アンチウイルスとは？主な機能や検知手法、導入時の注意点を解説

「ウイルス」と「マルウェア」の関係

アンチウイルスは、製品名や歴史的経緯から「ウイルス対策」と呼ばれていますが、現在保護の対象とするのは「マルウェア全般」です。マルウェアとは、利用者や組織に害を与える目的で作成されたソフトウェアの総称であり、ウイルスはマルウェアの一種に位置づけられます。

主なマルウェアの分類は以下のとおりです。

現在主流のアンチウイルス製品は、これら多様なマルウェアの検知・隔離・駆除を一括して担います。

アンチウイルスが守る主な対象

アンチウイルスが保護対象とするのは、主に以下のような端末・領域です。

• 業務用PC（Windows、Mac）
  ・サーバー（ファイルサーバー、業務サーバー等）
  ・スマートフォン・タブレット
  ・メールサーバー、Webプロキシなどのゲートウェイ製品

利用形態によって「クライアント型」「サーバー型」「クラウド型」などに分かれ、企業の規模や運用体制に合わせて選定するのが一般的です。

シグネチャ型（パターンマッチング型）

シグネチャ型は、既知のマルウェアの「指紋」にあたる特徴的なバイト列（シグネチャ）をデータベース化し、検査対象のファイルと照合する方式です。マッチした場合に「マルウェアである」と判定します。

特徴は以下のとおりです。

• 既知のマルウェアに対しては検出精度が高い
  ・誤検知が少ない
  ・シグネチャに登録されていない未知のマルウェアは検知できない
  ・定義ファイル（シグネチャDB）の更新頻度が検知能力に直結する

長年アンチウイルスの中心となってきた方式ですが、シグネチャが用意される前の攻撃（ゼロデイ攻撃）や、亜種を大量に作り出すマルウェアには対応が難しいという課題があります。

振る舞い検知型（ヒューリスティック・行動検知）

振る舞い検知型は、プログラムが実際に行う動作や、コードの構造的な特徴に注目する方式です。「ファイル名を大量に書き換える」「OSの重要ファイルに書き込もうとする」「外部の不審なサーバーに通信しようとする」など、マルウェア特有の振る舞いを検出して判定します。

特徴は以下のとおりです。

• シグネチャが存在しない未知のマルウェアにも対応できる可能性がある
  ・ファイルレス攻撃や難読化されたマルウェアにも一定の効果がある
  ・正規のソフトウェアでも類似動作をする場合があり、誤検知が起きやすい
  ・検知ロジックの精度向上には、AI・機械学習の活用が進んでいる

近年では、機械学習モデルを用いた「次世代アンチウイルス（NGAV：Next Generation Anti-Virus）」と呼ばれる製品も登場しており、ファイルレス攻撃や標的型攻撃への対応力を高めています。

スキャン方式の違い

シグネチャ型・振る舞い検知型と並んで、スキャンを「いつ実行するか」も重要な要素です。

通常は、リアルタイムスキャンを常時有効化したうえで、スケジュールスキャンを併用するのが基本的な運用です。

EPP（Endpoint Protection Platform）

EPPは、エンドポイント（PCやサーバーなどの端末）を守るためのプラットフォーム全般を指します。アンチウイルス機能に加え、ファイアウォール、デバイス制御、アプリケーション制御、ディスク暗号化、Web保護などを統合した製品が一般的です。

現在のアンチウイルス製品の多くは、単独のアンチウイルスというよりも、これらを内包したEPP製品として提供されています。つまり、「アンチウイルス＝EPPの一機能」と捉えるとイメージしやすくなります。

EDR（Endpoint Detection and Response）

EDR（Endpoint Detection and Response）は、エンドポイント上の操作や通信ログを収集・分析し、不審な挙動を検知して、調査・対応につなげるための仕組みです。

EPP/アンチウイルスが「マルウェアを侵入・実行させないこと」を主眼とするのに対し、EDRは「侵入された前提で、いち早く検知し、影響範囲を特定して対応する」ことに重点を置きます。

EDRが扱う主な機能は以下のとおりです。

• エンドポイント上のプロセス起動、ファイル操作、通信などのログ収集
  ・不審な挙動の検知・アラート
  ・攻撃の経路・影響範囲の可視化
  ・隔離、プロセス停止などの初動対応
  ・フォレンジック調査の支援

XDR（Extended Detection and Response）

XDR（Extended Detection and Response）は、エンドポイントに限らず、ネットワーク、メール、クラウド、IDなど複数のレイヤーからログを集約し、横断的に分析・対応を行う仕組みです。

EDRが「エンドポイントを軸にした検知・対応」だとすれば、XDRは「組織全体のセキュリティイベントを横断的に分析する仕組み」と整理できます。アンチウイルスやEDRは、XDRに対するデータソースのひとつとして組み込まれることが多くなっています。

関係性のまとめ

実務では、「EPP（アンチウイルス含む）で侵入を防ぐ」「EDRで侵入後の挙動を検知・対応する」「XDRで全体のセキュリティイベントを横断的に分析する」という多層防御の構成が一般的です。

標的型攻撃・APT攻撃

特定の組織を狙う標的型攻撃や、長期間にわたって潜伏するAPT（Advanced Persistent Threat）攻撃では、既知のシグネチャに登録されていないマルウェアや、正規のツールを悪用する手口（LotL：Living off the Land）が用いられます。

このような攻撃は、シグネチャ型のアンチウイルスだけでは検知が難しく、振る舞い検知やEDRによる挙動分析を組み合わせる必要があります。

ファイルレス攻撃

ファイルレス攻撃は、ファイルとしてマルウェアを残さず、OSの正規機能（PowerShell、WMI、メモリ上のスクリプトなど）を悪用して攻撃を実行する手口です。ディスク上にファイルが存在しないため、従来のシグネチャベースのアンチウイルスでは検知が困難です。

ファイルレス攻撃には、メモリ上の挙動分析やEDRによるプロセス監視が有効です。

ランサムウェア・サプライチェーン攻撃

ランサムウェアは、亜種が次々と生成されるため、シグネチャ型では追従が難しくなっています。また、サプライチェーン攻撃のように、信頼された業務ソフトの更新を悪用して侵入される手口も増えています。

これらの攻撃に対しては、アンチウイルスによる侵入防止に加え、EDRによる早期検知・初動対応、バックアップ運用、ネットワーク分離など、多層的な対策が必要です。

人的ミス・設定不備

技術的な攻撃に加え、フィッシングメールによる認証情報の窃取や、設定不備による情報漏えいなど、アンチウイルスだけでは対応できないリスクも数多く存在します。

アンチウイルスは「あくまでエンドポイント保護の一要素」として位置づけ、ほかの対策と組み合わせて使うことが前提となります。

1. 自社環境と保護対象を整理する

導入検討の最初のステップは、保護対象となるOS、端末数、サーバー構成、利用クラウドサービスなど、自社環境を整理することです。Windows中心の業務環境か、Macやモバイル端末も含めるか、サーバーは物理かクラウドかなどによって、適した製品は変わります。

また、リモートワークやBYOD（私物端末利用）を行っている場合は、社外ネットワークからでも管理・更新が行える仕組みかどうかも確認しましょう。

2. 検知方式と次世代機能を確認する

シグネチャ型・振る舞い検知型・機械学習型・サンドボックス連携など、どのような検知技術が組み込まれているかを確認します。次世代アンチウイルス（NGAV）と呼ばれる製品では、ファイルレス攻撃や未知のマルウェアへの対応力が強化されています。

また、ランサムウェア対策機能、Web保護機能、デバイス制御、アプリケーション制御など、自社で必要とする機能が備わっているかも合わせて確認しましょう。

3. EDR連携・運用体制を検討する

近年は、アンチウイルス単独ではなく、EDRやXDRと連携可能な製品が増えています。EDRを導入する場合は、「アラートを誰が見るのか」「インシデント発生時に誰が判断・対応するのか」といった運用体制をあらかじめ設計しておく必要があります。

自社にセキュリティ専任の担当者を置くのが難しい場合は、SOC（Security Operation Center）やマネージドEDRサービスの利用も選択肢となります。

4. 定義ファイルの更新・管理を徹底する

シグネチャ型を併用するアンチウイルスでは、定義ファイル（パターンファイル）の更新が遅れると、新しい脅威に対応できなくなります。自動更新が有効になっているか、社内全端末で最新版が適用されているかを定期的に確認しましょう。

クラウド型の管理コンソールを備えた製品であれば、各端末の状態を一元的に確認でき、運用負荷を抑えやすくなります。

5. 例外設定と影響範囲を慎重に管理する

業務システムとアンチウイルスの相性により、誤検知やパフォーマンス低下が発生する場合があります。その際は、例外設定（除外フォルダ・除外プロセスなど）を行うことが多いですが、安易な例外設定はセキュリティホールにつながりかねません。

例外設定は最小限にとどめ、その理由と範囲を文書化し、定期的に見直すことが重要です。

6. 端末紛失・退職時の対応も含めて運用設計する

エンドポイント保護の観点では、アンチウイルスの導入だけでなく、紛失・盗難時のリモートワイプや、退職者端末からのデータ削除なども含めて運用設計することが望まれます。

EPP製品には、これらの機能を統合的に提供するものもあるため、製品選定時にあわせて確認しましょう。

誤解1：アンチウイルスを入れていれば安心

すでに述べたとおり、アンチウイルスはエンドポイント保護の基礎ではあるものの、標的型攻撃・ファイルレス攻撃・サプライチェーン攻撃などには単独では対応しきれません。EDRや多層防御、運用体制まで含めて検討する必要があります。

誤解2：無料のアンチウイルスでも企業利用に十分

個人向けに無料で提供されているアンチウイルスは、ライセンス上、企業内利用が認められていない場合があります。また、集中管理機能やレポート機能、サポートが提供されないことも多く、企業の規模やリスクに応じた製品選定が必要です。

誤解3：Macやスマートフォンはアンチウイルス不要

Mac、iOS、Androidなど、Windows以外のOS向けマルウェアも年々増加しています。OSのセキュリティ機能や審査済みアプリストアの仕組みである程度のリスクは低減できますが、企業利用ではアンチウイルスやEPP製品の導入が望ましいケースが多くあります。

誤解4：パフォーマンスへの影響を理由に無効化する

業務PCで「動作が重くなる」という理由でアンチウイルスを無効化したり、リアルタイムスキャンを止めたりすると、エンドポイント保護の前提が崩れてしまいます。パフォーマンスに影響がある場合は、製品の見直しや例外設定の調整など、別の方法で解決する必要があります。