Windows 11/10でグループポリシーを使ってEXEファイルの実行をブロックする方法

Windows 11やWindows 10のPCでは、ランサムウェア攻撃への対策、ユーザーによるプログラムのインストールや実行の制限、AppLockerを活用したアプリケーションの実行制御など、厳格なセキュリティ対策を導入できます。本記事では、グループポリシーエディターで設定できる一連のルール「ソフトウェアの制限ポリシー(SRP)」を適用して、WindowsクライアントやWindows Server上でEXEファイル(.exe)の実行をブロックする手順を詳しく解説します。

ソフトウェアの制限ポリシーとは?

Microsoftのドキュメントによると、ソフトウェアの制限ポリシー(SRP)は、ドメイン内のコンピューターで動作するソフトウェアプログラムを識別し、その実行可否を制御できるグループポリシーベースの機能です。SRPは、企業がコンピューターの信頼性・整合性・管理性を高めるためのMicrosoftのセキュリティおよび管理戦略の一部として位置づけられています。

SRPはMicrosoft Active Directoryやグループポリシーと統合されていますが、スタンドアロンのコンピューターに対して「特定のアプリケーションのみ実行を許可する」といった高度に制限された構成ポリシーを作成することも可能です。

グループポリシーでEXEファイルの実行をブロックする手順

グループポリシーとPowerShellで「フォルダーのアクセス制御(Controled Folder Access)」を設定すると、保護フォルダー内のファイルに変更を加えようとする実行ファイル・スクリプト・DLLを追跡できるようになります。これと同様に、ソフトウェアの制限ポリシーを使えば、Windows 11/10で脆弱なフォルダー内のEXEファイルの実行をブロックできます。

Windows 11/10でグループポリシーを使用してEXEファイルの実行をブロックするには、以下の手順を実行します。

• Windowsキー + R を押して「ファイル名を指定して実行」ダイアログを開きます。
• ダイアログボックスに gpedit.msc と入力し、Enterキーを押してローカルグループポリシーエディターを起動します。
• 左側のペインで以下のパスへ移動します。

コンピューターの構成 > Windows の設定 > セキュリティの設定 > ソフトウェアの制限ポリシー

• 左側ナビゲーションペインで「ソフトウェアの制限のポリシー」フォルダーをクリックします。
• 次に、「追加規則」フォルダーノードを右クリックします。
• コンテキストメニューから「新しいパスの規則...」を選択します。
• 実行ファイルの起動を禁止したいフォルダーのパスを入力し、末尾に *.exe を付けてください。こうすることで実行可能ファイルのみをブロックできます。
• 必要に応じて説明を追加します。
• 「適用」>「OK」をクリックして変更を保存します。
• 他のフォルダーについても同様の手順を繰り返します。

少なくとも以下の場所はブロックしておくことをおすすめします。

• C:\Windows\Temp\*.exe
• C:\Windows\Temp\*\*.exe
• %USERPROFILE%\AppData\Local\*.exe
• %USERPROFILE%\AppData\Local\*\*.exe
• %USERPROFILE%\AppData\Roaming\*.exe
• %USERPROFILE%\AppData\Roaming\*\*.exe

設定が完了したら、ローカルグループポリシーエディターを終了して問題ありません。なお、これらのフォルダー内でも特定の実行ファイルだけは許可したい場合は、「セキュリティレベル」ドロップダウンで「許可しない」ではなく「無制限」を選択した例外ルールを作成すれば対応できます。

Windows 11/10 Homeエディションのユーザーは、ローカルグループポリシーエディター機能を追加導入したうえで、上記と同じ手順を実行してください。

以上が、Windows 11/10でグループポリシーを使ってEXEファイルの実行をブロックする方法です!

関連記事: グループポリシーでMicrosoft Officeのマクロ実行をブロックする方法

よくある質問(FAQ)

グループポリシーでEXEを無効化するには?

グループポリシーエディターでEXEを無効化したり、ファイル名単位でソフトウェアの実行をブロックするGPOを適用したりする場合は、以下の手順に従ってください。

• レジストリエディターを起動します。
• ユーザーの構成 > ポリシー > 管理用テンプレート > システム を展開します。
• 「指定されたWindowsアプリケーションを実行しない」をダブルクリックします。
• 「有効」を選択します。
• 「表示」ボタンをクリックします。
• ブロックしたいファイル名を入力します。

EXEファイルをブロックするには?

Windows 11/10でEXEファイルをブロックするには、以下のいずれかの方法が利用できます。

• パスの規則を使う: 実行ファイル名と拡張子に基づいて、指定アプリケーションの全バージョンをブロックします。
• ハッシュ値を使う: サーバー上で対象の実行ファイルを特定した後、そのハッシュ値を計算して登録します。

参考: EXEファイルが勝手に削除される場合の対処法

「このプログラムはグループポリシーによってブロックされています」の解消方法は?

このエラーを解消するには、以下の手順を実行します。

• グループポリシーエディターを開きます。
• ユーザーの構成 > ポリシー > 管理用テンプレート > システム を展開します。
• 「表示」ボタンをクリックします。
• 拒否リストから対象のプログラムまたはアプリケーションを削除します。
• 「OK」をクリックします。

管理者によってブロックされたプログラムを実行するには?

管理者によってブロックされたプログラムを実行するには、ファイルのブロックを解除する必要があります。手順は以下の通りです。

• 起動しようとしているファイルを右クリックします。
• コンテキストメニューから「プロパティ」を選択します。
• 「全般」タブに切り替えます。
• 「セキュリティ」セクションにある「許可する」(ブロック解除)にチェックを入れます。
• 「適用」>「OK」をクリックします。

この記事が皆さんのお役に立てば幸いです!

関連記事:

1. Windowsでユーザーによるプログラムのインストールを禁止する方法
2. Windowsでユーザーによるプログラムの実行を防止する方法
3. 指定したWindowsアプリケーションのみ実行を許可する方法
4. 無料のアプリケーションブロッカーソフト「Windows Program Blocker」でソフトウェアの実行をブロックする方法
5. Windowsでサードパーティ製アプリのインストールをブロックする方法