端末（エンドポイント）の基本
前回は、認証・認可とID管理（IAM）のセキュリティ対策について整理しました。
今回はそのIAMを使ってログインする「端末」のセキュリティについて考えてみます。
今や仕事を行ううえで、PCやスマホを使わない人はほとんどいません。
現場仕事の人でもスマホを活用している人は多いと思います。
そんな端末におけるセキュリティ対策を考えてみたいと思います。
あなたが使っているそのPC・スマホは安全ですか？
①端末における防御
端末とは、利用者が直接触れるPCやスマートフォンなどの機器です。
多くの場合、データは利用者に最も近い場所から流出します。
そのため、端末の防御はセキュリティ対策の要と言えます。
まずとにかく、端末を感染させないことです。
代表的な対策は以下です。
OSアップデート・セキュリティパッチ適用
ウイルス対策ソフト（AV/EPP）
EDR（Endpoint Detection and Response）
EDRは防御だけでなく、後述する検知・対応の役割も担います。
また、端末は持ち歩くという性質上、紛失したり盗難にあう可能性があります。
データ保護の観点から、ディスクの暗号化・画面ロック等を行い、端末を失っても、情報は失わない状態を作ることも重要です。
②端末における検知
完璧に対策したつもりでも、マルウェア感染は起こります。
場合によっては、マルウェア感染を検知できないこともあるので、様々な側面から監視を行います。
マルウェア検知
不審なプロセス実行
権限昇格の試行
レジストリ改ざん
不審な通信
セキュリティソフト停止
例えば、「Excelを開いた直後にPowerShellが起動した」「深夜に大量のファイル暗号化が始まった」「普段利用しない国外IPへ通信した」みたいな事象はウィルス対策ソフトだけでは検知できなくても、EDRのふるまい検知で発見することが出来ます。
また、端末が最新パッチ適用状態なのか、セキュリティ設定が変更されていないかも継続的に確認する必要があります。
利用者からの紛失申告ルールの策定と周知は非常に重要です。
加えて、MDMなどの端末管理基盤があれば最終接続日時や位置情報を確認できる場合もあります。
ちなみに、「紛失したら始末書を提出」というルールを作ると、始末書を書きたくないのでギリギリまで探そうとする人が増えます。
結果として報告が遅れ、被害が拡大することもあります。
③端末における対応
端末侵害を検知したら、できるだけ早く被害を抑え込みます。
代表的な対応としては、以下があります。
ネットワーク隔離
不正プロセス停止
マルウェア駆除
リモートロック
リモートワイプ（遠隔消去）
管理者へのエスカレーション
フォレンジック調査（端末の調査・分析）
例えばランサムウェアが疑われる場合は、まずネットワークから切り離して横展開を防ぎます。
対応フェーズでは、「まず止血する」ことが重要です。
マルウェア対応の初動は、出来れば自動化か監視担当が行えるように権限を委譲しておくとよいでしょう。
管理者へのエスカレーションやフォレンジックを行い、事象の経緯や影響範囲を調べる段階に入ります。
④端末における復旧
最後に侵害された端末を安全な状態に戻します。
OS再インストール、マスタイメージ展開
セキュリティパッチ適用
アプリケーション再配布
設定復元、データ復旧
また再発防止のための原因分析も必要です。
パッチ未適用だったのか、フィッシングメールを開いてしまったのか、個人利用ソフトをインストールしたのか、といった原因を特定します。
原因を元に、端末の設定を見直したり、EDRルールを改善したり、利用者教育を実施したりします。
復旧とは単に元へ戻すことではありません。
以前よりも安全な状態にすることが、本当の復旧です。
