Windows 10の「フォルダー アクセスの制御」でランサムウェアをブロックする方法

技術がどれほど進歩しても、ランサムウェアの蔓延を完全に食い止めることはできません。攻撃者は日々巧妙化しており、システムの脆弱性を突いてデータを盗むために、あらゆる手段を講じてきます。こうした攻撃に遭ったことがないなら、あなたは幸運です。しかし、いつ被害に見舞われてもおかしくないのが現実です。今のうちからしっかり備えておきましょう。

ランサムウェアとは、ファイルを暗号化して自分のPCへのアクセスを奪うマルウェアの一種です。ウイルス対策ソフトだけでは不十分であり、さらなるセキュリティ層が必要です。Microsoftはこの課題を認識し、Windows Defender Exploit Guardに「フォルダー アクセスの制御(Controlled Folder Access)」という重要なセキュリティ機能を導入しました。

Windows 10のフォルダー アクセスの制御とは

これはWindows 10 Fall Creators Update(v1709)以降に搭載されているセキュリティ機能で、保護対象フォルダー内のファイルがランサムウェアによって暗号化されるのを防ぐために設計されています。ランサムウェアや不正なアプリによるファイルの暗号化は、取り返しのつかないデータ損失を招き、業務や日常のあらゆる操作に支障をきたします。フォルダー アクセスの制御は、重要なフォルダーを保護し、不正なアクセスを検知すると即座にロックします。管理者権限の有無にかかわらず、悪意のある実行ファイル、DLL、スクリプトなどを含む、許可されていないすべてのアプリからのアクセスを拒否します。

仕組みはどうなっているのか

その名の通り、フォルダー アクセスの制御は、重要なフォルダーへのアクセス権をユーザー自身が管理できるようにする機能です。「デフォルトですべてをブロックする」という思想に基づいて動作し、ランサムウェアが保護されたフォルダー内のファイルへアクセスして暗号化しようとした時点で、根本的なレベルで遮断します。これにより、ランサムウェア感染から重要なファイルを守るという目的を果たします。有効化すると、Microsoftおよびユーザーが信頼したアプリだけが、個人ファイルやフォルダーを変更できるようになります。

ただし、知っておくべき重要な点があります。この機能は、マルウェアがファイルを閲覧したりコピーを作成したりすることまでは防げません。あくまで、マルウェアによるファイルの変更をブロックするものです。つまり、PC内にマルウェアが存在する場合でも、ファイルのコピーは作れてしまいますが、保護されたファイルの上書きや削除はできないというわけです。

フォルダー アクセスの制御を有効にする手順

ステップ1:Windows Defender セキュリティセンターを開く

スタートメニューの検索フィールドに「Windows Defender セキュリティセンター」と入力して起動します。

ステップ2:「ウイルスと脅威の防止」を選択する

左側のペインにある盾型のアイコン「ウイルスと脅威の防止」をクリックします。次に「ウイルスと脅威の防止の設定」をクリックします。

ステップ3:フォルダー アクセスの制御をオンにする

画面を下にスクロールして「フォルダー アクセスの制御」セクションを見つけ、オン/オフの切り替えボタンをクリックして有効にします。

ステップ4:保護対象フォルダーを追加する

続いて「保護されたフォルダー」のサブオプションを選択し、「保護されたフォルダーの追加」をクリックして、アクセスを制限したいフォルダーを追加します。

このようにして、自分で選んだフォルダーだけを保護するオリジナルのリストを作成できます。

信頼できるプログラムにアクセスを許可する

Windowsは賢いので、システムに脅威を与えない既知のプログラムをホワイトリストに登録する作業を、すでに半分ほど済ませています。これらの許可済みアプリは、保護されたフォルダー内のファイルを自由に変更できます。一方、不審なプログラムが保護されたファイルに変更を加えようとすると、自動的にブロックされ、「許可されていない変更がブロックされました」というエラーメッセージが表示されます。

このメッセージが表示された場合は、そのアプリをホワイトリストに追加してアクセスを許可する必要があります。

ステップ1:Windows Defenderを開き、「ウイルスと脅威の防止」→「ウイルスと脅威の防止の設定」の順にクリックします。

ステップ2:「保護されたフォルダー(フォルダー アクセスの制御によるアプリの許可)」をクリックします。

ステップ3:「許可されたアプリの追加」をクリックし、追加したいプログラムの場所を参照して選択します。

その他の有効化方法

PowerShellでコマンド「Set-MpPreference -EnableControlledFolderAccess Enabled」を実行するか、グループポリシー管理コンソールから有効にすることも可能です。

これでフォルダー アクセスの制御が有効になり、保護体制が整いました。保護リストに追加されたファイルに対して未許可のプログラムがアクセスや編集を試みると、Windows通知サイドバーに警告メッセージが表示され、その場でブロックされます。さらに、不正アクセスの記録はWindowsイベントログにも残ります。フォルダー アクセスの制御をリアルタイムで機能させるには、Windows Defenderのリアルタイム保護を必ず有効にしておきましょう。

デフォルトで保護されるフォルダー

初期状態では、ドキュメント、ピクチャ、ビデオ、ミュージック、お気に入り、デスクトップといったライブラリフォルダーがすべて保護リストに追加されています。必要に応じて、前述の手順に従ってフォルダーを追加できます。なお注意したいのは、一度フォルダーをリストに追加すると、その場所を変更したり、別の場所へ移動したりしてはいけないという点です。移動してしまうと、そのフォルダーは保護対象外になってしまいます。

今日の世界では何も絶対安全とは言えず、オンライン上のデータはいつ侵害されてもおかしくありません。だからこそ、常に警戒心を持ち続けることが大切です。この新しいセキュリティ機能は、ランサムウェア攻撃を完全に阻止できる万能薬ではないかもしれませんが、あなたの大切なデータを確実に守ってくれます。一見ほかの機能と似ていますが、実は多くの点で異なる独自の機能なのです。

Microsoftは最近のブログ投稿で、次のように述べています。「この機能は、フォルダーをロックしてランサムウェアやその他の未許可アプリがアクセスできないようにすることで、リアルタイムにファイルを改ざんから保護します。」さらに、「王冠の宝石を、鍵を持っているのが自分だけの金庫にしまうようなものです。フォルダー アクセスの制御は、ランサムウェア攻撃を無意味にできる強力なツールです」とも付け加えています。

フォルダー アクセスの制御を有効にしていれば、サイバー犯罪者はあなたのファイルを暗号化できず、金銭を要求することもできません。