Windows 10 Enterpriseの仮想セキュアモード（VSM）とは？仕組みと有効化手順を解説

Windows 10 Enterpriseの仮想セキュアモード（VSM）とは

Windows 10 Enterprise（このエディションのみに搭載）には、Hyper-Vの新コンポーネントとして「仮想セキュアモード（Virtual Secure Mode：VSM）」が提供されています。VSMは、ハイパーバイザー上で動作する保護されたコンテナ（仮想マシン）であり、ホスト側のWindows 10およびそのカーネルから完全に分離されています。

セキュリティ上きわめて重要なシステムコンポーネントは、この保護された仮想コンテナ内で実行されます。VSM内ではサードパーティ製のコードを実行できず、コードの整合性は常時監視され、改ざんが検出されます。このアーキテクチャにより、たとえホストWindows 10のカーネルが侵害された場合でも、カーネルからVSMへ直接アクセスすることは不可能なため、VSM内のデータは守られます。

さらに、VSMコンテナはネットワークに接続できず、誰もその中で管理者権限を取得できません。暗号化キーやユーザー認証データなど、漏洩時に深刻な被害をもたらしうる情報をVSM内に安全に保管できるため、攻撃者がドメインユーザーアカウントのローカルキャッシュデータを悪用して企業ネットワークへ侵入することを防げます。

VSM内で動作する主なシステムコンポーネント

1. LSASS（ローカルセキュリティサブシステムサービス）：ローカルユーザーの認証と分離を担うコンポーネントです。「Pass-the-Hash」型の攻撃やmimikatzなどのツールからシステムを保護します。つまり、システムに登録されたユーザーのパスワード（ハッシュ）は、ローカル管理者権限を持つユーザーであっても取得できません。
2. 仮想TPM（vTPM）：ゲストマシン向けの合成TPMデバイスで、ディスク内容の暗号化に必要となります。
3. OSコード整合性監視システム：OSのコードを改ざんから継続的に保護します。

補足：Shielded Virtual Machines（シールドされた仮想マシン）やDevice Guardといったセキュリティ技術もVSM上で動作します。また、ホストOSとゲストOSはAPIインターフェースを介してVSMコンテナと連携することも可能です。

VSMのハードウェア要件

• UEFI、Secure Boot、Trusted Platform Module（TPM）のサポート（セキュアなキー保存のため）
• ハードウェア仮想化機能のサポート（Intel VT-x、AMD-V以降）

Windows 10で仮想セキュアモード（VSM）を有効にする方法

VSMを有効化するには、以下の手順に従います。

1. UEFIのSecure Bootを有効にします。
2. Windows 10をドメインに参加させます（VSMが保護するのはドメインユーザーアカウントのみで、ローカルアカウントは対象外です）。
3. Hyper-Vの役割をインストールします（検証環境では、まず「Hyper-Vプラットフォーム」をインストールし、続けて「Hyper-V管理ツール」をインストールしました）。
4. グループポリシーエディター（gpedit.msc）でVSMを有効にします。
   [コンピューターの構成] → [管理用テンプレート] → [システム] → [Device Guard] → [仮想化ベースのセキュリティを有効にする]
   このポリシーを「有効」に設定し、「プラットフォームセキュリティレベルを選択する」で「Secure Boot」を選択します。あわせて「Credential Guardを有効にする」（LSA分離）にもチェックを入れます。
5. BCDを設定して、Windows 10をVSMで起動するようにします。
   

   bcdedit /set vsmlaunchtype auto

6. コンピューターを再起動します。

VSMが有効になっているか確認する方法

VSMがアクティブかどうかは、タスクマネージャーに「Secure System」プロセスが存在していることで確認できます。

また、システムログに「Credential Guard (Lsalso.exe) が開始され、LSA資格情報を保護します」というイベントが記録されていることでも確認可能です。

VSMのセキュリティをテストする方法

VSMが有効なマシンにドメインアカウントでログオンし、ローカル管理者権限で以下のmimikatzコマンドを実行してみましょう。

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

その結果、LSAが分離された環境で動作しているため、ユーザーのパスワードハッシュを取得できないことが確認できます。

一方、VSMが無効なマシンで同じ操作を行うと、ユーザーパスワードのNTLMハッシュを取得できてしまい、Pass-the-Hash攻撃に悪用される危険性があります。この違いこそが、VSMによる認証情報保護の効果を如実に示しています。

参考：Enabling Virtual Secure Mode (VSM) in Windows 10 Enterprise Build 10130