ブラウザセキュリティとエンドポイントセキュリティ：現代のアーキテクチャにおけるそれぞれの位置づけ

ブラウザのセキュリティとエンドポイントのセキュリティは、競合する層ではなく、攻撃チェーンの異なる段階で異なる脅威を捕捉する、互いに補完し合う制御手段です。侵害された業界ニュースサイトを通じて配信されるゼロデイ攻撃は、シグネチャベースのエンドポイントアンチウイルスを完全に回避しますが、 remote browser isolation （RBI）は、悪意のあるコードがオペレーティングシステムに到達するのを未然に防ぎます。逆に、従業員が個人のUSBドライブを介してトロイの木馬化されたインストーラーをダウンロードした場合、エンドポイント検出・対応（EDR）は、ペイロードがシステムに侵入した後にそれを検知する層となります。これらの層のうち一方のみを想定して設計を行うセキュリティアーキテクトは、攻撃者が常套手段として悪用する予測可能な脆弱性を残してしまうことになります。

ブラウザのセキュリティが実際にカバーする範囲

ブラウザのセキュリティには、Webブラウザセッションの内部、周辺、または上流で機能する制御機能が含まれます。具体的には、remote browser isolation、セキュアWebゲートウェイ、インラインDLP、CASBプロキシによる強制適用、URLフィルタリング、およびブラウザセッション内でのコピー・貼り付け、アップロード、ダウンロード、印刷に対するポリシーに基づく制限などです。

ここでの脅威モデルは、ブラウザのセッションそのものです。次のようなシナリオを考えてみましょう。ある製造企業の調達担当マネージャーが、JavaScriptインジェクションによって侵害された部品サプライヤーのポータルサイトにアクセスします。これは典型的な「ウォーターホール攻撃」です。 攻撃者が利用するウェブサイトは、特定の業界など、特定のコミュニティが頻繁にアクセスするサイトであることが多く、共通の関心事を利用してユーザーを侵害することを目的としています。これは、MITRE ATT&CK において T1189 の「戦略的 Web 侵害」に分類されるパターンです。注入されたスクリプトは、ブラウザに対して悪用可能なバージョンを密かに探り、見つかった場合はコード実行を行います。

RBIが導入されているため、この一連の処理はすべてクラウド上の隔離されたコンテナ内で実行されます。悪意のあるJavaScriptは実行されますが、ユーザーの実際のマシン上で実行されることは決してなく、使い捨てのセッション内で無害な状態で実行されます。エンドポイントはペイロードを一切確認することはありません。

ブラウザのセキュリティ対策は、セッション中のデータ流出防止にも対応しています。例えば、管理対象外の個人用ノートPCのブラウザでSalesforceのダッシュボードを開き、法人顧客のリストを選択して、別のタブにあるAIチャットボットにそのデータを貼り付けようとする契約社員を想像してみてください。ブラウザ層のDLPは、そのクリップボードの操作をリアルタイムで監視し、データが社内アプリケーションから流出する前に貼り付けをブロックします。

この種のブラウザベースの初期アクセスは、41の既知の脅威グループおよびマルウェアファミリーが実環境においてドライブバイ攻撃（T1189）を利用していることが確認されており、MITRE ATT&CKでマッピングされている初期アクセス手法の中でも最も広く普及しているものの1つとなっているため、特に懸念される。

エンドポイントセキュリティが実際にカバーする範囲

エンドポイントセキュリティには、EDR、次世代アンチウイルス（NGAV）、ホストベースのファイアウォール、デバイスの状態評価、ディスク暗号化、アプリケーション制御、およびOSレベルの脅威検知が含まれます。これらの制御機能は、コンテンツがすでにデバイスに到達した後に動作し、エンドポイントから発生するプロセス、ファイル、レジストリの変更、メモリ操作、およびネットワーク接続を検査します。

MITRE ATT&CKフレームワークは、実行後のエンドポイント攻撃手法の広範なセットを網羅しています。プロセスインジェクション（T1055）は、防御回避や永続化といった主要な戦術と並んで、マルウェア分析において依然として最も頻繁に確認される手法の一つです。また、防御機能の無効化（T1562）——アンチウイルスソフトの無効化、ログの削除、EDRエージェントの強制終了などに使用される——は、ここ数年、一貫して最も頻繁に確認される手法の上位にランクインしています。

ここで、エンドポイントセキュリティの真価が発揮されます。ある銀行の金融アナリストが、同僚のファイル共有リンクから、一見Excelのテンプレートに見えるファイルをダウンロードしました。しかし、このファイルには実際にはマクロが含まれており、ユーザーのtempディレクトリにDLLを配置し、プロセスインジェクションを試みます。 このダウンロードは、承認済みのクラウドストレージドメインから行われたものであったため、ブラウザがこれをブロックする理由はありませんでした。しかし、EDRはExcelから生成された不審な子プロセスを検出し、署名のないDLLにフラグを立て、ペイロードが永続化を確立する前に隔離しました。

エンドポイントセキュリティは、侵害後の認証情報の窃取も検知します。MITRE ATT&CKの「Webブラウザからの認証情報（T1555.003）」によると、攻撃者はブラウザ固有のファイルを読み取ることで、Webブラウザから認証情報を取得します。Webブラウザは通常、ユーザー名やパスワードなどの認証情報を保存しており、手動で入力する必要がありません。 マルウェアがエンドポイントへのアクセス権を獲得すると、ブラウザの認証情報保存場所を直接標的にします。EDRは、午前2時にブラウザ以外のプロセスがChromeの「Login Data」SQLiteデータベースを読み取っていることを検知し、アラートを発する層です。

主な違い：ブラウザセキュリティとエンドポイントセキュリティ

この区別は、どちらが「優れている」かという点ではなく、各レイヤーがキルチェーンのどの段階で脅威を遮断するか、どのようなテレメトリを生成するか、そしてどのMITRE ATT&CKテクニックの緩和に役立っているかという点に関するものです。

エンドポイントセキュリティが見逃した脅威を、ブラウザセキュリティが捕捉するとき

最も顕著な例は、正規のウェブサイトを通じて配信されるゼロデイ攻撃です。Googleの脅威インテリジェンスグループ（GTIG）は、2024年に実環境で悪用された75件のゼロデイ脆弱性を追跡しましたが、ブラウザを標的とした悪用件数は2023年の17件から2024年には11件へと減少しました（GTIG、2025年4月）。 ブラウザを標的としたゼロデイ攻撃の減少は、リスクが消滅したことを意味するのではなく、攻撃者がより選択的になり、ブラウザの脆弱性を高価値な標的にのみ利用していることを示している。

ある法律事務所の弁護士たちが、特定の業界の規制に関するウェブサイトを日常的に閲覧していると想像してみてください。攻撃者がそのサイトを乗っ取り、Chromiumレンダリングエンジンの脆弱性を狙ったゼロデイエクスプロイトを仕込みました。この脆弱性に対しては、まだパッチが提供されていません。同事務所のエンドポイント向けアンチウイルス（AV）には、このエクスプロイトに対応するシグネチャがありません。EDRの行動分析エンジンは、最終的にエクスプロイト後の活動を検知するかもしれませんが、それはエクスプロイトによってすでにコードの実行が成功し、足場を築き始めた後になってからのことです。

ブラウザの分離機能により、エクスプロイトは一時的なコンテナ内で実行され、エンドポイントは悪意のあるコードを受け取ることはありません。ページはピクセルストリームとしてレンダリングされます。弁護士がタブを閉じると、コンテナは、エクスプロイトが実行しようとしたあらゆる処理とともに破棄されます。シグネチャも不要で、行動ヒューリスティックも呼び出されませんでした。この攻撃は、アーキテクチャレベルで無力化されたのです。

ブラウザのセキュリティ機能は、エンドポイントエージェントでは検知できないデータ漏洩のシナリオも捕捉します。例えば、マーケティングチームのメンバーが、社内分析アプリから顧客セグメンテーションのスプレッドシートをコピーし、ブラウザのタブで実行されている未承認のAIツールに貼り付けるケースが考えられます。エンドポイントDLPでは、ブラウザのタブ間で行われるクリップボードの操作を把握することはできません。一方、DLPsecure web gateway 、セッション中のコンテンツを検査し、データ分類に基づいて貼り付けをブロックします。

エンドポイントセキュリティが、ブラウザのセキュリティで見逃した脅威を検知するとき

ブラウザのセキュリティ制御は、Webトラフィックの経路に限定されています。ファイルがディスクに書き込まれたり、USBメモリが接続されたり、ブラウザ以外のアプリケーションがネットワーク接続を行ったりした場合は、その制御の範囲外となります。

あるソフトウェアエンジニアが、コミュニティのリポジトリから開発者向けツールをダウンロードしたとします。 このリポジトリは正規のもので広く利用されているため、ダウンロードはSWGのURLフィルタリングを通過します。インストールが完了すると、このツールはT1055プロセスインジェクションを使用して、信頼されたシステムプロセスに自身を埋め込む悪意のあるDLLをサイドロードします。その後、T1555.003を実行して、エンジニアのブラウザプロファイルに保存されている認証情報を盗み出し、正規のHTTPSトラフィックを模倣した暗号化されたC2チャネルを介して外部へ流出させます。

ダウンロード後のすべての処理は、ブラウザのセキュリティ機能からは検知されません。EDRは、署名のないDLLの読み込み、システムプロセスへの異常なメモリ書き込み、および通常はネットワーク活動がないプロセスからの異常な外部接続を検知する制御機能です。

マンディアントの「M Trends 2025」レポートによると、2024年の侵入事例のうち、エクスプロイトが33％を占め、最も一般的な初期感染経路となった。一方、盗まれた認証情報は16％に増加し、2番目に多い感染経路となった。これらの盗まれた認証情報は、エンドポイント上で動作するインフォスティーラー型マルウェアに由来することが多い。このマルウェアは、ブラウザの認証情報データベース、セッションクッキー、自動入力データを収集するものである。 認証情報の窃取はブラウザのセッション内ではなく、OS／ファイルシステムレベルで発生するため、エンドポイントセキュリティは情報窃取型マルウェアに対する第一の防衛線となります。

エンドポイント制御は、デバイスのセキュリティ状態の維持も徹底します。ノートパソコンが企業のリソースに接続することを許可される前に、EDRエージェントは、OSにパッチが適用されていること、ファイアウォールが有効になっていること、および既知の脆弱性を持つソフトウェアが実行されていないことを確認します。ブラウザのセキュリティ機能では、基盤となるオペレーティングシステムがルートキットによって侵害されているかどうかを把握することはできません。

なぜ多くの企業がその両方を必要とするのか――そしてそれらをNIST CSF 2.0にどのように対応させるか

NIST CSF 2.0 は、「ガバナンス」、「識別」、「保護」、「検知」、「対応」、「復旧」という 6 つの機能で構成されており、これらを総合することで、サイバーセキュリティリスクを管理するための包括的な視点を提供しています。「保護」機能だけでも、ID 管理、認証、アクセス制御、データセキュリティ、プラットフォームセキュリティ、技術インフラの回復力など、22 のサブカテゴリが含まれています。

22のサブカテゴリすべてを網羅する単一の製品カテゴリは存在しません。ブラウザセキュリティは、転送中のデータセキュリティに関する保護成果（PR.DS）、SaaSおよびWebアプリケーションのアクセス管理（PR.AA）、ブラウザベースの作業におけるプラットフォームセキュリティ（PR.PS）に対応しています。エンドポイントセキュリティは、オペレーティングシステムのプラットフォームセキュリティ、ホストベースの検知のための保護技術、およびローカル認証情報ストアのID管理を網羅しています。

実際には、製薬会社がNIST CSF 2.0に基づいてCISOのコントロールマッピングを行う場合、ブラウザの隔離とSWGは「Webコンテンツフィルタリング」および「転送中のデータの保護」を扱うサブカテゴリに割り当てられ、EDRは「エンドポイントの脅威検知」および「マルウェア防止」を扱うサブカテゴリに割り当てられることになる。「保護（Protect）」機能とは、重要な資産を保護し、リスクを最小限に抑え、潜在的なサイバーセキュリティインシデントに備えるための対策を講じることであり、体系的な死角を回避するためには、これら両方のレイヤーが必要となる。

「IBM Cost of a Data Breach Report 2024」によると、2024年のデータ侵害による世界平均コストは488万ドルに達した。また、同レポートによれば、認証情報の盗難や漏洩を伴う侵害は、発見から封じ込めまで292日と、最も長い時間を要した。 ブラウザセッション向けDLP（フィッシングページへの認証情報の貼り付けを防止）とエンドポイント向けEDR（ブラウザの認証情報データベースへの情報窃取型マルウェアのアクセスを検知）を組み合わせた多層アーキテクチャは、この主要な攻撃ベクトルに対して2つの側面から直接対処する。

意思決定フレームワーク：各レイヤー間の投資配分

すべての組織が、両方のレイヤーにおいて同程度の詳細度を必要とするわけではありません。ここでは、セキュリティアーキテクト向けの実用的なフレームワークを紹介します：

次のような場合には、ブラウザのセキュリティへの投資を優先してください：

労働力の相当な割合が、リモート勤務者、契約社員、あるいは管理対象外のデバイスを使用している——つまり、エンドポイントエージェントをインストールできない状況にあります。RBIとリバースプロキシは、デバイスを制御することなくセキュリティを確保します。

SaaSアプリケーションは主要な作業環境であり、データ流出の主なリスクは、ブラウザベースのアプリからのコピー＆ペースト、ダウンロード、またはスクリーンショットの取得です。

組織は、機密性の高いアプリケーションへの第三者のアクセスを許可しなければならない。外部の請求業務パートナーがブラウザセッションを通じて患者記録にアクセスすることを許可している医療システムでは、RBI を利用して、データがパートナーのエンドポイントに一切触れないようにしている。

この脅威モデルでは、Webを介したゼロデイ攻撃やフィッシング攻撃を優先的に扱っています。ガートナーは、2028年までに、4つの組織のうち1つが、リモートアクセスやエンドポイント防御における特定の脆弱性に対処するため、少なくとも1つのセキュアなエンタープライズブラウザ技術を導入すると予測しています（ガートナー、2025年4月）。

次のような場合には、エンドポイントセキュリティへの投資を優先してください：

従業員は主に、管理対象の企業所有端末を使用しており、管理者はこれらを完全に把握しています。

脅威モデリングの結果、ブラウザ以外のマルウェア配布経路（USB、メールクライアントの添付ファイル、サプライチェーンのソフトウェアインストーラーなど）から高いリスクが明らかになった。

コンプライアンス要件では、デバイス上の暗号化、ホストファイアウォールの適用、およびデバイスのセキュリティ状態評価が求められています（PCI DSS や HIPAA の環境では一般的です）。

SOCでは、インシデント調査や脅威ハンティングを行うために、プロセスツリー、メモリアーティファクト、レジストリの変更履歴といった詳細なフォレンジックテレメトリ情報が必要です。

次のような場合には、統合に投資しましょう：

両方のレイヤーは存在しますが、互いに連携せずに個別に動作しています。SWG、RBI、CASB、DLPをエンドポイントのテレメトリと統合するSSEプラットフォームは、単一のポリシーエンジンを構築します。SWGが、ユーザーが新規登録されたドメインにアクセスしていることを検知すると、そのセッションに対してRBIを同時に起動すると同時に、エンドポイントエージェントに対し、そのユーザーのデバイスに対する行動監視を強化するよう指示することができます。

2024年には、ゼロデイ攻撃の44％が企業向け製品を標的としていました（GTIG、2025年4月）。また、攻撃者は、ブラウザを介した初期アクセスとエンドポイントレベルでの攻撃後の活動を組み合わせるケースが増えています。こうした連鎖攻撃を検知するには、両方のレイヤーからのテレメトリデータを1つのコンソール上で相関分析する必要があります。

ブラウザ層とエンドポイント層のテレメトリがどのように連携するか

最も危険な攻撃は、この2つのレイヤーにまたがって行われます。MITRE ATT&CKの「Drive by Compromise」に関する検知ガイダンスは、この統合の必要性を示しています。そこでは、ブラウザやネットワークの異常な動作（不審な外部リソースの取得やスクリプト注入のパターン）に関する相関した証拠に加え、それに続いて、非典型的な子プロセス、メモリの改変やプロセスへの注入、エンドポイント上での予期せぬファイルのドロップなどが確認されることが求められています。

ブラウザのテレメトリとエンドポイントのテレメトリが、相関関係のない別々のダッシュボードに表示されている場合、この検知チェーンは機能しません。次世代secure web gateway 最初のシグナルをsecure web gateway 。それは、ユーザーのブラウザセッションが、新規登録されたドメインから難読化されたJavaScriptリソースを取得したというものです。エンドポイントエージェントが2つ目のシグナルを生成します。それは、数分後、ブラウザプロセスが予期しない子プロセスを生成し、そのプロセスが一時ディレクトリにファイルを書き込んだというものです。これらのシグナルを相関させることで、ドライブバイ型攻撃が進行中であることが確認されます。 これらのシグナルは、単独ではノイズとして見過ごされてしまう可能性があります。

まさにこの理由から、業界ではWeb、クラウド、エンドポイントのポリシーを統合した統一的なSSEアーキテクチャへの移行が進んでいます。セキュリティアーキテクトが、ブラウザセッション、SaaS API接続、管理対象エンドポイントでのファイル転送のすべてにおいて一貫して適用される単一のDLPポリシーを作成できるようになれば、カバー範囲のギャップは劇的に縮小します。