Windows 10のデータ実行防止（DEP）とは？仕組みと有効・無効化の設定方法を徹底解説

データ実行防止（DEP：Data Execution Prevention）は、Windowsに標準搭載されているシステムレベルのセキュリティ機能です。メモリ上で正しく動作しないプログラムを強制終了させることで、悪意のあるコードによる攻撃からプロセスやサービスを保護することを主な目的としています。

この機能は「実行可能領域保護」とも呼ばれ、ハードウェアとソフトウェアの両方の技術を組み合わせて構成されています。システムメモリに対して追加のチェックを行い、不正なコードが実行されるのを防ぎます。

有害なプログラムが、Windows本体や許可されたプログラム専用として予約されたシステムメモリ領域でコードを実行しようとすると、DEPはその領域を実行不可としてマークし、エラーを発生させます。

これはウイルスなどのセキュリティ脅威によるコンピュータへの被害を防ぐために行われるものです。ただし、DEPがウイルス対策ソフトなどの正規のプログラムと競合する場合があり、その際は特定のアプリに対してこの機能を無効にする必要が出てくることもあります。

Windows 10におけるデータ実行防止（DEP）の仕組み

DEPはすべての悪意あるコード攻撃を完全に防げる万能な防御手段ではありません。あくまでセキュリティソフトと併用してアプリを守るためのツールの一つです。

多くのオペレーティングシステムには、重要なプログラムや機能が動作するための予約済みメモリ領域が存在します。このメモリ領域には限りがあるため、正しく書き込まれていないデータや悪意のあるコードが侵入すると、領域を使い果たして「バッファオーバーフロー」が発生する可能性があります。

バッファオーバーフローが起きると、本来アクセス権限を持たないユーザーやプログラムが、重要なデータへアクセスできてしまう恐れがあります。

DEPは、こうしたアクセスや実行を阻止する役割を担います。許可されていない実行可能プログラムがシステムメモリ領域に読み込まれることを防ぎ、不審なコードの読み込みを検知した時点ですぐに例外を発生させて、その実行をブロックします。

一方で、DEPにはデメリットもあります。Windowsサービスに依存している古い非Microsoft製プログラムを誤って検知してしまうことがあるのです。そのような場合は、システム設定でDEPを無効にするか、例外を作成することで該当プログラムを実行できるようにできます。

注意： DEP関連のエラーの中には、古いデバイスドライバーが原因となっているケースもあります。

Windows 10のデータ実行防止（DEP）の種類

DEPには、以下の2つの異なる方式があります。

• ハードウェアベースのDEP
• ソフトウェアベースのDEP

ハードウェアベースのDEP

ハードウェアベースのDEPは、実行不可として指定されたメモリ領域から実行される不審なコードを検出し、介入して例外を発生させることで、システムへの攻撃を防ぎます。唯一の例外は、その領域に明示的に実行可能なコードが含まれている場合です。

ハードウェアベースのDEPは、CPU側の機能を利用して、そのメモリ領域からコードを実行してはならないことを示す属性をメモリに付与します。

ハードウェアベースのDEPを使用するには、以下の条件を満たす必要があります。

• お使いのコンピュータのプロセッサがハードウェアベースのDEPに対応していること。実際のDEPハードウェア実装はAMDやIntelなどプロセッサアーキテクチャによって異なりますが、Windows互換のアーキテクチャはDEPにも対応しています。
• BIOSでハードウェアベースのDEPを有効にすること。
• Service Pack 1適用済みのWindows Server 2003、またはService Pack 2適用済みのWindows XP以降がインストールされていること。
• コンピュータ上のプログラムに対してハードウェアベースのDEPを有効にすること。32ビットプログラムでは設定によっては無効になる場合がありますが、64ビット版Windowsでは64ビットの内蔵プログラムに対して常に有効になっています。

自分のPCがどちらのバージョンか分からない場合は、32ビット版か64ビット版かを見分ける方法を確認しておきましょう。

ソフトウェアベースのDEP

ソフトウェアベースのDEPは、悪意のあるコードがWindowsの例外処理メカニズムを悪用するのを防ぐための追加セキュリティチェックです。

このタイプのDEPは、Windows XP Service Pack 2が動作できるプロセッサであれば、ハードウェアベースのDEP対応状況に関係なく実行されます。ただし、保護対象は限られたシステムバイナリのみです。

Windows 10 PCでDEPが有効になっているか確認する方法

以下の手順で、PC上のDEPの状態を確認できます。

1. コントロールパネルを開き、システムとセキュリティを選択します。

2. 次にシステムを選択します。

3. 検索ボックスに「詳細なシステム設定の表示」と入力します。

4. システム設定のポップアップで、パフォーマンスセクションの設定を選択します。

5. データ実行防止タブを選択して、DEP設定を開きます。

6. 現在のシステムでのDEPの状態と、コンピュータのプロセッサがハードウェアベースのDEPに対応しているかどうかが表示されます。

7. 必要に応じてDEPに例外を追加することもできますが、他に方法がない場合のみ行いましょう。例外を追加するには、「選択を除くすべてのプログラムおよびサービスについてDEPを有効にする」を選択し、追加をクリックします。除外したい実行ファイルを選択し、変更を反映させるためにPCを再起動してください。

注意： 競合の多くは32ビットプログラムによって引き起こされます。また、64ビットプログラムはDEPの除外対象にできません。

Windows 10でDEPを有効・無効にする方法

特定のアプリケーションをWindows 10で使用できるようにするため、DEPを無効にして例外や変更を加えることが可能です。ただしこれは推奨されません。どうしても必要な場合、現時点で無効化できるのはコマンドライン経由のみです。

1. まずスタートボタンを選択し、「CMD」と入力してコマンドプロンプトを検索します。管理者として実行を選択して、昇格されたコマンドプロンプトを開きます。

2. コマンドプロンプトのウィンドウに次のコマンドを入力し、Enterキーを押します：BCDEDIT /SET {CURRENT} NX ALWAYSOFF。変更はPCの再起動後に有効になります。場合によっては、このコマンドでDEPを無効化するためにBIOS設定の調整が必要なこともあります。

注意： 信頼できるプログラムのDEPをオフにしたい場合は、まず開発元がDEP対応版やアップデートを提供していないか確認しましょう。対応版や更新プログラムが入手可能であれば、それをインストールしてDEPを有効のままにしておくことで、保護の恩恵を受けられます。そうしないと、DEPを無効化したことでシステムが攻撃にさらされ、被害が他のファイルやプログラムに拡大する恐れがあります。

3. DEPを再度有効にするには、昇格されたコマンドプロンプトを開き、次のコマンドを入力します：BCDEDIT /SET {CURRENT} NX ALWAYSON。変更を反映させるためにPCを再起動してください。

DEPによる保護を活用しよう

データ実行防止は貴重な機能ですが、すべてのソフトウェアやハードウェアが完全に対応しているわけではありません。そのため、一部のWindowsプロセスがDEPと競合することで、PCに問題やエラーメッセージが発生することがあります。

とはいえ、DEPはWindowsベースのシステム保護の中でも最も基本的なものの一つです。無効化する正当な理由がない限り、DEPはデフォルトで常に有効のままにし、慎重に扱うことをおすすめします。