アンチウイルスの導入と運用｜既知マルウェアを自動検知・隔離する

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

目的

OS標準の防衛機能を抜けてくる、あるいはメール添付やWebダウンロード経由で侵入を試みる既知のマルウェアを確実に検知・隔離する。最先端の振る舞い検知（EDR等）を導入する前の大前提として、過去に特定されたものシグネチャ（定義ファイル）とマッチングさせ、水際で脅威を自動的に排除する仕組みを確立する。

実践手順

Windows Defender（標準）の保護強度最大化と常時監視確認

• サードパーティ製品を導入しない場合、Windows標準のDefenderを完全に稼働させる。
• 「Windows セキュリティ」＞「ウイルスと脅威の防止」を開く。
• 「ウイルスと脅威の防止の設定」の「設定の管理」へ進む。
• 以下の4項目がすべて オン になっていることを確認する。
  • リアルタイム保護（メモリ上で動く不審な挙動の常時監視）
  • クラウド提供の保護（最新の脅威情報のリアルタイム同期）
  • サンプルの自動送信（未知の検体を解析に回す機能）
  • 不正細工防止（マルウェアによるDefender自体の無効化を阻止）

定義ファイルの自動更新頻度の追加（Windows環境）

• 標準では1日1回程度の更新を、タスクスケジューラを用いて数時間おきに強制実行させ、定義ファイルのタイムラグ（死角）を最小化する。
• 「タスクスケジューラ」を起動し、「基本タスクの作成」から以下の条件で仕込む。
  • トリガー： 毎日、繰り返し間隔を 1時間 または 4時間 に設定。
  • 操作： プログラムの開始。
  • プログラム/スクリプト： "C:\\Program Files\\Windows Defender\\MpCmdRun.exe"
  • 引数の追加： SignatureUpdate

隔離エリアの確認と定期的なフルスキャンの自動化

• クイックスキャンとフルスキャンの使い分け：
  • 日常のリアルタイム保護に加え、週に1回（例：毎週日曜日）は全ストレージを走査する「フルスキャン」をスケジュール実行する。
• 検知時のオペレーション（自動隔離の徹底）：
  • 万が一脅威が検知された際、ユーザーが迷って「許可」を押さないよう、デフォルトの処理を「隔離」または「削除」に固定する。隔離されたファイル（Vault）は、誤検知が確定するまで絶対に復元させない。