セキュリティーについてお聞きします！

質問

ここに、
大丈夫－－－－７５％程度の確率で大丈夫とする。

質問（添付画像より）
１
メールのウイルス侵入を考えた場合、甲だけで大丈夫ではないのでしょうか。

２
例えば、USBメモリやCDのような外部記録媒体からのウイルスを考えた場合、乙でウイルス確認を行って存在すれば駆除できるのではないでしょうか。

３
インターネットからの感染防止を考えた場合、新しいＰＣを購入して
winのセキュリティー設定管理で次のように設定すれば大丈夫ですか。

ファイアウオール：有効
自動更新：有効
ウイルス対策：有効

以上３点宜しくご見解をお願い致します。

回答No.4

John_Papa

こんにちは。

50名程の小企業を定年退職して５年経ちますけど、晩年は仕事でOCNのレンタルサーバーを管理していました。

１
メールサーバーに、ウイルスフィルターを設定してあれば、既知のウイルスに対しては有効です。
新種に対してはスパム防止のRBLフィルター
http://e-words.jp/w/RBL.html
が有効と思います。

2009年以降ウイルスの大発生（それまでの全発生件数をたった1年で超える）となり、新種ウイルスの氾濫で、セキュリティソフトのヒット率が著しく低下しました。
AVソフト比較サイトでの97％の検出とか言っても、既知のウイルスに対しての数字でしかありません。仕事上で私が捕らえて50種程のAVソフトでチェックしてくれるVILUSTOTALサイト
https://www.virustotal.com/
でチェックしてみると、発見直後はノーマーク、1週間では検出率が10％程度、１か月後ならかなり多数の対策ソフトで検出される、有名AVソフトでも３か月や半年ほったらかしの場合もある、というような無防備な状態が現状であることが判りました。

そんな事も有って、更に以下の方法を追加しました。
2007年頃Yahooメールが逆引きに対応したのでほぼ支障が無くなり、メールサーバーにてメール経路で逆引きできないサーバー(メールヘッダーにunknownと記載される)経由のメールを振るい落とす設定に踏み切ったので、これが、ゾンビPCからの発信やゾンビサーバー中継に対してAVメーカーの提供するウイルスフィルターより効果を発揮しました。
メールサーバーからの報告では、これらのフィルターで全着信の約8割が拒否されていました。これを導入してから退職までの数年は、社員のＰＣにインストールしたセキュリティソフトがアラートを出すことは一件も発生していません。
最近では一般プロバイダーのメールサーバーでも同程度の割合でフィルターされて宙に葬られている筈です。
OCN任せでは一通りの基本的なフィルターしか設定してないと思いますので、可能ならsendmai.confだったかな？の設定に取り入れられると良いと思います。私もネット上に転がってる設定サンプルを流用しただけですので。
当時は、先方を特定してメール送信してくる標的型攻撃が盛んではありませんでした。標的型に対しては自動的手段がほぼ無効で、受け取る人の心構えとか気付きとが、最大の防御策になるでしょう。

2
これには気になる点があります。
Windows2000では、autorun.infファイルの実行が無条件に優先されています。この為、USBメモリーを挿した途端に感染する事が可能であったために、USB感染ウイルの蔓延を招きました。この無条件実行に対策がされたのはWindows7以降です。
今では減ったとは言えautorun.infによる感染手段は標的型ウイルスにも装備される重要な感染手段の一つです。
対策として、autorun.infというフォルダーをUSBメモリーに作っておくという手法が取られたりしますが、今手にしているUSBメモリーがその対策品か、すり替えられたものかどうかは外観では判りませんね。Windows2000にはそのようなセキュリティホールが有る事を認識しておく必要があります。
USBメモリ使用制限を施す
http://www.easyassetmanager.com/usboff.html
メールができるという事はネットワーク利用はできる筈ですので、Windows7以降のＰＣでUSBのファイルチェックをしてサーバーとかNASの共有フォルダー経由でWindows2000機で利用する等の方法が考えられます。
x86CPUでしか動かないアプリって存在しますものね。昔のゲームが使えるかとWindows10にインストールしてみたら見事に撥ねれられました。企業にとっては古いPCが必要だったりしますね。

3
一通りの対策はその通りです。
インターネット接続は、今時ルーター経由でしょうから社内ならファイヤーウォール的には一定の強度が有るでしょう。
Windous10のＯＳ標準のセキュリティで充分だと思います。Windous10では嬉しいことにタスクマネージャーが強化されて不審なソフトの発見や強制終了がやりやすくなってます。PC起動時の自動起動の付け外し（スタートアップ）設定もタスクマネージャーに引っ越してます。
私個人は、OS標準にアプリの更新チェックとタスクチェック
http://www.forest.impress.co.jp/library/software/secuniapsi/
http://www.forest.impress.co.jp/library/software/systemexpl/
の二つを追加して使用しています。

一般にセキュリティソフトや売らんかなのセキュリティシステムを信用しすぎる傾向が有ると思います。がちがちのセキュリティ対策をしても、経験から高く見積もってせいぜい３割バッター程度（７割はアウト）でしか無いと考えますので。
感染するものと思って、どうやって感染に気付くか、感染した時に取るべき手段は、などに知恵を絞る方が正道だと思います。隠蔽体質になっているのが最も危険と判るでしょう。

また、Windows2000用は見つけられませんでしたが、再起動毎にシステムを元通りにするサンドボックスアプリもあり、同種のアプリが学校やネットカフェなどで使われています。これなら感染しても再起動するだけです。
ちなみにXP以降用は
http://www.forest.impress.co.jp/docs/review/20091208_334128.html

なお、私の退職と同時に、会社はメールサーバー等を換え管理を専門業者に移しました。私が会社にとって一番の脅威の筈ですので、正しい処置です。
私の知識で今の会社のセキュリティは破れませんので、私の手の内を暴露する事もできます。秘守義務が無くなったという事です。おかげで多くを忘れる事ができました。

補足

非常に流暢な言葉の流れで精通されているような気がするのですが、何分、私はそれ程の知識がありませんので
、はっきり申しまして趣旨に対して端的に見解を述べて頂くほうが有り難いです。

よって、１、２は結局どうなのか理解できませ。

３は、まあwinのセキュリティー設定で大丈夫なのかな。win１０ならなお更いいのかな？って感じです。