Volt Typhoonは「正規ツールを悪用する（LotL）」ため、従来の「マルウェア（ウイルス）の検知・駆除」というアプローチだけでは防げない。 米CISAや日本のJPCERT/CCなどが推奨する、主な対策は以下の通りだ。
🔷境界防御の徹底（侵入経路を塞ぐ）
Volt Typhoonは、VPN機器やSOHOルーターの脆弱性を突いてネットワークに侵入する。
• 迅速なパッチ適用（特に境界機器）： Fortinet（世界最大規模のサイバーセキュリティ企業）、Ivanti（企業内のPC、スマートフォン、サーバーなどのIT資産管理とセキュリティ対策、およびヘルプデスク業務を一元化・自動化する統合ITプラットフォーム）、Cisco（アメリカ・カリフォルニア州に本社を置く世界最大のコンピュータネットワーク機器開発会社）などのVPN機器やルーターの脆弱性情報を常に監視し、最優先でパッチを適用する。
• サポート終了（EOL）製品の排除： メーカーのサポートが切れた古いルーターやネットワーク機器は脆弱性が放置されるため、速やかに更新・リプレイスする。
• インターネット露出の制限： 不要な管理インターフェースをインターネット上に公開しないようにする。
🔷強固な認証管理（「正規ユーザー」の偽装を防ぐ）
彼らは一度侵入すると、管理者権限（資格情報）を盗み出して「正規のユーザー」として振る舞う。
• フィッシング耐性のある多要素認証（MFA）の導入： 単なるパスワードだけでなく、FIDO2（パスワードを使わずに安全な本人確認を実現する最新の認証規格）などの強力な多要素認証を必須にする。特にリモートアクセスや特権アカウントには必須となる。
• 特権アクセスの最小化： 管理者権限を持つアカウントを厳格に管理し、不要な権限は剥奪する。
🔷スレットハンティングと振る舞い検知（挙動を見破る）
「マルウェアを探す」のではなく、「正規ツールの不審な動き」を探す必要がある。
• コマンド・ツールの監視： PowerShell（Microsoftが開発したWindowsのシステム管理やタスク自動化に特化したコマンドラインシェルおよびスクリプト言語）、ntdsutil.exe（Windows Serverに標準搭載されているActive Directory（AD）管理用の強力なコマンドラインツール）、netsh（Windowsに標準搭載されているネットワーク設定・管理用のコマンド）など、Windows標準ツールが「普段と違う時間帯」や「普段アクセスしないアカウント」で実行されていないかを監視（監査）する。
• 「あり得ない」ログインの検知： 同じアカウントが短時間に地理的に離れた2箇所からログインしていないか（Impossible Travel）などをチェックする。
🔷 ログ運用の強化（潜伏期間への対策）
Volt Typhoonは数ヶ月〜数年にわたり静かに潜伏する。
• ログの長期保存と集中管理： 通常のシステムログが数週間〜1ヶ月で上書きされてしまうと、彼らの足跡を追う事ができない。ログを安全な別サーバーに転送し、長期保存する。
• 管理操作ログの記録： 普段のシステム管理者が行うような日常の操作ログも含めて、網羅的に記録を残す。
🔷ネットワークの分離（ITとOTのセグメンテーション）
重要インフラ（電力や水道など）を狙う彼らの最終目的は、制御システム（OT）の破壊・停止だ。
• ITネットワークとOTネットワークの隔離： 事務用のPC（IT環境）から、工場の機器や制御システム（OT環境）へ直接アクセスできないよう、ファイアウォールやDMZ（緩衝地帯）を挟んで厳格に分離する。
まとめ
Volt Typhoon対策を一言で表すと、「派手なセキュリティ技術を入れることではなく、パッチ当て・認証・ログ管理といった『セキュリティの基本動作』を極めて厳格に実行すること」と言える。