Windows 11/10でプログラムをホワイトリスト・ブラックリストに登録する方法を徹底解説

今日の厳しいセキュリティ環境において、PCを安全に保つ最も効果的な対策のひとつが、アプリケーションのホワイトリスト化です。この設定を行うと、許可したソフトウェアだけがシステム上で実行可能になり、未知の実行ファイルやマルウェア、ランサムウェアは起動できなくなります。本記事では、Windowsパソコンでプログラムをブラックリストまたはホワイトリストに登録するための具体的な方法を詳しく紹介します。

アプリケーションホワイトリスト化は、多くのIT管理者が不正な実行ファイルやプログラムの実行を防ぐために採用している有効な手法です。もちろん一般のホームユーザーでも活用できます。ここで紹介する方法には高度なものもあれば、シンプルで保護範囲が限定的なものもありますので、ご自身の環境やスキルレベルに合った方法を選んでください。

Windows 11/10でプログラムをホワイトリストに登録する方法

1. ローカルセキュリティポリシー（Software Restriction Policies）を使う

Windows ProまたはEnterpriseエディションをお使いの場合、セキュリティポリシーの設定を使ってプログラムをホワイトリストに登録できます。まず「ファイル名を指定して実行」ボックスに secpol.msc と入力してEnterキーを押し、ローカルセキュリティポリシーエディターを開きます。

[セキュリティの設定] の下に ソフトウェアの制限のポリシー（Software Restriction Policies） が表示されます。ポリシーが未作成の場合は、右クリックして「新しいポリシーの作成」を選択し、新しいSRPを作成してください。

ポリシー作成後、右側ペインの 「強制」、「指定されたファイルの種類」、「信頼された発行元」 をダブルクリックして、ホワイトリストの設定をおこないます。

ソフトウェアの制限のポリシーを使用すると、以下のようなことが可能になります。

• プログラムのホワイトリスト化
• マルウェアへの対処
• ダウンロードできるActiveXコントロールの制御
• デジタル署名済みスクリプトのみの実行許可
• 承認済みソフトウェアのみインストール可能にする
• システム全体のロックダウン

次に、「セキュリティレベル」 フォルダーを開き、既定のセキュリティ動作を設定します。選択肢は以下の3つです。

1. 許可しない（Disallowed）
2. 基本ユーザー（Basic User）
3. 無制限（Unrestricted）

ホワイトリストに登録したアプリケーションのみ実行を許可したい場合は、「許可しない」をダブルクリックして既定の動作として設定します。詳細についてはMicrosoft TechNetのドキュメントも参照するとよいでしょう。

2. AppLockerを使う

Windows標準機能の AppLocker を使えば、管理者は特定のユーザーによるアプリケーションのインストールや使用を許可・拒否できます。ブラックリスト方式とホワイトリスト方式のどちらのルールでも運用可能です。AppLockerで制御できるのは、実行ファイル、スクリプト、Windows Installerファイル、DLL、パッケージアプリ、パッケージアプリのインストーラーなどです。この機能はEnterpriseエディションでのみ利用可能で、Windows 11/10では従来型デスクトップアプリとWindowsストアアプリの両方をブロックできます。

AppLockerを活用すれば、ユーザーによるストアアプリの勝手なインストールや実行を防ぎ、どのソフトウェアを実行できるかを細かく管理できます。また、暗号化ランサムウェア（Cryptolockerなど）の感染リスクを低減するようデバイスを構成することも可能です。

さらに、署名されていない実行ファイルをブロックすることでランサムウェアの被害を軽減できます。特に以下の場所からの実行をブロックするのが効果的です。

• <users profile>\AppData\Local\Temp
• <users profile>\AppData\Local\Temp\*
• <users profile>\AppData\Local\Temp\*\*

AppLockerで実行ファイルに対するルールを作成し、アプリケーションをホワイトリストに登録する手順は、別記事でも詳しく解説しています。

3. CryptoPreventのホワイトリスト機能

CryptoPreventには Whitelist という機能があり、ツールがブロックする場所から実行が必要な信頼できるプログラムを登録できます。特定のプログラムが確実に安全で、任意の場所から実行できるべきだと判断できる場合は、そのプログラムをホワイトリストに追加しましょう。

4. インターネットセキュリティスイートの除外設定

多くのインターネットセキュリティスイートには、プログラムをブラックリストやホワイトリストに登録する機能があります。導入済みの場合は、設定画面を確認してみてください。除外設定の構成や、信頼済みアプリケーションリストへの追加が可能です。

5. NoVirusThanks Driver Radar Pro

NoVirusThanks Driver Radar Proは、カーネルファイルの読み込みを許可または拒否できる便利なツールです。安全なホワイトリスト方式の設定も行えます。

6. VoodooShield（無料）

無料ツールをお探しなら、VoodooShield がおすすめです。これはアンチ実行型の無料セキュリティソフトで、プログラムのホワイトリスト化を支援し、HIPS（ホスト侵入防止システム）機能によってマルウェアからWindows PCを保護します。有効化すると、現状の状態を保護し、新しいものは一切実行できなくなります。何か新しいプログラムが実行を試みると通知が表示され、許可するかどうかの判断を求められます。一度許可したプログラムは自動的にホワイトリストに登録されるため、運用が非常に楽になります。

7. AppSamvid

AppSamvidは、インド政府のDigital India構想のもと、先端計算開発センター（C-DAC）によって設計・開発されたアプリケーションホワイトリストソフトウェアです。

Windows 11/10でプログラムをブラックリストに登録する方法

8. ローカルグループポリシーエディターで指定アプリのみ実行を許可

ローカルグループポリシーエディターを使えば、Windowsで実行できるプログラムを限定でき、結果的にホワイトリスト方式の運用が実現します。「指定されたWindowsアプリケーションだけを実行する」 ポリシーを有効化・構成してください。

9. Microsoftファミリーセーフティ

Microsoft Family Safetyを使えば、アプリやゲームの許可・ブロックを管理できます。ただし機能には制約があり、設定もかなり基本的な内容にとどまります。

10. グループポリシーでインストール・実行をブロック

お使いのWindowsバージョンにグループポリシーエディターが搭載されている場合、ユーザーがプログラムをインストールしたり実行したりできないよう構成することも可能です。

11. Windows Program Blocker（無料）

無料ツールとしては、Windows 10/8.1/8/7上でソフトウェアの実行をブロックできる Windows Program Blocker が利用できます。

補足：EMETによるランサムウェア対策

ホームユーザーの方には、マイクロソフト製の無料ツール Enhanced Mitigation Experience Toolkit（EMET） の導入も検討してみてください（現在は提供終了）。EMETはエクスプロイト攻撃を防ぎ、管理者がサードパーティプラグインの起動タイミングを制御できるように設計されています。インストール済みソフトウェアの脆弱性がマルウェアや悪意あるプロセスに悪用されるのを防げます。厳密にはホワイトリスト/ブラックリストツールではありませんが、ランサムウェア対策としてかなり効果的です。基本的にデフォルト設定でインストールするだけで後は放置してよいツールなので、筆者自身もWindows 11/10 PCで愛用しています。