Mac
 Computer >> コンピューター >  >> システム >> Mac

Windows Defender Device Guardとは?アプリケーションホワイトリストでWindows 10とWindows Serverを保護する仕組み

Windows Defender Device Guardとは?アプリケーションホワイトリストでWindows 10とWindows Serverを保護する仕組み

執筆者:Kelly M. Stewart|公開日:2023年4月26日

Windows Defender Device Guardは、Windows 10およびWindows Server向けのセキュリティ機能です。アプリケーションのホワイトリスト(許可リスト)とコード整合性ポリシーを活用し、OSを脅かす恐れのある悪意あるコードからユーザーのデバイスを保護することを目的としています。

IT部門が作成するコード整合性ポリシーによって、Windows 10上で実行を許可するソフトウェアを明確に定義できます。これにより、未知のアプリケーションや信頼できないアプリケーションだけでなく、特定のプラグイン、アドオン、その他のアプリケーションモジュールがエンドユーザーのデバイスへアクセスするのを未然に防ぐことが可能です。

Device Guardは、MicrosoftのAppLockerやWindows Defender Credential Guardと連携することで、予防型のセキュリティシステムを構築します。さらに、Windowsのハイパーバイザー保護カーネルであるVirtual Secure Mode(VSM)と併用すれば、仮想化ベースのセキュリティを実現でき、不正なドライバやファイルがシステムに侵入するのを防げます。

なお、Microsoftの公式サイトによると、「Device Guardという名称は、グループポリシーやWindowsレジストリ内のメモリ整合性およびVBS設定の場所を示す目的以外では、現在ほとんど使用されていません」。本機能の中核は後述のWindows Defender Application Controlへと移行しています。

Windows Defender Device Guardの仕組み

Windows Defender Device Guardは、コード整合性ポリシーを活用して、OS上で実行を許可するアプリケーションとその拡張機能をホワイトリストに登録します。このコード整合性ポリシーは、Windows 10バージョン1709以降では「Windows Defender Application Control(WDAC)」として知られています。これにより、不要なソフトウェアがシステムに入り込む前にブロックすることが可能です。

また、信頼された署名を持つユーザーのみを「信頼済みユーザー」として登録し、コード整合性ポリシーを変更できる人物を限定することもできます。Device Guardは、コンテナ内のカーネルを通じてコード整合性ポリシーを実行するため、OS本体への改ざんリスクを大幅に低減します。

Device Guardは、物理デスクトップ環境と仮想デスクトップ環境の両方にセキュリティを提供します。そのコード整合性ポリシーは、CPU仮想化拡張機能、セカンドレベルアドレス変換(SLAT)、入出力メモリ管理ユニット(IOMMU)といったハードウェア機能上で動作します。

Windows Defender Device Guardの主な機能

Windows Defender Application Controlには、「Package Inspector」と呼ばれる補助ツールが含まれており、信頼済みアプリケーションのバイナリファイルのカタログを作成できます。万一マルウェアがVSMカーネルに侵入した場合でも、Device Guardは安全なシステム内でのコード整合性チェックによって、マルウェアによるコード実行を阻止します。

ダイレクトメモリアクセス(DMA)攻撃が発生した際には、IOMMUが異常なメモリ要求へのアクセスを拒否します。さらに、Windows Defender Device Guardは、UEFI(Unified Extensible Firmware Interface)によるセキュアブート機能も備えており、ブートキットやブルートフォース攻撃から起動プロセスを保護します。

Windows Defender Device Guardの管理ツール

IT担当者は、他のWindowsプログラムと同様の管理手法をDevice Guardにも適用できます。

  • グループポリシー: 管理テンプレート内のグループポリシーオブジェクト(GPO)を使用して、カタログファイルとコード整合性ポリシーを設定・管理できます。
  • System Center Configuration Manager: コード整合性ポリシー、カタログファイル、ハードウェアセキュリティ機能の展開と管理を行えます。
  • Windows PowerShell: コード整合性ポリシーの作成と配布に集中したいIT担当者にとって効率的な選択肢です。
  • Microsoft Intune: Microsoftによると、将来的にカタログファイルやコード整合性ポリシーの展開・管理がサポートされる可能性があります。

関連記事

  • Windows Defenderの互換性問題を回避する方法
  • WindowsデスクトップにおけるDefender Device Guardの管理
  • Windowsに搭載されているMicrosoft Defenderウイルス対策の主な機能

デスクトップ管理に関するさらに詳しい情報

  • 仮想化ベースのセキュリティ(VBS)とは
  • Windows Defender Exploit Guardの概要
  • Windows Server向けEDRツールの比較
  • Microsoft、Windows 11アップデートでリモートワークのセキュリティを強化
  1. Mac を売る前に必ずやっておきたい 9 のこと

    Mac を売却したり人に譲ったりする予定があるなら、買い手に自分のデータや個人情報へアクセスされたくないはずです。そのためには、Mac を手放す前に保存されているデータをきれいに取り除く必要があります。この消去作業には、Mac 上のデータを削除することに加えて、すべてのアカウントの認証を完全に解除することも含まれます。こうしておけば、新しい持ち主があなたのデータにアクセスすることも、過去のデータを復元することもできなくなります。その後、新しい持ち主は自分のアカウントとデータで Mac をセットアップできるようになります。この記事では、Mac を売る前に行っておきたい 9 つのことを順番に解説し

  2. MacでPDFドキュメントからページを抽出する方法【プレビューとSmallpdf】

    大きなPDFドキュメントの中から、必要なのはたった1ページだけ――そんな経験はありませんか?複数ページのPDFから特定のページを素早く取り出す方法がわからず、困っている方も多いはずです。実は、Macユーザーなら標準搭載されている「プレビュー(Preview)」アプリを使えば、追加ダウンロードやサードパーティ製ソフトなしで簡単に作業を完了できます。この記事では、PDFファイルから1ページだけを抜き出す方法を、手順を追って詳しく解説します。 プレビューを使ってPDFからページを抽出する手順 1. ページを抽出したいPDFファイルを右クリックし、「このアプリケーションで開く」から「プレビュー」を選