ファイルがインターネットからダウンロードされたことをWindowsが判断する方法

以前の記事の1つで、インターネットWindowsからダウンロードした実行可能ファイルを開こうとすると、潜在的に危険なコンテンツを実行するというセキュリティ警告が表示されると述べました（詳細については、Windowsでセキュリティ警告を無効にする方法を参照してください）。ファイルがインターネットからダウンロードされたとシステムはどのように判断しますか？それを見つけてみましょう。

インターネットからブラウザにダウンロードされたすべての実行可能ファイルには、特別なマーカーが付けられます。このルールは、Internet Explorerだけでなく、MozillaFirefoxやGoogleChromeなどの他の一般的なブラウザでもサポートされています。ファイルを別のNTFSパーティションにコピー、名前変更、または移動する場合でも、マーカーはそのまま残ります。

このマーカーは、代替NTFSファイルストリームです。 。

注 。 代替NTFSデータストリーム NTFSファイルごとにいくつかの追加データ（メタデータ）ストリームを作成できます。デフォルトでは、すべてのファイルデータがメインストリームに保存されますが、ファイル用に1つ以上の追加ストリームを作成することも可能であり、それらのサイズはプライマリファイルストリームのサイズを超えることもあります。ほとんどのアプリケーション（Windowsエクスプローラーを含む）は標準ストリームでのみ動作し、代替NTFSデータストリームからデータを読み取ることはできません。

インターネットからダウンロードしたファイルに特別なマーカーが割り当てられていることを確認するには、次のコマンドを使用して、ディストリビューションを含むディレクトリのファイルのリストを表示します。

dir /r

ご覧のとおり、代替ストリーム Zone.Identifier install_flash_player_16_active_x.exe：Zone.Identifierなどの実行可能ファイルに割り当てられています 。

メモ帳で代替ストリームを開きます：

Notepad.exe install_flash_player_16_active_x.exe:Zone.Identifier

このストリームは、セクション[ ZoneTransferを含むファイルであることがわかります。 ]、転送ゾーンID（ ZoneId） が指定されています。 （これらはIE設定で見つけることができるセキュリティゾーンです。）転送ゾーンIDには、0から4までの5つの値のいずれかを含めることができます。

1. ZoneId =0：ローカルマシン
2. ZoneId =1：ローカルイントラネット
3. ZoneId =2：信頼できるサイト
4. ZoneId =3：インターネット
5. ZoneId =4：制限されたサイト

セキュリティゾーンからファイルをダウンロードすると、ブラウザは対応するZoneIdをそのファイルに割り当てます。代替NTFSストリームでZoneIdが3または4のファイルを実行しようとすると、このIDに基づいて、システムはファイルがインターネットまたは信頼できないソースからダウンロードされたことを検出します。 Windowsは、Windows XP SP2以降、実行可能ファイルのこのマーカーをチェックしています。

このマーカー（代替ストリーム）を手動で削除するには、ブロック解除をクリックするだけです。 ファイルのプロパティで。

このファイルに代替ストリームが含まれていないことを確認してください。

ヒント 。ダウンロードしたファイルにマーカーが割り当てられないようにするために、インターネットからダウンロードしたファイルを、FAT、exFatなどのNTFSとは異なるファイルシステムに保存できます。

実際、Windowsには代替データストリームを処理するためのツールがありません。たとえば、一度に複数のファイルからそれらを削除する必要がある場合は、Mark Rusinovichによるサードパーティのコンソールツールを使用することをお勧めします—ストリーム 。

たとえば、c：\ Download \内のすべての実行可能ファイルの代替ストリームを再帰的に削除するには、次のコマンドを実行します。

c:\TOOLS\streams.exe -s -d c:\Download\*.exe

コマンドプロンプトで、ファイルの代替ストリームが削除されたことを確認できます。 Deleted：Zone.Identifier：$ DATA

重要 。 ストリーム 指定されたファイルのすべての代替ストリームを削除し、特定のストリームをターゲットにすることを許可しません。したがって、ストリームを実行しないでください streams.exe -s -d c：\*。exeとしてのコマンド 、代替NTFSストリームに含まれる重要な情報が削除された後、システム障害が発生する可能性があるためです。

PowerShell 3.0では、ディレクトリ内のZone.Identifierストリームを含むファイルのリストを表示できます。このコマンドの使用：

Get-ChildItem -Recurse | Get-Item -Stream Zone.Identifier -ErrorAction SilentlyContinue | Select-Object FileName

属性は次のように削除されます：

Remove-Item .\install-file.exe -Stream Zone.Identifier

Windows PowerShell 4.0では、別のコマンドレットを使用してZone.Identifierを削除できます。

Unblock-File install-file.exe

このコマンドを手動で実行すると、任意のファイルにマーカーを割り当てることができます：

notepad.exe install_flash_player_16_active_x.exe:Zone.Identifier

ストリームがないため、システムは新しいファイルを作成するように求めます。同意して、次のテキストをメモ帳ウィンドウにコピーします。

[ZoneTransfer]
ZoneId=3

変更を保存します。代替ストリームがファイルに割り当てられていることを確認してください。