ネットワークエンドポイントセキュリティは、ネットワークを利用するデバイスの保護に焦点を当てています。これらのデバイスはエンドポイントと呼ばれ、コンピューター、スマートフォン、サーバー、その他インターネットに接続されたデバイスが含まれます。これらのエンドポイントを保護することは、不正アクセスやデータ侵害を防ぐために重要です。エンドポイントは通常、サイバー犯罪者が最初に接触する露出点となります。したがって、組織が貴重なデータ、資金、評判を失うリスクを軽減するためには、ネットワークセキュリティを導入することが極めて重要です。
現在のネットワークインフラは、様々な場所、クラウド環境、リモートワーク環境などに存在しており、攻撃対象領域を拡大しています。ネットワークエンドポイントセキュリティは、接続されたすべてのデバイスを、その場所や種類に依存せずに保護することに焦点を当てています。このブログでは、ネットワークエンドポイントセキュリティとその重要性について議論し、その適用例と、ダイナミックなデジタル環境でこの技術を実装する方法に関する提案を提供します。
ネットワークエンドポイントセキュリティとは？
ネットワークエンドポイントセキュリティとは、ネットワークおよびネットワーク接続デバイスのセキュリティ保護を目的とした一連の実践と技術を指します。ネットワークの監視・管理に加え、潜在的な攻撃者や不正アクセスからの防御を含みます。ネットワークエンドポイントセキュリティが重要な理由は複数あります。
- 脅威からの保護:ネットワークエンドポイントセキュリティは、マルウェア、ランサムウェア、フィッシング攻撃など、ネットワーク経由で発生するあらゆる脅威からデバイスを保護します。
- データセキュリティ： エンドポイントセキュリティは不可欠です。重要な個人情報や企業情報を保存またはアクセスするデバイスを保護することで、それらの情報が漏洩するリスクからデバイスを守ります。
- コンプライアンス:多くの業界では、データセキュリティとプライバシーを確保するため、特定のガイドラインや規則によりエンドポイント保護が義務付けられています。
- コスト削減:ネットワークエンドポイントセキュリティを導入することで、サイバー攻撃に関連する直接コストや業務停止によるコストを大幅に削減できます。
- 生産性向上： エンドポイントデバイスが適切に保護されていれば、サイバー攻撃発生時に機能停止する可能性が低くなります。
エンドポイントに対するネットワークベースの脅威
ネットワーク接続されたエンドポイントに対する脅威は数多く存在します。これらの脅威は、ネットワーク通信やプロトコルの脆弱性を悪用します。エンドポイントに対する最も一般的なネットワークベースの脅威をいくつか考えてみましょう：
1. 中間者攻撃
この種の攻撃は、攻撃者が2つの参加者の間の通信を傍受する際に発生します。攻撃者は送信側と受信側のエンドポイントの間に位置し、あらゆるデータを改ざんまたは取得できます。これはネットワークが保護されていない場所であればどこでも発生し得る危険なアクティブな脅威です。通信を傍受するために、攻撃者はARPスプーフィング、DNSハイジャック、その他の類似技術を用いてデータを自身の経路へ転送し、窃取したりマルウェアを混入させたりします。
2. ネットワークスニッフィングと盗聴
これは暗号化されていない公開データ通信を利用する別の脅威です。攻撃者はネットワークスニッファを用いて、後で分析可能な各種公開データを収集します。これには追跡可能なパスワード、電子メール、その他の機密情報が含まれます。盗聴脅威はデータ収集を伴わず、公開データの傍受のみを行う場合もあります。
3. ARPスプーフィングとDNSポイズニング
ARPスプーフィングは、偽装されたARPリクエストを用いてIPアドレスとMACアドレスを関連付け、攻撃者のMACアドレスを別のエンドポイントの正当なIPアドレスと結びつけることで、アドレス解決プロトコルを悪用します。DNSスプーフィングはドメインネームシステムレコードを操作します。攻撃者はDNSキャッシュエントリを改ざんし、ユーザーを悪意のあるウェブサイトへ誘導します。これらの攻撃はデータ窃取やマルウェア注入を引き起こす可能性があり、基本的なネットワークプロトコルを悪用します。
4.サービス拒否（DoS）および分散型サービス拒否（DDoS）攻撃
DoSおよびDDoS攻撃はすべて、対象がネットワークからアクセス不能になる「排除効果」をもたらします。DoSは単一のデバイスで標的エンドポイントを圧倒するのに対し、DDoS攻撃は侵害された膨大な数のデバイスを利用し、ボットネットを形成します。この種の脅威のどちらのバリエーションも、帯域幅からアプリケーションまでのネットワーク層を標的とすることが可能です。影響は、金銭的損失からサービス中断、評判の毀損まで多岐にわたります。
5.横方向移動の手法
横方向移動は、攻撃者が内部ネットワークへの足掛かりを得た後、攻撃対象ネットワーク全体でさらなる活動を行うために使用するプロセスです。攻撃者は、初期侵害時に盗んだ認証情報を使用します。また、脆弱性を悪用したり、OSとネットワーク、あるいはそれらを接続するデバイス間の信頼関係を悪用したりすることもあります。脅威アクターは、権限昇格、他のデータへのアクセス取得、あるいはより永続的な存在を確保するために横方向移動を利用します。
ネットワークエンドポイントセキュリティの仕組みとは？
ネットワークエンドポイントセキュリティは、ネットワークに接続されたすべてのデバイスを保護することを目的とした技術と実践で構成されます。その仕組みは以下の通りです：
- ネットワークエンドポイントセキュリティシステムは、エンドポイントデバイスに出入りするすべてのトラフィックを分析します。それらは、異常なパターンを検出するか、既知の脅威のシグネチャを探す、洗練されたアルゴリズムを使用します。
- 脅威が認識されると、システムは即座にアクションを取ります。悪意のあるトラフィックを遮断するだけでなく、感染したエンドポイントを隔離したり、セキュリティチームに警告を発したりします。
- エンドポイントセキュリティソリューションエンドポイントデバイスにセキュリティポリシーを実装します。これには、異なるユーザーグループのアクセス権限の整理、定期的なスキャンによるデバイス上のソフトウェアの常に最新の状態の確保、使用が許可されるアプリケーションの制御などが含まれます。
- SentinelOneなどの一部のエンドポイントセキュリティシステムは、潜在的な脅威を特定するために行動分析を使用します。本質的に、この分析は異常検出に有効なユーザーやシステムの行動を研究することに基づいています。
- また、こうしたシステムはファイアウォールや侵入検知システムなどの他の保護ツールと連携することが多く、ネットワーク全体に警告を配信できる包括的な防御システムを構築します。
エンドポイントセキュリティをリードする
SentinelOneがGartner® Magic Quadrant™のエンドポイントプロテクションプラットフォーム部門で4年連続リーダーに選ばれた理由をご覧ください。
レポートを読む
エンドポイントセキュリティのためのネットワークセグメンテーション
エンドポイントセキュリティを強化する基本的な方法の1つは、ネットワークセグメンテーションです。これは、潜在的な脅威の拡散を制限するためにネットワークを小さなセクションに分割することを含みます。最もよく使用されるネットワークセグメンテーションの方法には以下が含まれます：
-
VLAN とサブネット分割
仮想ローカルエリアネットワーク(VLAN)とサブネット分割は、基本的なネットワークセグメンテーション手法の2つです。VLANは、物理ネットワーク内のデバイスを機能やセキュリティ対策に基づいて論理的なグループに分類することを可能にします。一方、サブネット分割は、IPネットワークを多数のサブネットワークに分割する手法です。これらの手法により、組織はシステム内の異なるセクション間のトラフィックフローを制御し、ネットワークの攻撃対象領域を制限できます。
-
マイクロセグメンテーション
マイクロセグメンテーションは、ネットワークセグメンテーションの高度な形態であり、きめ細かいネットワーク分割を実現します。これにより、組織はデータセンターやクラウド環境内のワークロードを分離し、個々のエンドポイントまたは少数のエンドポイントグループに対してセキュリティ対策を適用することが可能になります。これにより、組織は最新のセキュリティ懸念に対応し、セキュリティポリシーを効果的に変更し、セキュリティ態勢の強制を実施できます。
-
ソフトウェア定義境界 (SDP)
ソフトウェア定義境界（SDP）は、動的なネットワーク分離を提供するセキュリティフレームワークです。これは、ユーザーとアクセスしようとするリソース間のユニークで永続的な相互1対1接続を通じて実現されます。システムはコントローラーを使用してユーザーを認証・認可し、その後要求されたサービスに接続します。「知る必要のある者だけが知る」原則に基づき、最小限の認証を保証します。
-
ゼロトラストネットワークアクセス（ZTNA）
ゼロトラストネットワークアクセスモデルは「決して信頼せず、常に検証する」という概念に基づいて動作します。ZTNAは、組織ネットワーク内のデバイスやユーザーを含め、何も信頼できないと仮定します。したがって、すべてのユーザーとデバイスに対して継続的な認可と認証を要求します。
ネットワークエンドポイントセキュリティの利点
ネットワークエンドポイントセキュリティは組織にいくつかの重要な利点を提供します。これらの利点は、全体的なセキュリティ態勢と運用効率の向上に貢献します：
1. 強化された保護
サイバー脅威に対する強化された保護は、ネットワークエンドポイントセキュリティの主な利点です。マルウェア、ランサムウェア、その他の悪意のある活動に対する強力な防御を提供します。個々のエンドポイントを保護することで、組織は攻撃者がネットワークに足場を築くのを防ぐことができます。この包括的な保護は、データの完全性とシステムの可用性を維持するのに役立ちます。
2. 可視性の向上
ネットワーク活動に対する可視性の向上は、もう一つの重要な利点です。エンドポイントセキュリティソリューションは、デバイスの動作、ユーザーの行動、ネットワークトラフィックパターンに関する詳細な洞察を提供します。この可視性により、セキュリティチームは脅威をより迅速に検知し対応できます。また、悪用される前に潜在的な脆弱性を特定するのにも役立ちます。
3. 規制要件への準拠
ネットワークエンドポイントセキュリティは、規制要件への準拠強化に貢献します。多くの業界では、特定のセキュリティ対策を義務付ける厳格なデータ保護規制が存在します。堅牢なエンドポイントセキュリティを導入することで、組織はこれらのコンプライアンス基準をより容易に満たせます。これにより罰金のリスクを回避できるだけでなく、顧客やパートナーとの信頼関係を構築できます。
4. 生産性の向上
生産性の向上は、エンドポイントセキュリティ導入の重要な利点でありながら、しばしば見過ごされがちです。セキュリティインシデントを最小化することで、組織はシステムのダウンタイムや業務妨害を削減できます。マルウェア、特に不正なソフトウェアをインストールする能力を持つものの存在が排除されるため、セキュアなエンドポイントはパフォーマンス障害の影響を受けにくくなります。
5.コスト削減
効果的なエンドポイントセキュリティ導入のもう一つの利点は、コスト削減です。導入費用は高額になる可能性がありますが、様々な形で経費を節約する機会を提供します。攻撃の成功を防ぐことで、組織はデータ侵害に伴う高額な費用（復旧費用、弁護士費用、評判の毀損など）を回避できます。
リモートネットワークアクセスの保護
現代の分散型ワーク環境において、安全なリモートネットワークアクセスは重要です。現在、従業員が外部から接続する際のネットワークとデータを保護する多様な技術やセキュリティソリューションが存在します。安全なリモートアクセスを確保するための主要技術とベストプラクティスについて検討しましょう：
-
VPN技術（IPsec、SSL/TLS）
VPN技術は、暗号化されたトンネルを構築する機能を提供し、パブリックネットワークを介した安全な通信を可能にします。IPsec VPNはネットワーク層で動作し、エンドポイント間の全トラフィックに安全な接続を提供します。SSL/TLS VPNはアプリケーション層で機能し、特定のアプリケーションへのより安全なアクセスを提供します。VPNは、安全なウェブサイトのホスティングに使用される技術ツールと同じものを使用するため、特定の環境での導入や実装が容易であり、よりアクセスしやすい技術です。
-
リモートデスクトッププロトコル（RDP）のセキュリティ
RDPはネットワーク経由で別のコンピュータに接続するために使用されます。組織のRDPを保護するために、強力なパスワードの使用やアカウントロックアウトポリシーによるブルートフォース攻撃の防止など、以下の対策が講じられています。組織は、リモートデスクトップへのアクセス提供前にユーザー認証を要求することでセキュリティを強化するため、ネットワークレベル認証（NLA）を活用すべきです。
-
セキュアシェル（SSH）
Secure Shell（SSH）は、システムへのリモートアクセスが安全に伝送されることを保証するために使用されます。SSHは特にコマンドラインアクセスにおいて重要であり、コンピュータファイルの安全な転送にも使用されます。データ保護のための強力な暗号化と、接続ユーザーが本人であることを確認するための強力な認証手段を保証します。
リモートアクセス向け多要素認証
追加のセキュリティ層である多要素認証でデータを保護することが重要です。MFA を追加することで、ユーザーは2つ以上の認証要素（ユーザーが知っているもの（例：パスワード）、ユーザーが所有するもの（例：トークンやデバイス）、ユーザーが持つ特性（例：指紋などの生体認証データ））を提供する必要がありますこれにより不正アクセスの防止確率が向上します。
ネットワークベースの脅威検知と防止
ネットワークベースの脅威検知と防止はセキュリティ戦略の主要構成要素の一つです。この技術はネットワークトラフィックを常時監視し、潜在的なリスクによる被害を未然に防ぎます。主な技術と戦略は以下の通りです：
1. NIDSとNIPSの導入戦略
ネットワーク侵入検知システム（NIDS）とネットワーク侵入防止システム（NIPS）は、あらゆるセキュリティ戦略において不可欠なツールです。NIDSツールは、組織のサーバーやネットワーク機器を通過するトラフィックを監視し、不審なトラフィックをセキュリティ担当者に報告します。NIPSはさらに一歩進んで、トラフィックの流れを停止またはブロックしようと試みます。
2.シグネチャベースと異常ベースの検知
シグネチャベースの検知は、既知の脅威シグネチャのデータベースを使用し、データパケットのインスタンスをこれらの記録と照合します。これは特定かつ標準化された攻撃を発見する効果的な方法ですが、新しく進化した、または未知の脅威を特定する上では深刻な制限があります。異常ベースの検知は、許容可能なトラフィックのベースラインを設定し、異常が検出された場合にシステムが警告を発します。
3. ホストベースファイアウォールとアプリケーション認識型ファイアウォールルール
ホストベースのファイアウォール個々のホストを保護し、これらのホストとの間のネットワークトラフィックを制御します。これらのデバイスは、事前設定されたルールに基づいてネットワークトラフィックをフィルタリングする機能を備えています。アプリケーション認識型ファイアウォールルールは、標準的なポートベースのフィルタリングよりも一歩進み、アプリケーションの動作に基づいてその正当性を考慮します。
4. エグレスフィルタリング
この制御機能は、インターネット経由で送信されるアウトバウンドデータを監視・フィルタリングします。このようなフィルタにより、ハッカーが組織のシステムやネットワークから自身のプライベートサーバーへデータを転送することが困難になります。監視を通じて、エグレスフィルタはコマンドアンドコントロールサーバーとの通信を試みる侵害された脆弱なシステムを特定・識別することも可能です。こうした対策により、不正なデータ転送を検知・防止します。
5. トラフィック分析とパケット検査
組織は、既知の攻撃・パターン・プロファイル・エクスプロイトとの一致、および無効なネットワークパケットや手法への参照について、ネットワーク通信を評価できます。トラフィック分析はネットワーク通信パターンを監視し、将来の検知に関連する情報を提供します。また、将来の異常に関する情報も提供します。
ネットワークエンドポイントのセキュリティ確保に関するベストプラクティス
強力なネットワークエンドポイントセキュリティの実装には、多面的なアプローチが必要です。組織が従うべき5つのベストプラクティスは以下の通りです：
#1. 定期的なソフトウェア更新とパッチ管理
すべてのエンドポイントソフトウェアを最新の状態に保つことはセキュリティ上極めて重要です。これにはオペレーティングシステム、アプリケーション、セキュリティソフトウェアが含まれます。パッチ管理の体系的な手法を確立し、特に重要なセキュリティ更新を優先してください。可能な限り更新プロセスを自動化し、パッチの適時適用を確保します。定期的にエンドポイントを監査し、古いソフトウェアや未適用のパッチを特定・対処してください。
#2.強力なアクセス制御と認証の実施
すべてのエンドポイントで強力なパスワードポリシーを適用します。特にリモートアクセスにおいて、すべてのユーザーアカウントに多要素認証（MFA）を導入します。最小権限の原則を採用し、ユーザーの役割に必要な最小限のアクセス権のみを付与します。機密性の高いリソースを厳重に管理するため、アクセス許可を定期的に見直し、更新してください。
#3. エンドポイント保護ソフトウェアの導入と維持
すべてのエンドポイントにウイルス対策およびマルウェア対策ソフトウェアをインストールし、常に最新の状態に更新してください。高度な エンドポイント検出および対応 (EDR) ソリューションを使用して、脅威をリアルタイムで監視および対応します。すべてのデバイスでパーソナルファイアウォールを有効化し、ネットワークトラフィックの送受信を制御してください。
#4. ネットワークセグメンテーションと隔離
ネットワークをセグメント化し、脅威の拡散リスクを制限します。仮想LAN（VLAN）またはソフトウェア定義ネットワーク（SDN）を活用し、隔離されたネットワークセグメントを構築します。各セグメント間には厳格なアクセス制御を実施してください。特に機密性の高いシステムやデータについては、エアギャップネットワークや厳格な隔離対策の導入を検討します。このアプローチにより、侵害をネットワークの限定された領域に封じ込め、影響を大幅に軽減できます。
#5. 継続的監視とインシデント対応計画
すべてのネットワークエンドポイントの継続的監視を実施します。セキュリティ情報イベント管理（SIEM）システムは、ネットワーク全体のログデータを収集・分析するために使用されます。セキュリティ侵害が発生した場合に取るべき手順を定めたインシデント対応計画を作成し、定期的に更新します。脆弱性を特定し対処するため、定期的なセキュリティ監査とペネトレーションテストを実施します。
ネットワークエンドポイントセキュリティ導入の課題
ネットワークエンドポイントセキュリティの導入には、組織にとっていくつかの課題があります。これらの障害はセキュリティ対策の効果に影響を与え、慎重な検討を必要とします：
1. ネットワークの複雑性
現代ネットワークの複雑性は重大な課題です。今日のネットワークは、オンプレミス、クラウド、ハイブリッド環境が混在していることが多く、この多様性により全エンドポイントで一貫したセキュリティポリシーを維持することが困難です。異なる種類のデバイス、オペレーティングシステム、アプリケーションがこの複雑さをさらに増大させます。セキュリティチームは、包括的な保護を確保しつつ、この異種環境に適応できる戦略を策定する必要があります。
2.進化する脅威環境
進化する脅威に対応し続けることは継続的な課題です。サイバー犯罪者は絶えず新たな攻撃手法を開発しています。脅威の急速な進化により、セキュリティチームは知識とツールを継続的に更新する必要があります。シグネチャベースの検知手法は、新規の脅威に対して効果が低下する可能性があります。組織は先進的な脅威検知システムへの投資とセキュリティ戦略の定期的な更新により、新たなリスクに先手を打つ必要があります。
3. セキュリティとユーザビリティのバランス
セキュリティとユーザー生産性の両立は摩擦を生じさせがちです。厳格なセキュリティ対策はユーザーのワークフローを妨げたりシステムを遅延させたりすることがあり、ユーザーの不満やセキュリティ制御の回避行動を招く可能性があります。堅牢なセキュリティとユーザーフレンドリーなプロセスの適切なバランスを見出すことが極めて重要です。組織は、生産性に大きな影響を与えずに資産を保護するセキュリティ対策を実施しなければなりません。
4. 資源の制約
予算と熟練人材の両面における資源の制約が、もう一つの課題です。包括的なエンドポイントセキュリティソリューションの導入には多額の費用がかかる場合があります。多くの組織は、高度なセキュリティツールや技術に十分な資金を割り当てることに苦労しています。複雑なエンドポイントセキュリティシステムを管理する熟練したセキュリティ専門家を見つけ、維持することは、多くの企業にとってますます困難になっています。
ネットワークエンドポイントセキュリティのためのSentinelOne
SentinelOneは、ネットワークエンドポイントセキュリティのための先進的なシステムです。人工知能と自動化を活用した革新的なサイバーセキュリティアプローチです。本セクションでは、システムの主な機能について解説します。
SentinelOneのネットワークセキュリティ機能
SentinelOneのシステムは、ネットワーク動作のリアルタイムで脅威を防止、検知、対応します。一方では、すべての送受信データをスクリーニングします。他方では、各エンドポイントの動作を注意深く追跡します。システムが潜在的な脅威を特定すると、自律的に管理し、その不審な活動をブロックします。また、侵害されたエンドポイントはシステム全体から隔離され、マルウェアの横方向への移動を防止します。
AI駆動型脅威検知と対応
機械学習はSentinelOneシステムの製品を支える基盤技術です。この技術により、トラフィックのモデリングとエンドポイントの行動追跡が可能となり、潜在的に危険なパターンを分析します。新たなデータに基づく継続的な学習は、新たな脅威を検知するために設計された製品にとって極めて重要です。実際にそのような脅威が検知されると、システムは自律的に対応し、該当するプロセスをブロックしたり、疑わしいエンドポイントを隔離したりします。
ネットワーク可視化と制御機能
SentinelOneは広範なネットワーク可視化と制御機能を提供します。システム管理者は、ネットワークに対してシステムが提供する高度な制御機能を高く評価しています。具体的には、SentinelOne 製品は集中管理ダッシュボードを提供し、セキュリティ管理者がそこからネットワーク上のすべてのエンドポイントとすべてのアクティビティを閲覧できるようにします。さらに、データ流通の各アプローチ、アプリケーションタイプなどを監視します。
比類なきエンドポイントプロテクション
SentinelOneのAIを搭載したエンドポイントセキュリティが、サイバー脅威をリアルタイムで防止、検出、対応するためにどのように役立つかをご覧ください。
デモを見る結論
結論として、SentinelOneはセキュリティ管理者がエンドポイントとネットワークを監視し、制御するための包括的なソリューションを提供します。その強力な機能と柔軟性は、セキュリティチームが脅威を効果的に特定し、対応するのに役立ちます-content-type-uid="global_cta" sys-style-type="inline">
結論
ネットワークエンドポイントセキュリティは、現代のサイバーセキュリティ対策において重要な要素です。効果的な解決策としては、複数の技術と手法を組み合わせることが挙げられます。具体的には、ネットワークセグメンテーション、安全かつ容易にアクセス可能なリモートアクセスソリューション、高度な脅威検知・防止システム、そして高性能なエンドポイント保護ソフトウェアが含まれます。上記の対策は十分ではありますが、ネットワークエンドポイントの保護は容易ではありません。
ネットワーク環境はますます複雑化し、脅威の状況は変化を続け、ネットワーク上に存在するエンドポイントの数も増加しています。
したがって、ネットワークエンドポイント保護の課題は明らかです。考慮すべき要素やエンドポイントの増加により、この作業はより困難になっています。また、脅威が変化し続ける以上、これらの問題を解決するアプローチも変化させる必要があることも明白です。
ネットワークエンドポイントセキュリティに関するよくある質問
ネットワークエンドポイントセキュリティとは、ネットワークに接続するすべてのデバイス（ノートパソコン、スマートフォン、タブレット、デスクトップ）を保護することを意味します。各エンドポイントが最新のウイルス対策ソフト、ファイアウォール、ポリシー制御を備えていることを確保することに重点を置いています。従業員のノートパソコンやモバイルデバイスがネットワークに接続しようとする際、エンドポイントセキュリティは脅威をチェックし、マルウェアをブロックし、暗号化と認証を強制します。これにより各デバイスを安全に保ち、ネットワーク全体のセキュリティを維持します。
従来のネットワークセキュリティは、ルーター、スイッチ、ファイアウォールといったネットワーク境界を防御します。一方、エンドポイントセキュリティは個々のデバイスを保護します。ネットワークセキュリティは侵入経路で脅威を阻止し、エンドポイントセキュリティはデバイス内部を監視します。
マルウェアがゲートウェイを突破した場合、エンドポイントツールがノートパソコン、スマートフォン、サーバー上でそれを検知・除去します。両者は二重防御を形成します：一つは入り口で、もう一つは各デバイス上で。
3つの主要なタイプは、境界セキュリティ、エンドポイントセキュリティ、ネットワーク監視です。境界セキュリティはファイアウォールやVPNといった侵入経路を保護します。エンドポイントセキュリティはアンチウイルス、EDR、パッチ管理でデバイスを防御します。
ネットワーク監視は侵入検知システム、行動分析、ログレビューを通じてトラフィックを追跡し異常を検知します。これらの層を組み合わせることで、攻撃が到達する前に阻止し、すり抜けたものを捕捉します。
最新のアンチウイルスソフトを導入することから始めます。疑わしい動作を検知するためにエンドポイント検知・対応（EDR）ソフトウェアを追加します。各デバイスで強力なパスワードと多要素認証を適用します。OSとアプリケーションのパッチ適用を自動化します。
管理権限を制限し、ユーザーが不明なソフトウェアをインストールできないようにします。最後に、エンドポイントデータを定期的にバックアップし、オフラインで保管することで、ランサムウェア攻撃を受けた場合でも復旧できるようにします。
一般的なツールには、アンチウイルススイート、エンドポイント検知・対応（EDR）プラットフォーム、モバイルデバイス管理（MDM）が含まれます。例としては、SentinelOne Singularity XDR、Microsoft Defender for Endpoint、CrowdStrike Falcon、VMware Carbon Black などがあります。Jamf や Microsoft Intune などの MDM ソリューションは、スマートフォンやタブレットにポリシーを適用します。
これらのツールは連携して、マルウェアのスキャン、実行中のプロセスの監視、デバイスがセキュリティルールに準拠していることの確認を行います。
EDRまたはXDRプラットフォームを使用して、各デバイスからリアルタイムでログを収集します。プロセスの起動、ネットワーク接続、ファイル変更、ユーザーログインを監視します。異常な動作（予期せぬリモートアクセス、大量のファイル暗号化、異常なポート使用など）に対するアラートを設定します。
ダッシュボードとレポートを定期的に確認し、傾向を把握します。セキュリティ情報イベント管理（SIEM）システムを導入し、アラートを一元管理し、エンドポイント間のイベントを相関分析することも可能です。