64ビットWindowsはなぜマルウェアに強いのか?知っておくべき4つのセキュリティ機能

Windowsセキュリティの興味深い点のひとつは、OSの使い方を少し変えるだけで、マルウェアへの耐性が大きく変わるという事実です。たとえば、「64ビット版Windowsを使うだけでコンピュータがより安全になる」ことをご存じでしたか?コンピュータに詳しい人に話しても、最初は笑われるかもしれません。しかし、Windowsの仕組みを深く理解すれば、32ビット版に安住することがどれほどリスクを伴うか、考えを改めることになるでしょう。

この記事では、64ビット版WindowsがマルウェアからPCを守る4つの理由をわかりやすく解説します。

1. ドライバー署名により、カーネルへの侵入が困難になる

マルウェアの中には、OSの核である「カーネル」へのアクセスを必要とするものがあります。これを実現するために、マルウェアは正規のドライバーに偽装してシステムに侵入しようとします。64ビット版Windowsでは「ドライバー署名」が必須であり、ドライバーを構成するすべてのコードがMicrosoftによる認証を受けていなければなりません。

「なぜ32ビット版にはこの署名要件がないのか?」と疑問に思う方もいるでしょう。その主な理由は、過去に作られた古いドライバーの多くが署名されていないためです。一方、64ビット向けのドライバー開発者はこの要件を把握しており、必ずデジタル署名を行っています。90年代後半に作られた古いドライバーが、勝手に署名されることはありません。

つまり、64ビット版Windowsを使用していれば、ユーザーの知らないうちにマルウェアがOSのカーネルへアクセスするのを防げるのです。しかも、これだけではありません。64ビット版には他にもセキュリティ上の利点があります。

2. ASLRにより、マルウェアが他のプログラムへコードを注入できなくなる

ASLR(Address Space Layout Randomization:アドレス空間配置のランダム化)は、メモリ上のプログラムの配置アドレスを予測不能にするセキュリティ技術です。32ビット版Windowsでは、一部のプログラムが毎回同じメモリアドレスから起動するため、マルウェアが検知されないままコードを差し込むことが容易でした。

「Windows Vistaや7、8といった新しい32ビット版にもASLRは搭載されている」と反論する人もいますが、それは64ビットアドレスシステムとの効果の差を見落としています。アドレス空間が広いほど、プログラムをより効果的に保護できるのです。64ビット版の膨大なアドレス空間は、ASLRの効果を最大限に引き出します。

3. データ実行防止(DEP)を無効化できない

DEP(Data Execution Prevention:データ実行防止)は、32ビット版と64ビット版のどちらのWindowsにも搭載されています。しかし、決定的な違いは「オプトアウト(無効化)の可否」にあります。32ビット版では、メモリ空間内でデータを実行する古いプログラムとの互換性を保つため、DEPが無効にできる仕様になっています。

多くのマルウェア開発者はこの仕様を悪用し、プログラムのメモリ領域の末尾に悪意のあるコードを仕込んで実行させます。いわば「忍者のように」密かにシステムへ感染する手口です。一方、64ビット版WindowsではDEPを無効化できません。そのため、この種の攻撃は成立しなくなります。

4. 「WoW64」レイヤーが32ビットマルウェアをブロックする

エクスプローラーで「Windows」フォルダを開いたことがある人なら、「SysWOW64」というサブフォルダを見かけたことがあるかもしれません。これは、64ビットカーネル上で32ビットアプリケーションを動作させるために必要な実行レイヤーで、正式名称は「Windows on Windows 64」です。

WoW64は本来セキュリティ目的で設計されたものではありませんが、結果として、カーネルモードで動作しようとする32ビットアプリケーションをブロックしてくれます。つまり、64ビットカーネル上で実行を試みる32ビットのマルウェアは失敗に終わるのです。なお、一部の32ビットアプリケーションが64ビット版Windowsで動作しないのは、このレイヤーの仕様が理由でもあります。

ただし注意が必要です。64ビットカーネルモードに対応するよう書き直されたマルウェアであれば、この防御をすり抜けて感染する可能性は残っています。

まとめ:64ビット化は「追加の装甲」、万能の盾ではない

64ビット版Windowsは、マルウェア対策の装甲をひと回り厚くしてくれる存在です。しかし、決して無敵ではありません。十分なセキュリティソフトなどの追加対策がなければ、感染リスクはゼロにはなりません。

ここで紹介した機能は、最も悪質な種類のウイルス、ワーム、トロイの木馬による攻撃を防ぐための「補助的なセキュリティ機能」です。たとえば、32ビットモードで動作し、カーネルへアクセスせず、メモリ領域の末尾でコードを実行せず、他のプログラムへコードを注入しないタイプのマルウェアであれば、64ビット版でも感染する可能性があります。

64ビット環境への移行はセキュリティ強化の第一歩として非常に有効ですが、あくまで多層防御のひとつと捉え、ウイルス対策ソフトの導入やOSのアップデートなども併せて行うことをおすすめします。