エンドポイントセキュリティ（Endpoint Security）とは?

エンドポイントセキュリティの定義

エンドポイントとは、ネットワークに接続される末端のデバイスです。ユーザーがファイルを開き、業務システムへアクセスし、データをやり取りする接点でもあります。PC やノート PC だけでなく、サーバー、モバイルデバイス、POS 端末、VDI（Virtual Desktop Infrastructure）、一部の IoT・OT デバイスもエンドポイントに含まれます。

エンドポイントセキュリティ（Endpoint Security）とは、こうしたデバイスで発生する脅威を予防、検知、分析し、対応するセキュリティ体系です。ファイルの実行、プロセスの動作、ネットワーク接続、ユーザーの振る舞い、マルウェア感染の兆候を確認し、危険な振る舞いが見つかった場合に遮断や調査を行えるようにします。

以前は、エンドポイントセキュリティをワクチンまたはアンチウイルス（Antivirus）と同じ意味で捉えることが少なくありませんでした。既知の悪意のあるファイルを見つけて削除することが中心だったためです。現在では、その範囲がさらに広がっています。攻撃者が利用するのはマルウェアだけではありません。

PowerShell、WMI（Windows Management Instrumentation）、リモートデスクトップ、リモート管理ツールは、本来システム管理や業務支援に使われる正規機能です。しかし、攻撃者がアカウントを窃取してこうしたツールを実行すると、表面上は正規の作業に見えることがあります。この場合、ファイル検査だけで攻撃フローを把握するのは困難です。

エンドポイントセキュリティは、単なる遮断ツールではありません。デバイスで実際に何が起きたのかを示す観測点です。セキュリティチームはこの情報を基に感染範囲を確認し、侵害が疑われるデバイスを隔離するとともに、同じ振る舞いがほかのデバイスでも発生していないか追跡します。

エンドポイントが攻撃の起点となる理由

業務環境の変化に伴い、エンドポイントの役割も変わりました。ユーザーは会社のノート PC でメールを確認し、ブラウザーから SaaS へアクセスし、VPN や ZTNA（Zero Trust Network Access）を介して社内システムへ接続します。テレワーク、クラウドサービス、協力会社からのアクセス、モバイル業務が併存するなか、エンドポイントは攻撃者に狙われやすい接点となっています。

攻撃者はセキュリティ機器を直接回避する代わりに、ユーザーをだまして悪意のある添付ファイルを実行させたり、リンクへ誘導したりすることがあります。ブラウザーに保存された認証情報やセッショントークンを窃取するほか、パッチが適用されていないリモートアクセスツールを悪用して社内システムへ侵入する場合もあります。

Verizon 2025 Data Breach Investigations Report は、侵害における主な初期アクセス経路として、認証情報の悪用と脆弱性の悪用を挙げています。特に脆弱性の悪用は前年から増加しており、VPN、エッジデバイス、リモートアクセス環境が引き続き主要な攻撃対象領域として利用されています。これは、エンドポイントセキュリティがマルウェアの検知だけで終わってはならないことを示しています。セキュリティチームは、アカウントの利用状況、脆弱性、リモートアクセス、デバイスの振る舞いを併せて確認することで、攻撃フローをより正確に把握できます。

エンドポイントセキュリティが対処する主な脅威

マルウェアとランサムウェア

ランサムウェアは、エンドポイントセキュリティが最も直接的に対処する脅威です。攻撃者はまず 1 台のデバイスを感染させた後、社内の共有フォルダー、バックアップストレージ、ファイルサーバーへアクセスします。その後、ファイルの暗号化と情報の窃取を同時に試みることがあります。

問題は、ランサムウェアが実行された時点で対応を始めても、手遅れになりかねないことです。セキュリティチームは、暗号化されたファイルそのものよりも先行する振る舞いに目を向けなければなりません。異常な大量ファイルの変更、バックアップの削除コマンド、アカウント情報の収集、リモート実行ツールの使用、内部移動の試みといった予兆を確認します。感染が疑われるデバイスを迅速に隔離し、同じ振る舞いがほかのデバイスでも繰り返されていないか確認することで、被害範囲を抑えられます。

フィッシング後の侵入

フィッシングは、メールセキュリティだけの問題ではありません。ユーザーが添付ファイルを実行したり、偽のログインページへ情報を入力したりすると、その後の攻撃はエンドポイントとアカウントの領域で進行します。攻撃者はユーザーのデバイスから、ブラウザーに保存された情報、セッショントークン、認証アプリの情報、社内システムへのアクセス履歴を探すことがあります。

セッショントークンとは、ユーザーのログイン状態を維持するための値です。攻撃者がこれを窃取すると、パスワードを知らなくても、そのユーザーになりすましてサービスへアクセスできます。そのため、エンドポイントセキュリティはファイル検査だけにとどまってはなりません。ブラウザーの動作、認証情報へのアクセス、不審なプロセスの実行、異常なネットワーク接続まで追跡する必要があります。

脆弱性の悪用と権限昇格

パッチが適用されていない OS、ブラウザー、VPN クライアント、リモート管理ツールは、攻撃者が頻繁に確認する対象です。攻撃者は脆弱性を悪用してコードを実行し、そのデバイスでより高い権限を得ようとします。権限が昇格すると、セキュリティツールの停止、ログの削除、ほかのシステムへの移動が容易になります。

エンドポイントセキュリティでは、悪意のあるファイルの検知に加え、デバイスのパッチ適用状況、脆弱なソフトウェア、権限昇格の試み、異常なコマンド実行を併せて確認しなければなりません。脆弱性管理と振る舞い検知が分断されていると、攻撃者が実際にどのデバイスでどのような権限を獲得したのかを把握しにくくなります。

正規ツールを悪用する攻撃

攻撃者は PowerShell、WMI、リモートデスクトップ、PsExec、管理用スクリプトといった正規ツールも攻撃に利用します。この場合、ファイルのレピュテーションだけでは、正規の作業か攻撃行為かを判断するのが困難です。

管理者が業務時間中にサーバー点検のため PowerShell を実行するのは、正規の作業と考えられます。しかし、一般ユーザーの PC で夜間に PowerShell が実行され、外部アドレスからスクリプトをダウンロードして複数の社内システムへアクセスしている場合は状況が異なります。同じツールでも、誰が、いつ、どこで、どのようなコマンドを実行したのかが判断基準となります。

エンドポイントセキュリティの主要機能

予防

エンドポイントセキュリティの基本機能は予防です。既知のマルウェア、不審なファイル、悪意のある URL、脆弱な設定を事前に遮断します。アンチマルウェア、振る舞いベースの遮断、アプリケーション制御、パッチ管理、デバイス制御などが含まれます。

ただし、予防だけですべての攻撃を防ぐことはできません。攻撃者は正規ツール、新たに作成したファイル、窃取したアカウント情報などを利用します。そのため、検知と対応の機能も併せて必要です。

検知

検知とは、すでに発生した不審な振る舞いを見つける機能です。プロセスの生成、ファイルの変更、レジストリの変更、ネットワーク接続、権限の変更、スクリプトの実行といったイベントを収集して分析します。

EDR（Endpoint Detection and Response）は、この段階で重要な役割を担います。EDR はエンドポイントの振る舞いを記録し、不審な流れを分析して、侵害範囲を追跡できるようにします。

対応

対応とは、検知後に行う措置です。感染が疑われるデバイスをネットワークから隔離し、悪意のあるファイルを削除し、プロセスを終了させ、関連する IOC（Indicator of Compromise）をほかのデバイスへ適用します。アカウントの窃取が疑われる場合は、パスワードのリセット、セッションの失効、MFA（Multi-Factor Authentication）の再登録といった措置も必要です。

可視性

可視性も重要です。管理されていないノート PC、古いサーバー、ワクチンが停止している PC、パッチ適用が遅れている端末をセキュリティチームが把握していなければ、優先順位を決めるのは困難です。特に、協力会社の PC、臨時の業務用端末、開発・テスト用サーバーは資産リストから漏れやすい傾向があります。エンドポイントセキュリティには、保護機能だけでなく、資産の識別と状態確認も求められます。

EPP、EDR、XDR の違い

EPP、EDR、XDR はいずれもエンドポイントセキュリティと関連しますが、それぞれ役割が異なります。

区分	中心的な役割	セキュリティチームが確認する事項
EPP	既知の脅威の予防	ファイルや振る舞いを実行前に遮断できるか
EDR	エンドポイントの振る舞いの検知と対応	感染後に何が起き、どこまで拡散したか
XDR	複数のセキュリティ領域のシグナルを関連付けて分析	エンドポイント、ネットワーク、メール、アカウント、クラウドのシグナルが 1 つの攻撃フローを示しているか

EPP（Endpoint Protection Platform）は、基本的な防御ラインに相当します。悪意のあるファイルの遮断、振る舞いベースの検知、ポリシー管理、脆弱な設定の制御などを担います。組織は EPP により、複数のエンドポイントの基本的な保護状態を一貫して維持できます。

EDR は、侵害が発生した場合や疑われる場合の調査と対応を支援します。攻撃フローを時系列で確認し、感染したデバイスを隔離して、類似する振る舞いを探します。単に「悪意のあるファイルが存在したか」ではなく、「そのファイルが実行された後に何が起きたか」の確認を重視します。

XDR（Extended Detection and Response）は、エンドポイントのさらに先まで対象を広げます。攻撃はエンドポイントだけにとどまりません。フィッシングメールから始まり、ユーザーアカウントで SaaS へアクセスし、クラウドワークロードへ侵入した後、データを持ち出すことがあります。XDR は複数のセキュリティ領域のシグナルを関連付け、1 つの攻撃フローとして把握できるようにします。

エンドポイントセキュリティとネットワークセキュリティの違い

エンドポイントセキュリティとネットワークセキュリティは、互いに代替するものではありません。同じ攻撃を捉える場合でも、確認するポイントが異なります。

ネットワークセキュリティは、トラフィック、接続フロー、アクセス制御を中心に攻撃を捉えます。どのデバイスがどの経路で接続したか、異常な通信があったか、遮断すべき接続があるかを確認します。

エンドポイントセキュリティは、デバイス内部で発生した実行時の振る舞いを捉えます。どのファイルが実行されたか、どのプロセスが生成されたか、どの認証情報が使われたか、ローカルファイルや保存済みの認証情報へアクセスしたかを確認します。

たとえば、攻撃者が社内システム内を移動した場合、ネットワークセキュリティは移動経路と通信先を示せます。しかし、その接続がどのプロセスから始まったのか、ユーザーが直接実行したファイルなのか、窃取されたアカウントで実行されたコマンドなのかは、エンドポイントで確認しなければなりません。

エンドポイントセキュリティの運用時に確認すべき基準

エンドポイントセキュリティの導入や点検では、機能一覧を比較するだけでは十分ではありません。実際の運用では、誰がどのアラートを確認するのか、どのような条件でデバイスの隔離やアカウントの遮断を実行するのか、例外端末をどう管理するのかが、より大きな課題となります。

まず、保護対象となる資産を定めます。従業員の PC だけを対象とするのか、サーバー、VDI、モバイル、OT 端末まで含めるのかによって、ポリシーと運用方法が変わります。保護範囲が曖昧だと管理されない端末が生じ、攻撃者がこうした例外端末から社内システムへアクセスするおそれがあります。

検知後の措置基準も必要です。悪意のあるファイルの遮断、ネットワークからの隔離、プロセスの終了、アカウントのロック、フォレンジックデータの収集は、それぞれ業務への影響度が異なります。基準を設けずに自動隔離を適用すると正規の業務が中断するおそれがあり、すべての措置を手動で確認していてはランサムウェアの拡散速度に追いつけません。リスクと業務への影響を併せて考慮し、自動化する措置とアナリストによる確認が必要な措置を分ける必要があります。

アカウントセキュリティとの連携も重要です。エンドポイントで不審な振る舞いが発生した場合、そのユーザーの SaaS へのログイン、VPN 接続、管理者権限の変更、通常とは異なる場所からのアクセスも併せて確認します。ゼロトラストの観点でも、デバイスの状態とユーザーのアクセスを切り離して考えることはできません。管理されていないデバイスから正規アカウントで接続している場合や、悪意のある振る舞いが検知されたデバイスから重要システムへのアクセスを試みている場合は、アクセス制限や追加認証が必要です。

ランサムウェアからの復旧準備も併せて点検します。エンドポイントセキュリティが攻撃を検知しても、バックアップと復旧手順が整っていなければ、業務の中断時間が長引きます。バックアップから実際に復旧できるか、感染した端末から分離されているか、管理者アカウントが保護されているかを確認しなければなりません。

FAQ

アンラボのエンドポイントセキュリティ

アンラボは EPP、EDR、XDR を中心に、エンドポイント保護、侵害対応、セキュリティシグナルの相関分析を一体的に支援します。AhnLab EPP は単一エージェントと単一管理コンソールを基盤として、複数のエンドポイントセキュリティ機能を運用できるようにします。セキュリティチームは、業務用 PC とサーバーへのポリシー適用、脅威の検知、対応状況を 1 か所で確認できます。

エンドポイントセキュリティは、ZTNA、アカウントセキュリティ、XDR とも連携します。ユーザーがどのデバイスからアクセスしたのか、そのデバイスが信頼できる状態か、不審な振る舞いがほかのセキュリティ領域へ広がっているかを併せて確認する必要があるためです。テレワークやクラウドの利用が増えた環境では、エンドポイントのシグナルをアクセス制御や相関分析の仕組みと組み合わせて扱うことが重要です。