MTD製品には、単なるマルウェア対策や脅威の検出以上の機能が必要だ。例えば脅威に対する脆弱（ぜいじゃく）性を修正する機能が求められる。一般的なMTD製品には脅威に対する3段階の対処法が備わっている。

デバイスレベル

　MTD製品はデバイスに関する下記の点をチェックする。

• 画面ロックや暗号化が有効になっているかどうか
• 未知のソースからのアプリケーションのインストールが許可されているかどうか
• デバイスのroot化（管理者がアクセス特権を取得すること）やジェイルブレーク（脱獄）ができるかどうか

　これに加えて、MTD製品は開発者モードやUSBデバッグが有効になっているかどうかや、不正なアプリケーションによるバッテリーの消耗がないかどうかについてチェックすることもできる。

　「Android」デバイスでは、「Verify Apps」（アプリを確認）の機能によってデバイスが保護されているかどうか判断したり、「SafetyNet API」を起動させてデバイスの信頼性をチェックしたりする。

アプリケーションレベル

　アプリケーションに関して、MTD製品はコード分析、URLの安全性の診断、セキュリティ機能の実装状況の検証、データ流出やプライバシー侵害の検出などができる。これらのタスクにはアプリケーションの開発者や評価に関する確認も含まれることから、「MARS」（モバイルアプリケーション評判サービス）と呼ばれることもある。以前はMTD製品とMARSが別々のサービスであることが少なくなかったが、今ではMTD製品がMARSの機能を持つことが一般的になっている。

ネットワークレベル

　MTD製品はネットワークを介してデータを送受信し、中間者攻撃やSSLストリッピング（HTTPS接続を非セキュアなHTTP接続にダウングレードし、重要データを盗み出す）のような潜在的な脅威を検出する。

　大半のMTD製品が重点を置いているコンポーネントは、ユーザーやアプリケーションの挙動を調べて脅威の兆候となる異常を見つけ出す分析エンジンだ。分析エンジンは監視対象のデバイスからデータを収集し、機械学習アルゴリズムなどのAI技術を利用することでデバイス、アプリケーション、ネットワークの異常を検出する。分析エンジンが提供する詳細なフォレンジック情報（異常の原因特定につながる情報）を管理者が利用し、よりターゲットを絞った対策を講じることができる。

MTD製品の導入

　MTD製品の代表的なものとして「Check Point SandBlast Mobile」（SandBlast Mobile）、「Zimperium zIPS」「Symantec Endpoint Protection Mobile」（SEP Mobile）などがある。こうした製品は機械学習アルゴリズムを使ってデバイスの挙動を分析し、潜在的な脅威の兆候となる異常を見つけ出す。こうした製品は下記に示す通り、既存のEMM製品と連携できることが少なくない。

• SandBlast Mobileは「VMware AirWatch」「MobileIron」「IBM MaaS360」「BlackBerry Enterprise Server」「BlackBerry Unified Endpoint Manager」（BlackBerry UEM）、「Citrix Endpoint Management」といった製品と連携できる。
• Zimperium zIPSはAirWatch、MobileIron、BlackBerry UEM、Citrix Endpoint Managementなどと連携できる。
• SEP MobileはVMware AirWatch、Citrix Endpoint Management、MobileIron、BlackBerry UEM、IBM MaaS360などと連携できる。

　MTD製品とEMM製品を連携させることで、デバイスを脅威から保護しつつ、ポリシーを適用して対象のデバイスを継続的に保護し続けることができる。IT管理者はEMM製品利用の延長線上でMTD製品を取り入れ、モバイルデバイスのセキュリティ確保に取り組むことが大事だ。この2種類の製品がうまく連携できるほど、デバイスを保護する機能は高まる。

　現状、スタンドアロンシステムとしてもEMM製品の機能拡張という位置付けとしても、MTD製品を導入している企業はほとんどない。だがサイバー犯罪集団がモバイルデバイスやユーザーを狙って一段と高度な攻撃を仕掛けてくる中で、状況は間違いなく変わる。MTD製品がEMM製品と同様に一般的になり、この2つが連携して単一の包括的な機能群となるまでに、それほど時間はかからないだろう。