2つのアンチウイルスのほうが安全という神話――その実コスト

Q: 別のアンチウイルスを入れるとWindows Defenderはオフになりますか?

はい。互換性のあるサードパーティ製品がセキュリティ センターに登録された瞬間、Defenderはリアルタイム保護から自動的に退き、その製品が削除されると戻ります。

理屈は完璧に聞こえる。1つのアンチウイルスが大半の脅威を捕らえるなら、2つならもっと捕らえるはずだ。実際には、1台に2つのリアルタイムエンジンを入れると、たいていは互いをスキャンし合う――そしてベンダーが製品に相互無効化のロジックを組み込んだのは、まさにこの組み合わせが予測可能な形で失敗するからだ。

2つのエンジンで実際に起きること

Windowsが最初にやるのは、事態の信管を抜くことだ。互換性のあるサードパーティ製アンチウイルスがセキュリティセンターに登録された瞬間、Defenderは自らリアルタイム保護から退く――Microsoftがこの挙動を文書化しているのには理由がある。それでも2つのエンジンを無理に走らせれば、すべてのファイル操作が2つのフィルタードライバーを通過し、ディスクとCPUは同じ仕事に2倍を払う。各エンジンは相手の定義ファイル、更新、検疫サンプルを展開して検査する――「アンチウイルスがアンチウイルスを検知する」有名な警告はここから生まれる。

衝突はランダムではない。同じファイル上で競り合うリアルタイムスキャナーは、双方の製品で同時にロック、タイムアウト、エラーログを生む。そして最も危険な回避策こそ、人気のそれだ――警告を止めるために、互いを相手のスキャンから除外すること。除外は文書化された攻撃手法である。除外フォルダーに降り立つか、除外プロセスに偽装したマルウェアは、2つのエンジンのどちらかからフリーパスをもらう。

互換性のあるサードパーティ製AVが登録されると、WindowsはDefenderのリアルタイム保護を自動で無効化する
2つのフィルタードライバーがすべてのファイル操作を横取りし、ディスクとCPUは2倍を払う
各エンジンは相手の更新や定義ファイルを「疑わしい」として検疫する
競り合うスキャンは、双方の製品で同時にロック、タイムアウト、エラーログを生む
定番の対策――互いを除外し合う――は、文書化されたバイパス経路を作る
誤検知は倍加する:一方が見逃すものを、他方が「見た目が怪しい」として遮断する

実コストが降りかかる場所

パフォーマンスへの打撃は見えている部分だ。以前は一瞬だったファイル操作が二重検査の税を課され、控えめなハードウェアでは手にはっきり届く。見えない部分はもっと悪い――レイヤードセキュリティの幻覚だ。並のエンジン2つを足しても優秀な1つにはならない。集まるのはバグの山2つ分、信頼すべき更新チャネル2つ、「疑わしい」ファイルの見た目についてのベンダー2社分の考えだ。その間、感染するかどうかを実際に決めるもの――パッチの適用状況、ブラウザの衛生、どこをクリックするか、バックアップがあるか――は、まったく同じままなのに。

実際に安全を増すもの

機能する構成は、リアルタイムエンジン1つに、オンデマンドのセカンドオピニオンを足したものだ。Defenderか有償製品を常時稼働の唯一の層とし、何かがおかしいときやリスクの高いダウンロードの後には、名のあるオンデマンドスキャナーを走らせる――無料エディションで十分この役を果たす。その先の利得は退屈なところから来る。更新はすぐに入れる、UACはオンのまま、ブラウザは最新に、本物のバックアップ習慣を、そして有償ソフトの「無料版」への健全な疑いを。そのスタックは、週のどの日でもリアルタイムエンジン2つに勝る――しかもディスク時間は一切かからない。