引き継いだIT環境の問題を、初日に洗い出す。

現状診断

新しいお客様、あるいは前任者から引き継いだIT環境の、初日のレポートです。各分析の結果を突き合わせ、お客様が口にしなかった隠れた問題を洗い出します。リスクが重なっている端末、多くの端末で失敗している分析、外部に露出していて状態も悪い端末などです。毎週の差分と、管理策への対応状況も表示します。スコアは決まった計算式で求めており、この処理にLLMは使っていません。

未知の実行ファイルの検出

Windowsではすべてのインストール先とユーザープロファイルから、LinuxとmacOSでは標準のバイナリパスから実行ファイルを集めてハッシュを取り、米国NISTのNational Software Reference Libraryと照合します。既知のどれにも一致しない独自開発のもの、社内製のもの、新しいものを、毎週のスキャン結果の先頭に表示します。ユーザーが書き込める場所にあるものが最優先です。エージェントのスキャンは負荷を抑えて実行します。読み取り専用の情報提供であり、判定を下すものではありません。

議論して、許容する

検出結果には反論できます。自社の管理ツールや開発用PCの開いたポートなど、問題のないものは2クリックで許容できます。スキャナーの検出を1件ずつでも、分析全体でも、チャットでAIに伝えるだけでも構いません。スコアは残りの検出結果から再計算され、許容した内容はすべて監査ログに残ります。分析全体の許容は1クリックで元に戻せ、新しい検出結果は引き続き通知されます。

根本原因の調査

検出結果は何が問題かを示し、調査はその理由を突き止めます。ツールを使うAIエージェントが、イベントの時系列、平常時の状態、ライブosqueryをたどり、考えられる原因、根拠、次の対処を報告します。1クリックで始められ、新しい重大な検出結果には、顧客ごとの1日の上限まで自動で実行することもできます。

問題を伝えれば、答えが返ってくる。

問題は検出結果ではなく、電話でやって来ることもあります。「ベンダーが再インストールしてから、業務ソフトが10回も落ちている」といった具合です。端末のAIチャットから自分の言葉でケースを開き、いつから起きているかを添え、ログやエラー画面のスクリーンショットを付ければ、当社で最も高性能なモデルがバックグラウンドで調査します。その間、ほかの仕事を進められます。クラッシュレポート、信頼性の記録、イベントログ、サービス、SQL Server自身のエラーログを読んで突き合わせ、原因と次の対処をチャットに返します。常に読み取り専用で、すべてを見ることはできても、何も変更しません。開始前に上限額が表示され、実際に使った分だけを支払います。Zammadをお使いなら、お客様向けのチケットを起票し、調査結果はチーム向けの内部メモとして残せます。

社内やお客様との共有用に、1ページの資料にまとめました：PDFをダウンロード

すべてのOSの更新プログラム適用状況

Windows、Linux、macOSの未適用の更新とセキュリティ更新、サポートが終了したOS、そして更新の仕組みそのものが動いているかを確認します。更新できない端末は、注記ではなく検出結果として扱います。読み取り専用の情報で、更新の適用はこれまでどおりお使いのRMMなどのツールが行います。

リモート操作（Windows・Linux）

ブラウザからデスクトップ全体を操作できます。VPNも、お客様側のファイアウォールでの受信許可も、別の製品も要りません。Linuxのデスクトップはコンポジター自体から画面を取り込むため、誰も座っていない端末で確認ダイアログを押す必要がありません。画面に変化があったときだけ取り込むので端末への負荷は軽く、モニターの切り替えは1クリック。ロックされたWindowsはサインイン画面を表示し、Ctrl+Alt+Delも送れます。すべてのセッションは監査ログに記録され、利用者が閉じられない最前面のバナーが表示されます。

ライブターミナル（全OS対応）

ブラウザ上でPowerShellまたはbashのセッションを開き、エージェントが動いているオンラインの端末でSYSTEMまたはrootとして実行します。使えるのはオペレーターのみです。認証情報は1つのセッションに限定され、30分で自動的に失効し、セッションを開くたびに監査ログに記録されます。検出結果を調べたら、その場で直せます。

端末に調子を聞く

答えは長い文章ではなく、グラフで返ってきます。CPUのこれまでの様子を尋ねれば、保存されたサンプルをグラフで表示します。今何が起きているかを尋ねれば、エージェントが10秒間端末を観察し、CPU、メモリ、ネットワーク、ディスク（スループット、IOPS、キューの深さ）をグラフにして、原因のプロセスを特定します。回線の実際の速度を尋ねれば、端末自身からダウンロード、アップロード、遅延を測定します。どれも読み取るだけで、書き込みは一切しません。

AIチャットとリアルタイム監視

端末、グループ、顧客のどの階層についても質問でき、その階層の分析履歴すべてをもとに、AIが回答を順次表示します。端末のチャットでは、検出結果を許容済みのリスクとして受け入れる提案もします。どれを受け入れるかは担当者が選び、健全性スコアは残りの検出結果から再計算されます。ライブモニターを開くと、CPU、メモリ、ディスク、ネットワークのデータがエージェントから約2秒ごとに届きます。それ以外の時間は、より軽い基本データを定期通信に載せて送ります。

イベント予測

Windowsのどのイベントが今後24時間と7日間に発生するかを予測します。30日分の記録だけを使った統計分析で、AIの費用はかかりません。定期的なものから散発的なものまで、確度も示します。

ハニーアカウント（おとりのアカウント）

推測ではない、唯一の検出結果です。使われないことだけが目的のアカウント（無効にしたもの、または長いランダムなパスワードを設定したもの）を作り、その名前をWegweiserに登録します。正規の用途でこのアカウントが認証されることはないため、その名前を含むログオンイベントは確率のスコアではなく、持っているはずのない認証情報を誰かが使っているという事実です。照合は、エージェントがすでに読んでいるWindowsのセキュリティログに対して端末上で行うため、ディレクトリの情報が端末の外に出ることはありません。Wegweiserにはディレクトリへの書き込み経路がなく、アカウントを作ることもありません。Windowsのイベントログの収集は24時間に1回なので、検知までは数分ではなく最大1日かかります。実際より速いと思わせるより、そう書いておきます。

コミュニティのルールは、まず詳細スキャンで

検出ルールは当社のものだけではありません。45以上の審査済み公開ルールリポジトリをまとめたYARA-Forgeを毎週取得し、当社の検出ルールと並べて登録しています。コミュニティのルールは意図的に、毎日のスキャンより先に詳細スキャンで使います。まだ誰も挙動を確かめていない検出ルールは管理しているすべての端末で反応しかねず、検証していないルールは見つけるもの以上の手間を生むからです。毎日のスキャンに入るのは、実績を積んでからです。

Retrohunt

過去にさかのぼる検出です。新たにマルウェアとして公開されたサンプルのハッシュを、すでに収集済みの全端末の実行ファイル一覧と照合します。持ち込まれた日には未知だったファイルも、正体が判明した日に見つかります。ヒットはほかの検出と同じく脅威ハンティングの画面に表示されます。

ソフトウェアを名指しする見出しが顧客のIT環境を検索

見出しや新たな脆弱性がソフトウェアを名指しすると、セキュリティブリーフィングはそれを調査対象に変えます。各顧客の端末を、そのソフトウェアがインストールされている名前で検索し、バージョンを修正済みバージョンと照合し、6時間ごとにライブosqueryで端末自身に問い合わせます。「Threat response」カードは、何がどこで動作し、どのバージョンが修正済みを下回り、ライブ確認で何が聞けたかを示します。示すのはインストールの有無であり、脆弱であるとは言いません。アラートも出しません。

人にしか分からない事実

正しいデータだけを読んだ分析が、開発用のデスクトップを本番の写真サーバーだと判断したことがあります。足りなかったのは、追加のデータではありませんでした。端末、グループ、顧客、テナントのいずれかにメモを1つ残してください。何のためのものか、誰が管理しているか、何が意図的なのか。それを対象とするすべてのチェックが、同じ事実を読みます。記入者と日付が記録され、除外設定と同じように下の階層へ引き継がれます。

自分の計測値を自分で点検

誤って反応する検出結果には、いずれ誰かが気づきます。気づかれないのは、計測をやめたまま、もっともらしいスコアを書き続けるチェックのほうで、こちらのほうが危険です。Wegweiserは自らの数値を点検します。何もないサンプルから計算されたスコア、ほかの端末が使わない形式で保存されたデータ、下にあるデータが変わっているのに何回実行しても動かないスコア。当社自身の環境を初めて点検したときには、堅牢化スコアが58〜66なのに、レポート自体には実施したテストが0件と書かれた端末が8台見つかりました。こうした問題で端末の健全性が下がることはありません。壊れた計測器は病気の患者ではなく、両者を混同すれば数値全体が意味を失うからです。

理由を聞いて、一度で却下

ルールが反応した理由をAIに尋ねると、一致したファイル、ルールの出自、平易な英語での説明が返ってきます。誤検知なら一度ミュートするだけで、表示している期間に一致したすべての端末に適用されます。十分な数の端末でルールが却下されると、そのルールはパックから完全に外されます。

お客様のサービスの死活監視

Web、メール、VPNなど、お客様が実際に気づくサービスを、顧客ごとの監視とキーワードチェックで見守ります。障害は担当者に通知する前に別系統から再確認し、ほかの通知と同じSlack、Teams、Webhookに送ります。復旧したときも通知します。

招待は1人ずつではなく、名簿で

従業員100人のお客様を登録するには、招待画面を100回開く必要がありました。今は名簿をアップロードし、実行前に何が起きるかを確認してから確定するだけで、1人ずつ役割を付けた招待が送られます。役割は意図的に2つだけです。プラットフォーム全体の権限はデータベースで付与し、表計算ファイルからは決して付与しません。

パスキーでログイン

フィッシングに強いWebAuthnのパスキー（Touch ID、Windows Hello、ハードウェアキー）でログインできます。TOTPによる二要素認証と、使い捨てのバックアップコードにも対応しています。

レポートセンター

端末、顧客、テナント単位のPDFを必要なときに作成でき、顧客やテナントのレポートは毎週または毎月メールで自動送信できます。さらに、お客様向けの分かりやすい四半期レポート、顧客ごとの端末一覧CSV、作成したすべてのPDFを検索できるアーカイブも備えています。

管理しているすべてを1ページで

顧客の画面と同じ章立てで、IT環境全体を表示します。すべての階層の健全性と90日間の推移、状態の悪い順に並んだすべての顧客、そして顧客をまたいで繰り返す問題の週ごとのまとめ。どれも各端末の分析から積み上げたものです。同じバーから、テナント全体についてアシスタントに質問できます。

Slack・Teams・Webhookへのアラート

重大な検出結果を、Teams、Slack、メール、またはチケット管理ツールが取り込めるWebhookで、いつもの業務の流れに届けます。汎用Webhookの送信にはHMACの署名を付けられ、どのチャネルも1クリックでテストできます。

ヘルプデスクとRMMとの連携

Zammadの組織一覧をそのままWegweiserに読み込むため、150件の顧客名を誰かが入力し直す必要はありません。そのうえで、検出結果をチケットとして登録します。使われたハニーアカウント、故障を自ら報告しているドライブ、分析でも本物と判断されたマルウェアの検出、健全性の基準を下回った端末などです。チケットはイベントごとではなく、端末と状態の組み合わせごとに1件で、新しく伝えることがあるときだけ追記します。担当者がチケットをクローズしたら、Wegweiserが再び触れることはありません。どの顧客でも初期設定はオフで、実際には登録せずに内容を確認できるテスト実行も用意しています。ケースから専用のチケットを起票することもでき、お客様には調査中であることだけが平易に伝わり、調査結果はチーム向けの内部メモとして届きます。Kaseya VSA 10では、健全性スコア、状態、Wegweiserへのリンクが、対応付けた各端末に書き込まれます。

エージェントは自動で最新に

4つのバージョンのエージェントが混在する環境では、修正が一部の端末にしか届きません。新しいリリースはまず当社自身の端末に届き、そこで問題なく動いたものだけが翌日に各テナントへ届きます。数時間かけて少しずつ配布するので、不具合のあるビルドは全台に届く前に止められます。各インストールは署名され、検証され、実際の通信で動作を確認できて初めて完了となり、確認できなかった端末は自ら前のバージョンに戻ります。バージョンの固定や一時停止もでき、特定の端末だけ更新を受け付けないようにすることもできます。

お客様向けの共有リンク

ログイン不要、チャットなし、内部IDも表示しない読み取り専用の健全性ビューを、トークン付きのリンクでお客様に渡せます。いつでも無効にできます。

7つのフレームワークから、使うものを選ぶ

検出結果には、それが実際に裏付ける管理策を表示します。対応しているのは、CIS Controls v8.1、ISO/IEC 27001:2022（JIS Q 27001:2023）附属書A、NIST SP 800-53 Rev. 5、英国NCSCのCyber Essentials、そしてドイツのお客様向けのBSI IT-Grundschutz、ドイツ法上のNIS2（BSIG第30条第2項）、DIN SPEC 27076です。表示するものはテナントごとに選べます。手作業で保守し、あえて控えめにした対応表で、AIの推測ではありません。どのチェックも、対応する管理策があるか、何も裏付けないと明記されているかのどちらかでなければ、テストが失敗してビルドが止まります。監査に向けた目安であって、認証ではありません。日本のSCS評価制度とIPAの中小企業の情報セキュリティ対策ガイドラインには、現時点では対応していません。