機能一覧
RoamSwitch が何を検知し、どう止め、何を制御するかを、守る対象ごとにまとめました。
ランサムウェア 4
暗号化の動きを見つけて止め、被害を受ける前の状態へ戻す手段を用意します。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| 大量暗号化の検知 T1486 | 書き込みを監視し、暗号化された内容のファイルが短時間に増えると、通信を遮断して被害の拡大を止めます。 | 動作検知 隔離 | 既定Pro でオン 自動で対処 | 製品Mac Linux |
| おとりファイルによる検知 T1486 | 大事なフォルダにおとりのファイルを置き、改ざん・削除・暗号化を検知して知らせます。Mac では通信の遮断まで自動で行います。 | 動作検知 隔離 | 既定Pro でオン 通知のみ | 製品Mac Linux Linux Server |
| 被害前のファイルの復元 | 定期的に取ったスナップショットから、被害前のファイルを1つずつ取り出せます。 | 動作制御 記録 | 既定オン 手動で対処 | 製品Mac Linux |
| バックアップの新しさの診断 | 最後のバックアップが新しいかどうかを診断し、古いときは知らせます。 | 動作監査 | 既定オン 通知のみ | 製品Mac Linux Linux Server |
認証情報の窃取 5
パスワード、鍵、トークンを盗む動きを、読まれた時点で見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| 認証情報のおとり T1552.001 | ホームにおとりの認証情報(AWS・SSH 鍵・Docker など)を置き、読まれた瞬間に知らせます。読んだプログラム、コマンド、親プロセスを通知に添えます。本物のファイルは上書きしません。 | 動作検知 | 既定Pro でオン 通知のみ | 製品Mac Linux Linux Server |
| 認証情報ファイルの読み取り監視 T1552.001 | SSH 秘密鍵、AWS・gcloud の認証情報、ブラウザの保存パスワード、AI エージェントのサインイン情報などを、想定外のプログラムが開くと知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Linux |
| ブラウザの保存情報の監視 T1555.003 | Chrome、Firefox などの保存パスワードと Cookie のファイルを、ブラウザ以外が開くと知らせます。 | 動作検知 | 既定選んでオン 通知のみ | 製品Mac |
| API キー・秘密鍵の検出 T1204.004 | 文章、ファイル、フォルダ、クリップボードから API キーや秘密鍵を見つけます。結果は伏せ字で表示します。 | 動作監査 | 既定オン 手動で対処 | 製品Mac Linux Linux Server |
| AI エージェントのサインイン情報の診断 T1552.001 | Claude Code、Codex などがサインイン情報を保存するファイルの権限、所有者、同期フォルダや git 管理下にないかを調べます。中身は読みません。 | 動作監査 | 既定オン 通知のみ | 製品Mac |
不審な実行とマルウェア 10
攻撃者が動かすプログラムとコマンドの流れを見つけ、ダウンロードしたファイルを検査します。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| プロセス実行の記録と攻撃手口の検知 T1059.004 T1027 T1105 T1553.001 | 実行したプログラム、引数、親子関係を、改ざん検知つきで記録します。ブラウザからのシェル起動、ダウンロードして実行、難読化された実行、隔離属性を外した直後の実行などの連鎖を知らせます。秘密情報は伏せます。 | 動作検知 記録 | 既定選んでオン 通知のみ | 製品Mac Linux Linux Server |
| Sigma ルールの取り込み | 自分の Sigma ルール(プロセス作成)を置くと、実行の記録に当てて検知に加えます。読み込めないルールは理由つきで一覧に出します。 | 動作検知 | 既定選んでオン 通知のみ | 製品Mac Linux Linux Server |
| リバースシェルの検知 T1059.004 | シェルやインタープリターの入力と出力が、外部への接続になっている状態を見つけて知らせます。コマンドの形の検知も併せて行います。 | 動作検知 | 既定Pro でオン 通知のみ | 製品Mac Linux Linux Server |
| ダウンロード直後のマルウェア検査 T1204.002 T1027 | ダウンロードしたファイルを自動で検査し、見つけたものは隔離します。隔離したファイルは復元も完全削除もできます。 | 動作検知 遮断 | 既定オン 自動で対処 | 製品Mac Linux |
| ファイルの中身のパターン照合 | ダウンロードしたファイルの中身を、既知のパターンと照合します。Linux ではファイルが書かれた時点でも行います。 | 動作検知 | 既定オン 通知のみ | 製品Mac Linux Linux Server |
| Apple のマルウェア検知との連動 | XProtect が実際にマルウェアを検知した瞬間に、通信を遮断します。 | 動作隔離 | 既定Pro でオン 自動で対処 | 製品Mac |
| ClickFix の検知 T1204.004 | 偽の確認画面でユーザー自身にコマンドを貼り付けさせる攻撃を、シェル履歴とクリップボードで見つけます。 | 動作検知 遮断 | 既定選んでオン 自動で対処 | 製品Mac Linux |
| 危険な実行の事前ブロック | 実行の時点で脅威を判定し、本物の脅威は実行を拒否します。 | 動作遮断 | 既定オン 自動で対処 | 製品Linux |
| カーネル層の侵入検知と自律隔離 T1562.006 | リバースシェル、特権昇格、不正なバイナリの実行を、カーネルのイベントから捕らえます。プロセスの凍結や終了、ホストの隔離を数ミリ秒で行います。 | 動作検知 隔離 | 既定オン 自動で対処 | 製品Linux Server |
| Web サーバーのワーカーの異常終了の検知 | nginx と Apache のワーカーが短時間に繰り返し異常終了したことを、エラーログから見つけて知らせます。 | 動作検知 | 既定Pro でオン 通知のみ | 製品Mac Linux Server |
居座りと改ざん 7
攻撃者が再起動後も居座る手口と、重要なファイルの書き換えを見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| 自動起動の登録の監視 T1543.001 T1543.002 T1053.003 T1546.004 | 新しい自動起動の登録や書き換え、シェルの起動ファイルなどに現れた不審な行を知らせます。リバースシェルや、ダウンロードしてそのまま実行する形を見つけます。 | 動作検知 | 既定オン 通知のみ | 製品Mac Linux |
| 重要システムファイルの改ざん監視 T1098.004 T1548.003 | sudoers、PAM、sshd の設定、root の authorized_keys など、root でしか書き換えられないファイルのハッシュを記録し、変更・追加・削除を知らせます。Server では変更したプロセスと、そのログインの情報を添えます。 | 動作検知 記録 | 既定Pro でオン 通知のみ | 製品Mac Linux Server |
| ロックファイルの改ざん監視 T1195.001 | 登録したプロジェクトの package-lock.json などを記録し、変更を人が確認するまで知らせ続けます。 | 動作検知 | 既定Pro でオン 通知のみ | 製品Mac |
| SUID・SGID の変更の監視 T1548.001 | setuid・setgid のファイルの追加と変更を知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Linux Server |
| ログ消去の監視 T1070.002 | 認証ログなどが空にされたり切り詰められたりしたことを知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Linux Server |
| カーネルの堅牢化 T1055 | ptrace の制限、/tmp と /dev/shm の noexec、非特権のユーザー名前空間の制限などで、権限昇格と実行の足がかりを減らします。 | 動作遮断 | 既定オン | 製品Linux Linux Server |
| 権限昇格の通り道になるカーネルモジュールの点検 | Copy Fail や Dirty Frag など、ローカル権限昇格の通り道になったモジュールを、読み込める状態かどうか調べます。使っていないモジュールは読み込み禁止にできます。 | 動作監査 制御 | 既定手動で実行 手動で対処 | 製品Linux Linux Server |
ネットワーク防御 18
接続先に合わせて守りを切り替え、不審な接続や公開を止めます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| 接続先ネットワークに応じた保護レベルの切り替え | 自宅、職場、公共の Wi-Fi などを自動で見分け、ファイアウォールと共有サービスの設定を切り替えます。手動で上書きもできます。 | 動作制御 遮断 | 既定オン 自動で対処 | 製品Mac Linux |
| 共有サービスの自動停止と復元 | 未信頼のネットワークでは SSH、画面共有、ファイル共有などを止め、安全なネットワークに戻ると元の状態へ戻します。 | 動作制御 遮断 | 既定オン 自動で対処 | 製品Mac Linux |
| 外部公開ポートの監査 | 外部に開いているポートを見つけ、危険なサービスとローカル AI の推論サーバーを判定します。 | 動作監査 | 既定オン 通知のみ | 製品Mac Linux Linux Server |
| 未知のポート公開の自動遮断 T1562.004 | これまで見られなかったプログラムが外部にポートを開いた瞬間に遮断します。署名がなくても、新しいバックドアに効きます。 | 動作検知 遮断 | 既定Pro でオン 自動で対処 | 製品Mac Linux |
| 開発サーバーの外部公開の遮断 | 全てのインターフェースで待ち受ける開発サーバーやローカル AI サーバーを、外部の LAN から遮断します。localhost からは使えます。 | 動作遮断 | 既定Pro でオン 自動で対処 | 製品Mac Linux |
| 外部からのポートスキャンの検知と遮断 T1046 | 短時間に多数のポートへ接続してきた送信元を見つけ、一定時間遮断します。ゲートウェイ、DNS、自分のアドレスは遮断しません。 | 動作検知 遮断 | 既定Pro でオン 自動で対処 | 製品Mac Linux Linux Server |
| ARP スプーフィングの検知と自動遮断 T1557.002 | ゲートウェイの MAC アドレスの不審な変化を見つけ、通信を緊急遮断します。未信頼の Wi-Fi では、ゲートウェイの ARP を固定します。 | 動作検知 隔離 | 既定Pro でオン 自動で対処 | 製品Mac Linux |
| Wi-Fi の安全性の診断 | 暗号化のない Wi-Fi や弱い暗号化への接続を警告します。以前見たネットワーク名に似た初見の名前は、偽アクセスポイントとして警告します。 | 動作検知 監査 | 既定オン 通知のみ | 製品Mac Linux |
| ネットワーク設定の変化の監視 T1557.003 | ネットワークが配った DNS サーバー、ルーター、プロキシ自動構成(PAC・WPAD)を前回と比べ、見たことのない値が現れたら知らせます。偽の DHCP サーバーの手がかりになります。 | 動作検知 | 既定Pro でオン 通知のみ | 製品Mac Linux |
| DNS 脅威保護 | C2 サーバーやフィッシングサイトの名前解決を、DNS の段階で遮断します。信頼できるネットワークに戻ると元へ戻ります。 | 動作遮断 | 既定オン 自動で対処 | 製品Mac Linux |
| リンク保護 T1566.002 T1071.004 | フィッシングや詐欺サイトへの接続を、通信の宛先から見つけて遮断または警告します。DoH を使うブラウザにも効きます。 | 動作検知 遮断 | 既定オン 自動で対処 | 製品Mac Linux |
| URL の安全性の診断 | 短縮 URL の展開、リダイレクトの追跡、見た目を似せた文字や偽ブランドのドメイン、危険なドメインの判定を、端末の中で行います。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| 未信頼ネットワークでの VPN とキルスイッチ | 未信頼のネットワークで VPN を自動でつなぎ、トンネルの外への漏れを遮断します。WireGuard と Tailscale を選べます。 | 動作制御 遮断 | 既定選んでオン 自動で対処 | 製品Mac Linux |
| Air-Gap(緊急の全遮断) | 全ての外部通信を即座に遮断し、解除の手順を最前面に出します。検知による自動の遮断にも使われます。 | 動作隔離 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| Air-Gap 中の Wi-Fi の停止 | Air-Gap で遮断するとき、Wi-Fi の電波も止めます。 | 動作隔離 | 既定オン 自動で対処 | 製品Mac |
| 受信の既定拒否と SSH の締め出し防止 | 受信を既定で拒否し、いま接続している管理用の SSH は切りません。 | 動作遮断 | 既定オン 自動で対処 | 製品Linux Server |
| 悪性 IP への外向き通信の遮断 | 既知の悪性・C2 の IP への外向き通信を遮断します。DNS をフィルタ付きの提供元へ向ける設定もあります。 | 動作遮断 | 既定オン 自動で対処 | 製品Linux Server |
| DNS トンネリングの検知 T1071.004 | DNS を使った持ち出しや C2 の兆候を見つけて知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Linux Server |
Web とメール 4
Web サイトに置かれた不正なコードと、Web サーバーへの攻撃を見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| Web シェル・不正コードの検知 T1505.003 | 公開フォルダーに書かれたファイルから、Web シェルや難読化された注入コードを見つけます。重大なものは既定で隔離します。公開フォルダーは Apache・nginx・Caddy の設定や Docker のマウントから自動で見つけます。 | 動作検知 遮断 | 既定Pro でオン 自動で対処 | 製品Mac Linux Server |
| 識別子の総当たりの検知(Web アクセスガード) | アクセスログから、受付番号や注文番号を順に差し替えて問い合わせる動きを見つけます。多数の IP に分けた攻撃も対象です。設定すると、該当した接続元を遮断できます。 | 動作検知 遮断 | 既定選んでオン 通知のみ | 製品Linux Server |
| Web ゲート | nginx と連携し、番号を受け取る場所だけを、場所ごとの問い合わせの予算で守ります。IP を替え続ける攻撃を抑えます。 | 動作遮断 | 既定選んでオン 自動で対処 | 製品Linux Server |
| ファイルスキャンガード | メール中継や共有フォルダーなどに置かれたファイルを、YARA と ClamAV で検査して隔離します。 | 動作検知 遮断 | 既定選んでオン 自動で対処 | 製品Linux Server |
SSH とリモートアクセス 2
ログインの総当たりを見つけて止め、設定の弱点を診断します。
コンテナとサーバー 6
コンテナの危険な起動と、サーバー特有の兆候を見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| コンテナの危険な起動の検知 T1610 | 特権つきや docker.sock をマウントしたコンテナの起動を知らせます。コンテナ内の実行も監視します。 | 動作検知 | 既定選んでオン 通知のみ | 製品Mac Linux Server |
| Docker によるファイアウォール迂回の防止 | Docker が既定拒否のルールを迂回して、公開するつもりのないポートを開くのを防ぎます。 | 動作遮断 | 既定オン 自動で対処 | 製品Linux Server |
| リソース枯渇とクラッシュの検知 | ネットワークに公開したサービスのメモリの増え続ける動き(リークや DoS)と、クラッシュの繰り返しを見つけて知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Linux Server |
| クラウドのメタデータへの接続の監視 T1552.005 | root 以外のプログラムやコンテナが 169.254.169.254 などのメタデータ API に接続すると知らせます。SSRF の最後の一手を見ます。 | 動作検知 | 既定オン 通知のみ | 製品Linux Server |
| AI エージェント専用アカウントの保護 | エージェントを専用のアカウントで動かすとき、外向き通信を許可リストに絞り、おとりの認証情報を置き、指示ファイルの書き換えを root 所有の基準線と照合します。 | 動作制御 検知 | 既定選んでオン 通知のみ | 製品Linux Server |
| 封じ込めが止めないプロセスの指定 | 自動の封じ込めが止めないプロセスを、組み込みの一覧に加えて追加できます。システムの場所にある実行ファイルだけが有効です。 | 動作制御 | 既定— | 製品Linux Server |
サプライチェーン 7
ライブラリと開発環境を通じた侵入を、取り込む前と取り込んだ後に見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| パッケージの既知の脆弱性の照合 | インストール済みのパッケージと、プロジェクトのロックファイルを、端末の中にある脆弱性のデータと照合します。通信はしません。悪用される確率(EPSS)がある CVE は、高い順に並べます。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac Linux Linux Server |
| 脆弱性の受容 | 影響しない CVE は、理由と期限を付けて受容できます。期限が切れると、通常の検出に戻ります。 | 動作制御 記録 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| インストール時に動くコードの点検 T1195.001 | インストール時に動くスクリプトを一覧にします。確認済みの状態から、スクリプトの追加や変更、コンパイル済みコードの追加があれば知らせます。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| 依存関係の取得元の検査 | pip の extra-index-url や、レジストリを固定していない npm のスコープなど、取り違え攻撃につながる設定を指摘します。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac |
| 名前の似たパッケージの判定 | 依存名が有名なパッケージに似すぎていないかを、編集距離で判定します。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| npm パッケージの署名の検証 | インストール済みのパッケージの署名と来歴を、npm のレジストリで検証します。 | 動作監査 | 既定選んでオン 手動で対処 | 製品Mac Linux Server |
| カーネルの脆弱性の照合 | 稼働しているカーネルの版を、既知の脆弱性と突き合わせて診断に出します。 | 動作監査 | 既定オン 通知のみ | 製品Linux Linux Server |
AI エージェントと MCP 6
AI エージェントの設定と、AI に渡す情報の安全性を守ります。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| AI エージェントの設定の監査 | 指示ファイル、スキル、設定ファイルを点検します。見えない文字、指示の上書き、ダウンロードしてそのまま実行する記述、秘密ファイルの外部送信などを指摘します。承認した状態から変わったら知らせ、結果は SARIF でも出せます。 | 動作監査 検知 | 既定手動で実行 通知のみ | 製品Mac Linux Linux Server |
| MCP 設定の点検 | Claude Desktop、Claude Code、Cursor などの MCP 設定にある、自動承認、平文の http、ワンライナー起動、特権コンテナなどの危険な記述を指摘します。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Mac Linux |
| AI への指示の混入の警告 | パッケージのスクリプト、ログ、Wi-Fi 名、コマンドラインなど、外から来た文字列に AI への指示が混ざっていると、結果の末尾に警告します。見つけた種類と件数だけを示します。 | 動作検知 | 既定オン 通知のみ | 製品Mac Linux Linux Server |
| AI アシスタントから状態を照会する MCP サーバー | Claude などから、診断や検知の状態を読み取れます。設定を変えるツールはありません。通信もしません。 | 動作報告 | 既定オン | 製品Mac Linux Linux Server |
| 検知範囲の自己点検 | ATT&CK の手法ごとに、検知できるか、見えない範囲は何か、担当する機能が今動いているかを一覧にします。ATT&CK Navigator のレイヤーでも出せます。 | 動作報告 監査 | 既定オン | 製品Mac Linux Linux Server |
| ローカル AI 実行基盤の識別 | 公開されているポートが Ollama、vLLM、LiteLLM などのローカル AI の実行基盤かどうかを、確度つきで判定します。 | 動作監査 | 既定オン 通知のみ | 製品Mac Linux |
周辺機器 3
USB と Bluetooth を使った侵入を、接続の時点で止めます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| USB ストレージの制御 T1091 | 許可していない USB ストレージは、読み取り専用でつなぐか、接続を保留して確認します。許可済みでも、接続直後は読み取り専用にして、スキャン後に権限を戻します。 | 動作遮断 制御 | 既定選んでオン 手動で対処 | 製品Mac Linux |
| BadUSB の防止 T1200 | 承認していないキーボードや、改造した USB ケーブルの入力を、承認まで止めます。打鍵間隔の異常も補助の手がかりにします。 | 動作遮断 | 既定選んでオン 手動で対処 | 製品Mac Linux |
| Bluetooth の制御と点検 | 未信頼のネットワークでは Bluetooth を見つけられない状態にします。ペアリング前の機器を通す設定も点検します。 | 動作制御 監査 | 既定選んでオン 自動で対処 | 製品Mac Linux |
診断と脆弱性 5
設定の弱点と、実際に到達できる脆弱性を見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| セキュリティ総合診断 | ディスクの暗号化、ファイアウォール、OS の更新、SSH、公開ポート、ブラウザの保護など、多数の項目を診断し、点数と直し方を示します。診断した項目が今も残っているかを、再確認できます。 | 動作監査 報告 | 既定オン 通知のみ | 製品Mac Linux Linux Server |
| 実証型の脆弱性診断 | この端末の 127.0.0.1 に限って、認証なしの公開、CORS の設定ミス、パストラバーサルなどを、破壊せずに確かめます。確認するたびに、残るものと証拠の強さを示します。 | 動作監査 | 既定選んでオン 手動で対処 | 製品Mac Linux |
| LLMNR・NBNS の応答の診断 T1557.001 | 同じネットワークの誰でも答えられる名前解決に、この端末が参加していないかを調べます。 | 動作監査 | 既定オン 通知のみ | 製品Linux Linux Server |
| 権限昇格の経路の分析 | docker グループ、SUID、書き換えられるサービスの実行ファイル、パスワードなしの sudo、cron、macOS のプライバシー許可などから、root や機密データに届く経路を、図と一覧で示します。直したときの経路を、仮に分析もできます。 | 動作監査 | 既定手動で実行 手動で対処 | 製品PathScope |
| LAN の外側からの脆弱性監査 | LAN に置いた専用ノードから、ペアリングした端末の公開ポートと脆弱なサービスを、破壊せずに確かめます。ホスト自身の診断では見えない、同じ LAN の別の機器からの見え方が分かります。 | 動作監査 | 既定手動で実行 手動で対処 | 製品Sensor |
ログ解析と調査 22
ログと LAN の情報から、攻撃の試みを根拠つきで見つけます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| セキュリティログの監査 | ログから、sudo の失敗、SSH、Gatekeeper の遮断、認証などを集計します。初めて出たログの型と、頻度の急な増加を異常として見つけます。秘密情報は伏せます。 | 動作検知 監査 | 既定Pro でオン 通知のみ | 製品Mac Linux Linux Server |
| アクセスログの診断(AccessScope) | Web サーバーと SSH のログから、攻撃の試みを根拠の行つきで見つけます。ログを自動で探し、複数のログにまたがる連鎖と、ふだんとの違いも示します。読めなかった範囲は報告に示します。 | 動作検知 報告 | 既定手動で実行 | 製品AccessScope |
| ボタン 1 つの状況確認(PersonalSOC) | SSH 認証、auditd、Web、DNS、macOS 統合ログと、MCP の設定、RoamSwitch の検知履歴を、読み取り専用で確認します。ダッシュボードと、IOC つきの報告書にまとめます。 | 動作報告 監査 | 既定手動で実行 | 製品PersonalSOC |
| LLM による自律調査(PersonalSOC・任意) | 有効にすると、LLM が許可された読み取り専用のツールだけで調査し、報告書を書きます。シェルやファイルは渡しません。LLM が書いた値のうち、集めた材料にないものは、作り話の可能性として示します。 | 動作報告 | 既定選んでオン | 製品PersonalSOC |
| 定期実行(PersonalSOC・任意) | ユーザー権限で定期実行を登録し、前回になかった検出があるときだけ、件数を通知します。 | 動作報告 | 既定選んでオン 通知のみ | 製品PersonalSOC |
| 対策箇所と修正案(PathScope) | 先に直すと効果が大きい箇所を優先度つきで示し、修正のコマンド例と ATT&CK の対応を添えます。コマンドは自動では実行しません。 | 動作報告 | 既定手動で実行 | 製品PathScope |
| 入っているソフトの既知の脆弱性の照合(PathScope) | 入っているソフトウェアの版を、同梱の既知の脆弱性のデータ(CISA KEV など)と照合します。公開された攻撃モジュールがあるものは、そう示します。 | 動作監査 | 既定手動で実行 | 製品PathScope |
| 履歴との比較と継続検査(PathScope) | 分析の結果を端末の中に履歴として残し、前回との違いを比べます。経路が増えたら終了コード 1 で知らせるので、定期実行にも使えます。 | 動作記録 報告 | 既定手動で実行 | 製品PathScope |
| LLM による解説と設定の読み取り(PathScope・任意) | 分析結果の解説と、sudoers・cron などの読みにくい設定の解釈を、LLM に任せられます。秘密鍵と API キーの値は送りません。解説にある値が材料になければ、作り話の可能性として示します。 | 動作報告 | 既定選んでオン | 製品PathScope |
| 見る件数の絞り込み(AccessScope) | 自社の IP などは理由をつけて除外でき、前回の診断と比べて、新しい検知だけを知らせます。 | 動作制御 | 既定手動で実行 | 製品AccessScope |
| 結果の書き出し(AccessScope) | 報告書を Markdown、JSON、SARIF、CSV で書き出せます。検知した IP の遮断リストも書き出せます。書き出すだけで、遮断はしません。 | 動作報告 | 既定手動で実行 | 製品AccessScope |
| LLM による分析(AccessScope・任意) | 有効にすると、要約と根拠の行を LLM に渡して報告書を書かせます。秘密は伏せ字です。LLM が書いた値のうち、渡した材料にないものは、作り話の可能性として示します。 | 動作報告 | 既定選んでオン | 製品AccessScope |
| LAN の不審な通信の検知(Sensor・受動キャプチャ) | ミラーポートなどの受動キャプチャで、既知の悪性 IP や管理用ポートへの接続、ボットネット化の兆候、DNS トンネリングを参考情報として示します。通信は遮断しません。 | 動作検知 | 既定選んでオン 通知のみ | 製品Sensor |
| 定期監査と前回との差分(Sensor) | ペアリング済みの端末を定期的に監査し、新しい検出、解消、新たに開いたポートを示します。 | 動作監査 報告 | 既定選んでオン 通知のみ | 製品Sensor |
| 監査レポートと通知(Sensor) | 監査結果、機器台帳、操作ログを CSV、JSON、HTML で書き出せます。新しい機器や ARP なりすましなどを、Webhook と syslog へ通知できます。操作ログは改ざん検知つきです。 | 動作報告 記録 | 既定選んでオン 通知のみ | 製品Sensor |
| LAN の機器台帳と ARP 監視 | LAN 上の機器を洗い出して台帳にし、新しい機器と、既知の IP に対する MAC の変化(ARP なりすまし)を知らせます。 | 動作検知 記録 | 既定オン 通知のみ | 製品Sensor |
| 不正な DHCP サーバー・IPv6 ルーターの検知 | ランダムな MAC から探索のパケットを 1 つだけ送り、応答した DHCP サーバーと IPv6 ルーターを数えます。後から増えたサーバーや、正規と違うゲートウェイを配るサーバーを知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Sensor |
| 機器ごとのふだんの挙動の学習 | 機器ごとの通信の癖を学習し、ふだんと違う挙動を知らせます。 | 動作検知 | 既定オン 通知のみ | 製品Sensor |
| 未導入機器の軽量監査 | プリンターやカメラなど、ペアリングしていない機器を、許可した範囲に限り、接続確認とサービスの表示の読み取りだけで確かめます。 | 動作監査 | 既定選んでオン 手動で対処 | 製品Sensor |
| インシデントのタイムライン | 封じ込めや検知の記録を、1 つの時系列にまとめます。プロセスの系譜と ATT&CK のタグも付きます。 | 動作報告 記録 | 既定オン | 製品Mac Linux |
| 接続中の USB 機器の一覧 | いまつながっている外部の USB 機器を一覧にします。 | 動作監査 | 既定オン | 製品Mac |
| 起動直後の保護(実験的) | 起動の早い段階から、準備が整うまで、ARP と DHCP クライアント以外の通信を止めます。 | 動作遮断 | 既定選んでオン 自動で対処 | 製品Linux Linux Server |
証拠・通知・運用 14
検知の証拠を残し、必要な人へ知らせ、運用に組み込みます。
| 機能 | できること | 動作 | 既定 | 製品 |
|---|---|---|---|---|
| 自己監視と自動再起動 T1562.001 | RoamSwitch 自身が異常終了したときは、再起動して知らせます。 | 動作制御 検知 | 既定オン 自動で対処 | 製品Mac Linux |
| 署名つきの脅威データの自動更新 | 脅威フィード、脆弱性データ、ルールを、署名を検証して受信します。端末の情報は送りません。 | 動作制御 | 既定オン | 製品Mac Linux Linux Server |
| 元に戻せるアンインストール | 削除の前に、ネットワークの設定を元へ戻し、おとりのファイルと追加した設定を取り除きます。 | 動作制御 | 既定手動で実行 手動で対処 | 製品Mac Linux Linux Server |
| 組織による集中管理(Fleet) | 端末を組織に登録し、署名つきのポリシーを受け取って適用します。端末側で、登録とポリシーの状態を確認できます。 | 動作制御 報告 | 既定選んでオン | 製品Linux Linux Server |
| 定期的な自律巡回 | バックグラウンドで、定期的に総合診断を実行します。 | 動作監査 | 既定オン 通知のみ | 製品Mac |
| 封じ込め時の証拠の自動採取 | 封じ込めが始まると、その時点の証拠を自動で集めます。各ファイルの SHA-256 で整合性を確認できます。 | 動作記録 | 既定オン 自動で対処 | 製品Mac Linux |
| 通知の履歴 | 直近の通知を、原因のプログラム、コマンド、パスとともに確認できます。原因を特定できないときは、そう書きます。 | 動作記録 報告 | 既定オン | 製品Mac Linux Linux Server |
| 緊急通知(Telegram・LINE・Webhook) | 重大な検知を、Telegram、LINE、Webhook へ送ります。Slack、Discord、Teams は受信 Webhook の URL で使えます。 | 動作報告 | 既定選んでオン 通知のみ | 製品Linux Server |
| イベントの転送(SIEM・syslog・Webhook) | 検知と通知を、指定した syslog、JSON Lines ファイル、署名つきの Webhook へ転送します。送れなかった分は再送します。 | 動作報告 | 既定選んでオン | 製品Mac Linux Server |
| 改ざん検知つきの記録 | 実行の記録をハッシュで連鎖させ、あとから検証できるようにします。書き込み中の区間も、一定間隔でチェックポイントを置きます。 | 動作記録 | 既定オン | 製品Mac Linux Linux Server |
| ターミナルから全機能を操作 | Server Edition の全機能を、SSH 越しの 80x24 の画面で、キーボードだけで操作できます。設定は保存前に差分を表示し、バックアップを取ります。 | 動作制御 | 既定オン | 製品Linux Server |
| Sensor からの監査を受ける | Server Edition を Sensor とペアリングし、LAN の外側からの監査を受けられます。 | 動作制御 監査 | 既定選んでオン 手動で対処 | 製品Linux Server |
| ペアリングと失効 | 使い捨てのコードで、端末と Sensor が相互に信頼します。紛失や盗難のときは、コレクターから失効させ、その Sensor は自分で止まります。 | 動作制御 | 既定— 手動で対処 | 製品Sensor |
| 複数拠点の集約(コレクター) | 複数の Sensor の要約を、署名つきで集めます。拠点ごとの状況をダッシュボードで見て、CSV にも出せます。 | 動作報告 | 既定選んでオン | 製品Sensor |
該当する機能がありません
自動で止めるもの・通知だけのもの
検知したあと、自動で遮断・隔離するものと、通知にとどまるものを分けて示します。
自動で遮断・隔離する 27
| 機能 | 動作 | 既定 | 製品 |
|---|---|---|---|
| 大量暗号化の検知 | 動作検知 隔離 | 既定Pro でオン | 製品Mac Linux |
| ダウンロード直後のマルウェア検査 | 動作検知 遮断 | 既定オン | 製品Mac Linux |
| Apple のマルウェア検知との連動 | 動作隔離 | 既定Pro でオン | 製品Mac |
| ClickFix の検知 | 動作検知 遮断 | 既定選んでオン | 製品Mac Linux |
| 危険な実行の事前ブロック | 動作遮断 | 既定オン | 製品Linux |
| カーネル層の侵入検知と自律隔離 | 動作検知 隔離 | 既定オン | 製品Linux Server |
| 接続先ネットワークに応じた保護レベルの切り替え | 動作制御 遮断 | 既定オン | 製品Mac Linux |
| 共有サービスの自動停止と復元 | 動作制御 遮断 | 既定オン | 製品Mac Linux |
| 未知のポート公開の自動遮断 | 動作検知 遮断 | 既定Pro でオン | 製品Mac Linux |
| 開発サーバーの外部公開の遮断 | 動作遮断 | 既定Pro でオン | 製品Mac Linux |
| 外部からのポートスキャンの検知と遮断 | 動作検知 遮断 | 既定Pro でオン | 製品Mac Linux Linux Server |
| ARP スプーフィングの検知と自動遮断 | 動作検知 隔離 | 既定Pro でオン | 製品Mac Linux |
| DNS 脅威保護 | 動作遮断 | 既定オン | 製品Mac Linux |
| リンク保護 | 動作検知 遮断 | 既定オン | 製品Mac Linux |
| 未信頼ネットワークでの VPN とキルスイッチ | 動作制御 遮断 | 既定選んでオン | 製品Mac Linux |
| Air-Gap 中の Wi-Fi の停止 | 動作隔離 | 既定オン | 製品Mac |
| 受信の既定拒否と SSH の締め出し防止 | 動作遮断 | 既定オン | 製品Linux Server |
| 悪性 IP への外向き通信の遮断 | 動作遮断 | 既定オン | 製品Linux Server |
| Web シェル・不正コードの検知 | 動作検知 遮断 | 既定Pro でオン | 製品Mac Linux Server |
| Web ゲート | 動作遮断 | 既定選んでオン | 製品Linux Server |
| ファイルスキャンガード | 動作検知 遮断 | 既定選んでオン | 製品Linux Server |
| SSH 総当たりの検知と遮断 | 動作検知 遮断 | 既定Pro でオン | 製品Mac Linux Linux Server |
| Docker によるファイアウォール迂回の防止 | 動作遮断 | 既定オン | 製品Linux Server |
| Bluetooth の制御と点検 | 動作制御 監査 | 既定選んでオン | 製品Mac Linux |
| 起動直後の保護(実験的) | 動作遮断 | 既定選んでオン | 製品Linux Linux Server |
| 自己監視と自動再起動 | 動作制御 検知 | 既定オン | 製品Mac Linux |
| 封じ込め時の証拠の自動採取 | 動作記録 | 既定オン | 製品Mac Linux |
通知のみ 42
| 機能 | 動作 | 既定 | 製品 |
|---|---|---|---|
| おとりファイルによる検知 | 動作検知 隔離 | 既定Pro でオン | 製品Mac Linux Linux Server |
| バックアップの新しさの診断 | 動作監査 | 既定オン | 製品Mac Linux Linux Server |
| 認証情報のおとり | 動作検知 | 既定Pro でオン | 製品Mac Linux Linux Server |
| 認証情報ファイルの読み取り監視 | 動作検知 | 既定オン | 製品Linux |
| ブラウザの保存情報の監視 | 動作検知 | 既定選んでオン | 製品Mac |
| AI エージェントのサインイン情報の診断 | 動作監査 | 既定オン | 製品Mac |
| プロセス実行の記録と攻撃手口の検知 | 動作検知 記録 | 既定選んでオン | 製品Mac Linux Linux Server |
| Sigma ルールの取り込み | 動作検知 | 既定選んでオン | 製品Mac Linux Linux Server |
| リバースシェルの検知 | 動作検知 | 既定Pro でオン | 製品Mac Linux Linux Server |
| ファイルの中身のパターン照合 | 動作検知 | 既定オン | 製品Mac Linux Linux Server |
| Web サーバーのワーカーの異常終了の検知 | 動作検知 | 既定Pro でオン | 製品Mac Linux Server |
| 自動起動の登録の監視 | 動作検知 | 既定オン | 製品Mac Linux |
| 重要システムファイルの改ざん監視 | 動作検知 記録 | 既定Pro でオン | 製品Mac Linux Server |
| ロックファイルの改ざん監視 | 動作検知 | 既定Pro でオン | 製品Mac |
| SUID・SGID の変更の監視 | 動作検知 | 既定オン | 製品Linux Server |
| ログ消去の監視 | 動作検知 | 既定オン | 製品Linux Server |
| 外部公開ポートの監査 | 動作監査 | 既定オン | 製品Mac Linux Linux Server |
| Wi-Fi の安全性の診断 | 動作検知 監査 | 既定オン | 製品Mac Linux |
| ネットワーク設定の変化の監視 | 動作検知 | 既定Pro でオン | 製品Mac Linux |
| DNS トンネリングの検知 | 動作検知 | 既定オン | 製品Linux Server |
| 識別子の総当たりの検知(Web アクセスガード) | 動作検知 遮断 | 既定選んでオン | 製品Linux Server |
| SSH と sudo の設定の診断 | 動作監査 | 既定オン | 製品Mac Linux Linux Server |
| コンテナの危険な起動の検知 | 動作検知 | 既定選んでオン | 製品Mac Linux Server |
| リソース枯渇とクラッシュの検知 | 動作検知 | 既定オン | 製品Linux Server |
| クラウドのメタデータへの接続の監視 | 動作検知 | 既定オン | 製品Linux Server |
| AI エージェント専用アカウントの保護 | 動作制御 検知 | 既定選んでオン | 製品Linux Server |
| カーネルの脆弱性の照合 | 動作監査 | 既定オン | 製品Linux Linux Server |
| AI エージェントの設定の監査 | 動作監査 検知 | 既定手動で実行 | 製品Mac Linux Linux Server |
| AI への指示の混入の警告 | 動作検知 | 既定オン | 製品Mac Linux Linux Server |
| ローカル AI 実行基盤の識別 | 動作監査 | 既定オン | 製品Mac Linux |
| セキュリティ総合診断 | 動作監査 報告 | 既定オン | 製品Mac Linux Linux Server |
| LLMNR・NBNS の応答の診断 | 動作監査 | 既定オン | 製品Linux Linux Server |
| セキュリティログの監査 | 動作検知 監査 | 既定Pro でオン | 製品Mac Linux Linux Server |
| 定期実行(PersonalSOC・任意) | 動作報告 | 既定選んでオン | 製品PersonalSOC |
| LAN の不審な通信の検知(Sensor・受動キャプチャ) | 動作検知 | 既定選んでオン | 製品Sensor |
| 定期監査と前回との差分(Sensor) | 動作監査 報告 | 既定選んでオン | 製品Sensor |
| 監査レポートと通知(Sensor) | 動作報告 記録 | 既定選んでオン | 製品Sensor |
| LAN の機器台帳と ARP 監視 | 動作検知 記録 | 既定オン | 製品Sensor |
| 不正な DHCP サーバー・IPv6 ルーターの検知 | 動作検知 | 既定オン | 製品Sensor |
| 機器ごとのふだんの挙動の学習 | 動作検知 | 既定オン | 製品Sensor |
| 定期的な自律巡回 | 動作監査 | 既定オン | 製品Mac |
| 緊急通知(Telegram・LINE・Webhook) | 動作報告 | 既定選んでオン | 製品Linux Server |
手動で対処 21
| 機能 | 動作 | 既定 | 製品 |
|---|---|---|---|
| 被害前のファイルの復元 | 動作制御 記録 | 既定オン | 製品Mac Linux |
| API キー・秘密鍵の検出 | 動作監査 | 既定オン | 製品Mac Linux Linux Server |
| 権限昇格の通り道になるカーネルモジュールの点検 | 動作監査 制御 | 既定手動で実行 | 製品Linux Linux Server |
| URL の安全性の診断 | 動作監査 | 既定手動で実行 | 製品Mac Linux |
| Air-Gap(緊急の全遮断) | 動作隔離 | 既定手動で実行 | 製品Mac Linux |
| パッケージの既知の脆弱性の照合 | 動作監査 | 既定手動で実行 | 製品Mac Linux Linux Server |
| 脆弱性の受容 | 動作制御 記録 | 既定手動で実行 | 製品Mac Linux |
| インストール時に動くコードの点検 | 動作監査 | 既定手動で実行 | 製品Mac Linux |
| 依存関係の取得元の検査 | 動作監査 | 既定手動で実行 | 製品Mac |
| 名前の似たパッケージの判定 | 動作監査 | 既定手動で実行 | 製品Mac Linux |
| npm パッケージの署名の検証 | 動作監査 | 既定選んでオン | 製品Mac Linux Server |
| MCP 設定の点検 | 動作監査 | 既定手動で実行 | 製品Mac Linux |
| USB ストレージの制御 | 動作遮断 制御 | 既定選んでオン | 製品Mac Linux |
| BadUSB の防止 | 動作遮断 | 既定選んでオン | 製品Mac Linux |
| 実証型の脆弱性診断 | 動作監査 | 既定選んでオン | 製品Mac Linux |
| 権限昇格の経路の分析 | 動作監査 | 既定手動で実行 | 製品PathScope |
| LAN の外側からの脆弱性監査 | 動作監査 | 既定手動で実行 | 製品Sensor |
| 未導入機器の軽量監査 | 動作監査 | 既定選んでオン | 製品Sensor |
| 元に戻せるアンインストール | 動作制御 | 既定手動で実行 | 製品Mac Linux Linux Server |
| Sensor からの監査を受ける | 動作制御 監査 | 既定選んでオン | 製品Linux Server |
| ペアリングと失効 | 動作制御 | 既定— | 製品Sensor |
検知できる範囲・見えない範囲 52
攻撃の手法(MITRE ATT&CK)ごとに、検知できるか、一部だけか、見ていないかを示します。
| 手法 | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | Linux一部 | Linux Server一部 |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | Mac一部 | Linux— | Linux Server— |
| T1036 Masquerading | Mac見ていない | Linux見ていない | Linux Server見ていない |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | Linux一部 | Linux Server見ていない |
| T1046 Network Service Discovery | Mac一部 | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | Linux一部 | Linux Server一部 |
| T1055 Process Injection | Mac見ていない | Linux一部 | Linux Server一部 |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | Linux一部 | Linux Server一部 |
| T1059.002 Command and Scripting Interpreter: AppleScript | Mac一部 | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | Mac一部 | Linux一部 | Linux Server一部 |
| T1068 Exploitation for Privilege Escalation | Mac— | Linux一部 | Linux Server一部 |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | Mac見ていない | Linux見ていない | Linux Server一部 |
| T1070.003 Indicator Removal: Clear Command History | Mac見ていない | Linux見ていない | Linux Server見ていない |
| T1070.004 Indicator Removal: File Deletion | Mac— | Linux一部 | Linux Server一部 |
| T1071.004 Application Layer Protocol: DNS | Mac— | Linux一部 | Linux Server一部 |
| T1091 Replication Through Removable Media | Mac一部 | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | Mac一部 | Linux一部 | Linux Server一部 |
| T1105 Ingress Tool Transfer | Mac— | Linux一部 | Linux Server一部 |
| T1110.001 Brute Force: Password Guessing | Mac検知 | Linux一部 | Linux Server一部 |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | Mac一部 | Linux— | Linux Server— |
| T1200 Hardware Additions | Mac一部 | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | Mac一部 | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | Mac一部 | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | Mac一部 | Linux一部 | Linux Server一部 |
| T1490 Inhibit System Recovery | Mac一部 | Linux一部 | Linux Server一部 |
| T1505.003 Server Software Component: Web Shell | Mac一部 | Linux一部 | Linux Server一部 |
| T1543.001 Create or Modify System Process: Launch Agent | Mac検知 | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | Linux一部 | Linux Server一部 |
| T1543.004 Create or Modify System Process: Launch Daemon | Mac検知 | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | Mac一部 | Linux一部 | Linux Server一部 |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | Linux一部 | Linux Server見ていない |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | Linux一部 | Linux Server見ていない |
| T1547.015 Boot or Logon Autostart Execution: Login Items | Mac見ていない | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | Linux見ていない | Linux Server一部 |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | Mac一部 | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | Mac一部 | Linux一部 | Linux Server一部 |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | Linux見ていない | Linux Server一部 |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | Mac一部 | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | Mac一部 | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | Mac一部 | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | Mac見ていない | Linux一部 | Linux Server見ていない |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | Mac一部 | Linux一部 | Linux Server見ていない |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | Mac一部 | Linux一部 | Linux Server見ていない |
| T1562.001 Impair Defenses: Disable or Modify Tools | Mac一部 | Linux一部 | Linux Server一部 |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | Mac見ていない | Linux一部 | Linux Server見ていない |
| T1562.006 Impair Defenses: Indicator Blocking | Mac見ていない | Linux見ていない | Linux Server一部 |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | Linux見ていない | Linux Server見ていない |
| T1566.002 Phishing: Spearphishing Link | Mac一部 | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | Mac見ていない | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | Mac一部 | Linux一部 | Linux Server一部 |
| T1610 Deploy Container | Mac一部 | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | Linux一部 | Linux Server一部 |
「見ていない」は、その手法を検知する仕組みがないことを示します。