#RoamSwitch が守るもの
RoamSwitch は、Mac と Linux のマシンを攻撃から守る製品です。守る対象は、ランサムウェア、認証情報の盗難、不審なプログラムの実行、ネットワークからの攻撃、サプライチェーン、AI エージェントなどに分けて、章ごとに整理しています。全体の一覧は 機能一覧 で見られます。
この教材では、それぞれの機能を題材に、次の順で学びます。
- 攻撃がどう成り立つかを知る
- 無害なデータで、同じ状況を作る
- RoamSwitch が何を見つけるかを、実際の出力で確かめる
- 何が見えないかを知る
どのモジュールも、4 の「見えない部分」まで読んでください。何を見ていないかが分かって、はじめて守りを組み立てられます。
#7つの動作と、版ごとの役割
機能は、動作で分けると 7 種類です。1 つの機能が、複数の動作を持つこともあります。
| 動作 | 意味 |
|---|---|
| 検知 | 異常を見つけて知らせる |
| 遮断 | 通信や実行を止める |
| 隔離 | 疑わしいファイルやマシンを、ほかから切り離す |
| 監査 | 設定や状態を点検して、弱いところを示す |
| 記録 | 後から調べられるように、事実を残す |
| 報告 | 結果をまとめて伝える |
| 制御 | 設定やサービスを、決めたとおりに保つ |
守る対象に合わせて、版が分かれています。
| 版 | 守る対象 |
|---|---|
| Mac | Mac の端末 |
| Linux Client | Linux のデスクトップ |
| Linux Server | 動かし続けるサーバー(動作中のプログラムの監視、ファイルの改ざん検知、SSH の保護など) |
| Sensor | LAN の状態を、ネットワークの側から調べる |
一緒に入るアプリもあります。AccessScope はアクセスログの診断に、PathScope は権限昇格の経路の分析に使います。
同じ「検知」でも、知らせるだけの機能と、自動で対処する機能があります。どちらなのかは、機能一覧の「検知したときの動き」で確かめられます。自動で止める機能は、誤検知のときの影響が大きいので、初めからオンのものと、自分で選んでオンにするものに分かれています。
#外へデータを送らない設計
RoamSwitch は、利用者のデータを外へ送りません。通信があるのは、脅威データを受け取るときだけです。
- 署名つきの更新データ(脆弱性の対応表、脅威の一覧、検知ルール)を、定期的に(多くは 1 日 1 回)受け取るだけです。送るのは受け取るための要求だけで、利用者を区別する識別子は付けません
- 受け取ったデータは、署名と内容の検査を通ったものだけを使います
- 更新を受け取る部品以外は、通信する部品そのものを持たない設計で、開発時の自動検査(CI)で確かめています
読み取りだけの点検コマンドの多くは、実行しても通信しません。そのコマンドの説明(roamswitch help)には「通信なし」と書いてあります。
#自分の環境で動かせるかを確かめる
RoamSwitch には、RoamSwitch 自身の点検(doctor) という点検コマンドがあります。何も変更せずに、このマシンで RoamSwitch が動く条件がそろっているかを調べます。管理者権限で実行すると、すべてを確認できます。
sudo roamswitch doctor次は、管理者権限なしで実行した例の抜粋です(Server Edition、Ubuntu 26.04)。
[注意] root ではないため、root だけが読める状態は確認できません。sudo roamswitch doctor で実行すると、すべて確認できます
[正常] nft: /usr/sbin/nft
[正常] systemctl: /usr/bin/systemctl
[注意] clamscan が見つかりません。一部の機能が使えません
[正常] RoamSwitch のデーモンが動いています
[注意] ufw も動いていて、ファイアウォールの規則を書き換えます。RoamSwitch の規則と重なることがあります
[正常] 署名つきデータの更新は動いています。最後の成功: 2026-11-02 11:35 UTC
失敗はありません(注意 5 件)出力は、次のように読みます。
- 正常: 条件がそろっています
- 注意: 動きますが、知っておきたいことがあります。上の例では、別のファイアウォール(ufw)も動いていて、規則が重なる可能性を示しています
- 失敗: 動かせない理由があります。終了コードが 1 になるので、スクリプトからも判定できます
#「見えない部分」を読む
RoamSwitch は、攻撃の手法(MITRE ATT&CK)ごとに、自分が何を見ていて、何を見ていないかを書き出せます。
roamswitch detection-coverage --server | head -12🧭 検知の範囲の自己点検 (MITRE ATT&CK) (Server Edition)
38件中: 検知 0 / 一部 25 / 見ていない 13。対応するガードが止まっている項目: 0
🟡 T1685 Disable or Modify Tools [一部] 稼働中
担当: ebpfHeartbeat, criticalPathFim
見えない部分: 確認するのは Falco の警報の経路だけで、Falco のユニットが動いているときに限ります。(以下略)
⬜ T1686 Disable or Modify System Firewall [見ていない] -
見えない部分: フラッシュされても、デーモンは自分のテーブルを30秒ほどで作り直しますが、それは自分のルールの自己修復です。ホストのファイアウォールの変更は見ておらず、知らせもしません。数字は版によって変わります。見てほしいのは、「検知 0」の部分です。この出力は、どの手法についても「完全に検知できる」とは書いていません。 見えない部分を、製品自身が言葉にして示します。
このモジュールでは、次のことは確かめていません。
- 管理者権限を持つ攻撃者が RoamSwitch 自身を止めたり、設定を書き換えたりしたときに、そのすべてを見つけられるか。上の出力にあるとおり、デーモンを止められると、自分では知らせられない部分があります
- 点検コマンドで「失敗はありません」と出ても、攻撃を受けていない証明にはなりません。意味は、動かせる条件がそろっている、ということだけです
detection-coverage で「見ていない」と表示された手法は、何を意味しますか
解説を見る
「見ていない」は、その手法が製品の検知の範囲の外にある、という意味です。攻撃があるかどうかとは関係がありません。ガードが止まっている場合は、別の欄(「対応するガードが止まっている項目」)に数えます。
#次に学ぶこと
- 守る対象ごとの学習は、認証情報の盗難と、秘密情報の漏えい や サプライチェーン攻撃 から始められます
- サーバーを運用している人は、まず 悪用が確認された脆弱性に、修正版がない を読んでください。危機対応の手順書として、最初の1本です
2026-11-03に確認しました。対象は Linux 1.17.30 です。Ubuntu 26.04 の Server Edition で、記載のコマンドを実行
コマンドの出力は、製品の版や環境によって変わります。違いが出たら、まず製品の版を確かめてください。