はじめに
WindowsからLinuxへ乗り換えた人が最初につまずくのは、操作方法ではない。セキュリティの「考え方」だ。
「Linuxにウイルス対策ソフトは要らないって本当？」
「リポジトリって、誰がどう安全を担保しているのか」
「テレメトリは本当にゼロなのか」
WindowsにはMicrosoft Defenderが最初から入っていて、有効にしておけばひとまず安心という感覚がある。Linuxにその中心はない。代わりにあるのは、権限の分離と、ソフトの入手経路の管理だ。守り方の設計思想がそもそも違う。
そしてもう一点。2026年のいま、Linuxデスクトップで実際に被害が出ている経路は、10年前の「ウイルス対策ソフト論争」とはかなりズレたところにある。
この記事では、Linux Mint 22.3「Zena」（2026年1月13日リリース、Ubuntu 24.04 LTSベース、2029年までサポート）を前提に、初心者がその日のうちに終えられる8つの手順を、コマンド付きで解説する。所要時間は全部やっても30分ほど。他のディストロでも大半はそのまま通用する。
Windowsとの違いを表で押さえる
まず全体像から。細かい話に入る前に、対応関係を頭に入れておくと迷いにくい。
| 守りたいもの | Windowsでの担当 | Linux Mintでの担当 |
|---|---|---|
| マルウェア検知 | Microsoft Defender（常駐） | 原則なし／必要ならClamAV |
| ソフトの入手 | 各サイトから.exe、Microsoft Store | 公式リポジトリ、Flathub |
| 権限昇格 | UAC | sudo（管理者パスワード） |
| アプリの隔離 | アプリコンテナ | Flatpakのサンドボックス |
| ファイアウォール | 既定で有効 | UFW（自分で有効化） |
| 更新 | Windows Update＋各アプリ | アップデートマネージャーで一括＋Flatpak |
| 復元 | システムの復元 | Timeshift |
注目してほしいのは右上と右下だ。マルウェア対策の欄が空いている代わりに、入手経路と更新の欄が強い。
Linuxのセキュリティは「入口で絞る」構造になっている。逆に言えば、入口を自分で壊した瞬間に、守りはほとんど残らない。
2026年のLinuxデスクトップで実際に起きていること
ここが今回いちばん伝えたい部分だ。
CrowdStrikeの脅威レポートによれば、Linuxへの攻撃の約8割はマルウェアファイルを一切使わない。
盗んだ認証情報でログインし、bashやcron、curlといった最初から入っているツールだけで動く。ウイルス定義ファイルで防げる類の攻撃ではない。
そして初心者にとって現実的な脅威は、次の3つに集約される。
一つ目が、コピペ攻撃だ。
「ClickFix」と呼ばれる手口で、偽のCAPTCHAやブラウザのエラー画面を見せ、「解決するにはこのコマンドを貼り付けて実行してください」と誘導する。
クリップボードには、すでに悪意あるコマンドが仕込まれている。ユーザー自身が実行するため、ダウンロードのブロックもファイルスキャンも通用しない。MITRE ATT&CKにも独立した手法（T1204.004）として登録され、Windowsだけでなく主要OS全般で確認されている。ターミナルへのコピペに慣れたLinuxユーザーは、むしろ引っかかりやすい。
二つ目が、サプライチェーン汚染だ。
2026年6月、Arch LinuxのAUR（コミュニティ製パッケージの置き場）で400以上のパッケージが乗っ取られ、認証情報を盗むマルウェアとルートキットが配られる事件が起きた。
手口は地味で、放置され管理者不在になったパッケージを正規の手続きで引き取り、ビルドスクリプトを書き換えるというもの。Mintに直接の影響はないが、「野良リポジトリやPPAを気軽に足す」という行動の危険性を示す実例として、覚えておく価値がある。
三つ目が、権限の与えすぎだ。
Flatpakのサンドボックスは強力だが、アプリ側がホームディレクトリ全体への書き込みを要求していれば、隔離の意味は大きく薄れる。
つまり、こう整理できる。危ないのは「ウイルスに感染すること」ではなく、「自分の手で、信頼していない何かに権限を渡してしまうこと」だ。以下の手順は、その一点を潰すために並べている。
手順1 いま自分が何を使っているかを確認する
守りを固める前に、現状を知る。バージョンが古いままだと、この先の話が噛み合わない。
cat /etc/linuxmint/info # Mintのバージョンとコードネーム
uname -r # カーネルのバージョン
RELEASE=22.3 と表示されれば最新系列だ。22.0〜22.2ならアップデートマネージャーの「編集」メニューから22.3へアップグレードできる。
21系以前を使っているなら、無理に上げるより、データを退避してクリーンインストールするほうが速いし安全だ。
なお次期メジャー版のLinux Mint 23はUbuntu 26.04 LTSがベースになる予定だが、開発期間を長めに取る方針が示されており、公式のリリース日は確定していない。22.3は2029年までサポートされる。焦って移る必要はない。
手順2 アップデートを自動と手動に切り分ける
Linuxの更新はOSとアプリが一元管理される。ここがWindowsとの最大の実務差だ。ブラウザもオフィスソフトも動画プレーヤーも、同じ操作でまとめて上がる。
sudo apt update && sudo apt full-upgrade
GUI派はアップデートマネージャーでよい。重要なのは頻度で、週1回では遅い場面がある。カーネルやブラウザの脆弱性は、公開から悪用まで数日という例が珍しくない。
そこで、セキュリティ更新だけ自動化しておく。アップデートマネージャーの「編集」→「設定」→「自動化」タブで、更新の自動適用を有効にする。CLIで済ませるなら以下。
sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades
Flatpakはaptの管理外だ。ここを忘れる人がとても多い。
flatpak update
flatpak uninstall --unused # 使われていない古いランタイムを掃除
2行目は地味だが効く。Flatpakは古いランタイムを抱え込みがちで、放置すると修正済みの脆弱なライブラリが残り続ける。月に一度は流しておきたい。
手順3 ソフトの入手経路を3つだけに限定する
ここがLinuxセキュリティの本丸だ。ウイルス対策ソフトを入れるより、こちらのほうが何倍も効く。
許可する経路は次の3つに絞る。
- Linux Mintの公式リポジトリ（
apt／ソフトウェアマネージャー） - Flathubの「認証済み（Verified）」アプリ
- どうしても必要な、開発元が公式に配布している.deb
aptで入るものは、Ubuntu／Mintのメンテナが審査し、署名付きで配布している。まずここを探す。
apt search 動画編集 # 公式リポジトリ内を検索
apt policy vlc # どのリポジトリから入るのかを確認
Flathubを使う場合は、アプリページの「Verified」バッジを見る。これは開発元本人（またはその委任先）が公開していることを、アプリIDの所有権証明によって確認した印だ。
加えて、広い権限を要求するアプリには「潜在的に安全でない」旨の注意表示が出る。バッジと権限表示、この2つを見る癖をつけるだけで、判断精度はかなり上がる。
そして、やらないことを3つ。
- ウェブサイトの指示に従って、意味の分からないコマンドをターミナルに貼り付けない
curl ... | sudo bashの形をしたワンライナーを実行しない（中身を読めないまま管理者権限を渡す行為だ）- 「速い」「新しい」だけの理由でPPAやサードパーティリポジトリを追加しない
3つ目について補足する。PPAは便利だが、管理者が1人で、監査もない小さな配布所だ。前述のAUR事件は、まさにその小ささを突かれた。いま追加済みのものは棚卸ししておくとよい。
ls /etc/apt/sources.list.d/ # 追加済みリポジトリの一覧
心当たりのないファイルがあれば、ソフトウェアソース（GUI）から無効化する。
現場感覚として、Windowsからの移行者がやりがちな失敗はほぼ1パターンだ。「使いたいアプリを検索 → 公式サイトらしきページ → 案内されたコマンドを丸ごとコピペ」。この動線を断つだけで、リスクの大半が消える。
手順4 Flatpakの権限を削る
Flatpakはアプリごとに隔離されて動く。ただし、隔離の強さはアプリ側の設定次第だ。何が許可されているかは、次のコマンドで見える。
flatpak list --app # 入っているアプリ一覧
flatpak info --show-permissions org.mozilla.firefox # 権限を表示
filesystem=host や filesystem=home、device=all が並んでいたら、そのアプリは実質的にサンドボックスの外に手を伸ばせる。
ホームディレクトリに書き込めるなら、シェルの設定ファイルに1行足すだけで次回ログイン時に任意のコードが動く。「サンドボックスだから安全」と思い込むほうが危ない。
権限の調整はGUIツールのFlatsealが分かりやすい。
flatpak install flathub com.github.tchx84.Flatseal
CLIで個別に削るならこう書く。
# ホーム全体へのアクセスを剥がし、ダウンロードフォルダだけ許可する
flatpak override --user --nofilesystem=home com.example.App
flatpak override --user --filesystem=~/Downloads com.example.App
flatpak override --show com.example.App # 適用結果の確認
削りすぎるとファイルが開けなくなるが、最近のアプリは「ポータル」という仕組みでファイル選択ダイアログ経由の一時的なアクセスを取れる。まずは削ってみて、困ったら戻す。この試行錯誤ができるのがFlatpakの利点だ。
Flatpak本体も更新しておく。2026年6月8日公開の1.18.0では、サンドボックスの回避につながる脆弱性を含む修正が入っている。aptの更新に含まれるので、手順2をこなしていれば自動的に追随できる。
手順5 ファイアウォールを有効にして、開いている口を数える
Mintにはufwが入っているが、既定では止まっている。有効化は3行だ。
sudo ufw default deny incoming # 外からの接続は原則拒否
sudo ufw default allow outgoing # 自分から出る通信は許可
sudo ufw enable
確認はこれ。
sudo ufw status verbose
GUIが好みならgufw（ファイアウォール設定）を使う。スイッチを入れるだけで同じ状態になる。
もう一歩踏み込むなら、実際に外向きに開いているポートを見ておく。
sudo ss -tulpn
0.0.0.0:* や [::]:* で待ち受けているサービスが、身に覚えのないものなら止める。一般的なデスクトップ用途なら、待ち受けはほぼ不要だ。SSHやファイル共送を使っていないなら、開いている口はゼロに近くなる。
手順6 ClamAVは必要な場面だけで使う
ここは元の常識が更新されている部分だ。
まず前提として、Linuxデスクトップの日常利用でClamAVは必須ではない。
検出対象の多くはWindows向けマルウェアで、Linux固有の攻撃（前述の「マルウェアを使わない攻撃」）には無力だからだ。
それでも、次の場面では役に立つ。
- Windowsユーザーとファイルをやり取りする（USBメモリ、添付ファイルの中継）
- 家族共用PCで、ダウンロードしたファイルを念のため確認したい
- サーバーやNASでファイルを預かっている
導入と手動スキャンはこう。
sudo apt install clamav
sudo systemctl status clamav-freshclam # 定義更新サービスが動いているか確認
clamscan -r -i ~/Downloads # -i は「検出したものだけ表示」
freshclamはサービスとして自動更新されるので、手でsudo freshclamを叩くとロック競合でエラーになることがある。まずステータスを見る、が正しい順序だ。
そして、よく誤解されている点を一つ。ClamAVには常駐監視の仕組みがある。clamonaccを使えば、ファイルアクセス時のスキャン（オンアクセススキャン）が可能だ。
sudo apt install clamav-daemon
sudo systemctl enable --now clamav-daemon
sudo systemctl enable --now clamav-clamonacc
ただしメモリを数百MB以上使い、体感速度も落ちる。個人のデスクトップなら、手動スキャンで十分な場合がほとんどだ。
GUIについては、長年定番だったclamtkの更新が停滞している。GUIが欲しいなら、後継として開発が続いているClamUIなどを検討するか、上記のコマンド2つを覚えてしまうほうが結果的に早い。
なお、ClamAV自体もソフトウェアであり、脆弱性の修正が定期的に出ている（1.5系・1.4系ともに2026年に入って複数回のセキュリティパッチが公開された）。入れたなら、更新も回す。入れっぱなしで安心する道具ではない。
手順7 プライバシー設定とブラウザを整える
Linux Mint本体は、既定で利用状況データを外部に送らない。Ubuntuのようなインストール時の送信可否の確認画面もない。ここは移行者にとって素直に嬉しい点だ。
ただし、OSがきれいでもブラウザが素通しなら意味がない。日常の情報漏れは、ほぼブラウザ経由で起きる。最低限、次を済ませる。
- Firefoxの設定 →「プライバシーとセキュリティ」→「Firefoxのデータ収集と利用について」のチェックをすべて外す
- 強化型トラッキング防止を「厳格」にする
- uBlock Originを入れる（広告経由のマルウェア配信対策としても効く）
より徹底したいなら、テレメトリを既定で無効化したFirefox派生のLibreWolfという選択肢がある。ただし互換性の面倒を自分で引き受ける前提だ。まずは上の3つで十分に効果が出る。
一点、注意しておきたいことがある。「フィッシングとマルウェアからの保護」は無効にしない。
プライバシー強化の記事にはこの項目をオフにする手順が載っていることがあるが、これはブラウザ側に残った数少ない実質的な防御機能だ。手順6でウイルス対策を薄くする分、ここは残す。
手順8 改ざん検知より先に、戻せる状態を作る
元記事ではAIDEやTripwireを紹介したが、優先順位を正直に組み直したい。初心者にとって最初に効くのは、検知ではなく復元だ。
Timeshiftでシステムのスナップショットを取っておく。Mintには標準で入っている。
sudo timeshift --list
GUIから、スケジュールを「毎日」または「毎週」に設定し、保存先は外付けドライブか別パーティションを選ぶ。設定変更やアップグレードで壊しても、数分で戻せる。この安心感が、その後の学習速度を上げてくれる。
そのうえで、改ざん検知を足すなら軽いものから。
sudo apt install debsums
sudo debsums -c # 公式パッケージのファイルが書き換わっていないか照合
debsumsはaptで入れたファイルの整合性を確認するだけの小さな道具で、設定がいらない。まずはこれで十分だ。
さらに踏み込む場合はAIDEを使う。ファイルの状態を記録し、後から差分を検出する仕組みだ。
sudo apt install aide
sudo aideinit # 初期データベースを作成（数分かかる）
sudo aide.wrapper --check # 変更点をチェック
ここで正直に書いておくと、AIDEはデスクトップだと通知が多い。更新のたびにシステムファイルが変わるため、正常な変更が大量に報告される。ノイズに慣れてしまうと、本当の異常を見落とす。監視対象を/etcや/usr/binなど絞り込む設定を書ける人向けの道具だと考えたほうがよい。
Tripwireは有名だが、オープンソース版のメンテナンスは停滞している。いま新規に選ぶ理由は乏しい。ルートキットの確認をしたいならrkhunterやchkrootkitのほうが手軽だ。
sudo apt install rkhunter
sudo rkhunter --propupd # 現状を正常な基準として記録
sudo rkhunter -c --sk # チェック実行
15分でできるチェックリスト
上から順に実行すれば、この記事の内容がひと通り反映される。
# 1. 更新
sudo apt update && sudo apt full-upgrade
flatpak update && flatpak uninstall --unused
# 2. ファイアウォール
sudo ufw default deny incoming
sudo ufw enable
sudo ufw status verbose
# 3. 待ち受けポートの棚卸し
sudo ss -tulpn
# 4. 追加リポジトリの棚卸し
ls /etc/apt/sources.list.d/
# 5. Flatpakの権限確認
flatpak list --app
flatpak info --show-permissions <アプリID>
# 6. パッケージの整合性チェック
sudo apt install debsums && sudo debsums -c
残りはGUIで3つ。アップデートマネージャーで自動更新を有効化。Timeshiftでスナップショットを設定。Firefoxのデータ収集をオフ。
まとめ
ここまでの手順を終えると、次の状態になる。
- 修正パッチが自動で当たり、既知の脆弱性が放置されない
- ソフトの入手経路が3つに絞られ、素性の分からないコードが入りにくい
- アプリごとの権限が最小限になり、1つが破られても被害が広がりにくい
- 外からの接続が原則拒否になっている
- 何かあってもTimeshiftで数分前に戻せる
作業時間は初回30分、以後は月に数分だ。ウイルス対策ソフトを入れて安心するより、この5つのほうがはるかに効く。
最後に、2026年の現実を踏まえた一文を残しておきたい。Linuxを破る最短ルートは、あなたにコマンドを貼り付けさせることだ。設定は今日終わる。
だが、貼り付ける直前に一呼吸置く習慣だけは、毎日更新し続ける必要がある。
まずは手順2と手順5、自動更新とファイアウォールから始めてほしい。この2つだけで、放置されがちなリスクの大半が消える。
参考リンク
コメント