MDMでは保護できない開発者マシンの脆弱性と対策

【なぜ重要か】 JamfやKandjiなどのMDMツールは企業のデバイス管理には欠かせませんが、開発者特有の攻撃面（npmパッケージ、IDE拡張機能、AI開発ツールなど）は保護範囲外です。実際にGitHubやVercelの侵害事例では、VS Code拡張機能やブラウザ拡張機能が侵入経路となっており、MDMでは検知できませんでした。

【ポイント】

• MDMはOSレベルのアプリケーション管理には有効だが、npmやpipなどのパッケージマネージャー、IDE拡張機能、ブラウザプラグイン、AI開発ツールは監視範囲外
• パッケージのインストール時実行フック、自動更新される拡張機能、AI生成の存在しないパッケージ名を悪用した攻撃など、新しい脅威が増加
• EDRも実行後の検知となるため、認証情報が既に窃取された後では手遅れになるケースが多い
• 対策として、新規パッケージの48時間最小経過ポリシー、postinstallスクリプトのデフォルト無効化、拡張機能の監査、専用の開発者エンドポイント保護ツールの導入が有効
• Aikido Device ProtectionやオープンソースのSafe Chainなど、開発者特有の脅威に特化したツールが登場

【まとめ】 MDMは必要だが十分ではなく、開発者マシンには専用のセキュリティ対策が必要です。まずは現在の拡張機能とAI開発ツールの利用状況を把握し、段階的に保護を強化することを推奨します。