とだけ考えず、管理画面で実際の状態を確認します。 移行手順では次を含めます。 現在のアンチウイルス・EDR機能を棚卸しする 現在の製品で利用している除外設定を確認する Defender側のポリシーを設計する 少数端末で先行検証する 業務アプリとの互換性を確認する 旧製品の削除後にDefenderの状態を確認する 検知アラートが管理者へ届くかテストする 全社展開後に未移行端末を洗い出す アンチウイルスだけでなくEDR機能も旧製品で利用している場合、代替するEDR機能を用意せずに解約すると調査能力が下がる可能性があります。 「セキュリティソフトはいらない」と判断する前のチェックリスト 「不要」とするのは第三者製アンチウイルスだけか、EDRも含むのか整理したか Microsoft Defender Antivirusが全端末で有効か 保護状態を管理者が一元確認できるか 利用者による設定変更を制御できるか 除外設定を管理できるか Windows Updateとセキュリティインテリジェンスを管理できるか マルウェア検知後に端末隔離・影響範囲調査ができるか 認証情報窃取や横展開を調査できるか Windows以外のOSを同じ基準で管理できるか SOC・CSIRTが必要とするログを取得できるか 取引先・監査・業界要件を満たせるか 旧製品を削除した後の保護状態を検証する手順があるか まとめ Windows 10・Windows 11にはMicrosoft Defender Antivirusが組み込まれているため、第三者製アンチウイルスを必ず追加しなければならないわけではありません。 ただし、企業では「マルウェアを検知できるか」だけでなく、設定の一元管理、改ざん防止、ログ、EDR、端末隔離、インシデント調査まで含めて判断します。 第三者製アンチウイルスの更新時期を迎えた場合は、製品名だけで比較せず、現在使っている機能を棚卸しし、Microsoft Defender AntivirusやDefender for Endpointでどこまで代替できるかを確認します。 出典 Microsoft Defender Antivirus in Windows Overview - Microsoft Microsoft Defender for Endpoint overview - Microsoft Microsoft Defender Antivirus compatibility with other security products - Microsoft Configure behavioral, heuristic, and real-time protection - Microsoft Exclusions in Microsoft Defender Antivirus - Microsoft Built-in protection helps guard against ransomware - Microsoft 基本的なセキュリティ対策 - 警察庁

ブログ