Defender Device Guard:アプリケーションのホワイトリストによる Windows 10 とサーバーの保護

投稿者

• ケリー M. スチュワート

発行日:2023 年 4 月 26 日

Windows Defender Device Guard は、アプリケーションのホワイトリストとコード整合性ポリシーを使用して、オペレーティング システムを侵害する可能性のある悪意のあるコードからユーザーのデバイスを保護するように設計された Windows 10 および Windows Server のセキュリティ機能です。

Windows 10 で実行できるソフトウェアを決定するために IT 部門が作成するコード整合性ポリシーを使用すると、未知のアプリケーションまたは信頼できないアプリケーション、および特定のプラグイン、アドオン、またはその他のアプリケーション モジュールがエンドユーザー デバイスにアクセスするのを防ぐことができます。

Device Guard は、Microsoft の AppLocker および Windows Defender Credential Guard と連携して、予防的なセキュリティ システムを提供します。 IT 部門は、Windows ハイパーバイザーで保護されたカーネルである仮想セキュア モード (VSM) と Device Guard を併用して、仮想化ベースのセキュリティを提供し、不正なドライバやファイルをシステムから遠ざけることができます。

Microsoft の Web サイトによると、「Device Guard は、グループ ポリシーまたは Windows レジストリでメモリの整合性と VBS 設定を見つける以外には使用されなくなりました。」

Windows Defender Device Guard はどのように機能しますか?

Windows Defender Device Guard は、Windows 10 バージョン 1709 では Windows Defender Application Control として知られるコード整合性ポリシーを使用して、IT 部門が OS 上で実行できるアプリケーションとそのアプリケーション内の拡張機能を許可リストに登録します。これにより、IT 部門は不要なソフトウェアがシステムに侵入する前にブロックできます。 IT 部門は、コード整合性ポリシーを変更できる唯一の人物である、信頼できる署名を持つ一連の信頼できるユーザーを作成することもできます。 Device Guard は、コンテナ内のカーネルを通じてコード整合性ポリシーを実行します。

Device Guard は、物理デスクトップと仮想デスクトップの両方の展開にセキュリティを提供します。 Device Guard コード整合性ポリシーは、CPU 仮想化拡張機能、第 2 レベルのアドレス変換、および入出力メモリ管理ユニット (IOMMU) に作用します。

Windows Defender Device Guard の主要な機能

Windows Defender Application Control の追加ツールである Package Inspector は、すべての信頼されたアプリケーションのバイナリ ファイルのカタログを作成します。たとえマルウェアが VSM カーネルに侵入したとしても、Device Guard は安全なシステムでのコード整合性チェックによりコードの実行を防ぎます。直接メモリ アクセス攻撃がある場合、IOMMU は異常なメモリ要求へのアクセスを拒否します。 Windows Defender Device Guard には、ブート キットやブルート フォース攻撃から保護するためにセキュア ブートを実行するユニバーサル拡張ファームウェア インターフェイスもあります。

Windows Defender Device Guard を管理するためのツール

IT プロフェッショナルは、他の Windows プログラムと同様の管理方法を Device Guard で使用できます。 IT 部門は、管理テンプレート内のグループ ポリシー オブジェクトを使用してカタログ ファイルとコード整合性ポリシーを設定および管理できます。 IT 部門は、System Center Configuration Manager を使用して、コード整合性ポリシー、カタログ ファイル、およびハードウェア セキュリティ機能を展開および管理できます。 Windows PowerShell は、コード整合性ポリシーの作成と送信に重点を置きたい IT プロフェッショナルに適しています。 Microsoft によると、最終的には Microsoft Intune で、カタログ ファイルとコード整合性ポリシーの展開と管理もサポートされる可能性があります。

Microsoft Windows Defender Device Guard についての続きを読む

• Windows Defender の互換性の問題を回避するにはどうすればよいですか?

• Windows デスクトップでの Windows Defender Device Guard の管理

• Windows にはどのような Microsoft Defender ウイルス対策機能がありますか?

デスクトップ管理について詳しく知る

• 

  仮想化ベースのセキュリティ (VBS)

  

  投稿者:ラーフル・アワティ

• 

  Windows Defender Exploit Guard

  

  投稿者:アレクサンダー ギリス

• 

  Windows Server 用の EDR ツールの比較

  

  投稿者:ブライエン・ポージー

• 

  Microsoft は Windows 11 アップデートでリモート セキュリティに注力

  

  投稿者:Antone Gonsalves