Windows 10で信頼されていないフォントをブロックする方法【グループポリシー・レジストリ設定】

Windowsには、企業をサイバー攻撃者から守るために設計された「信頼されていないフォントのブロック（Untrusted Font Blocking）」機能が搭載されています。信頼されていないフォントファイルや、攻撃者に制御されたフォントファイルは、システムに深刻な被害をもたらす可能性があります。この機能を有効にすると、グローバル設定として、GDI（Graphics Device Interface）経由で処理される信頼されていないフォントがネットワーク上で読み込まれるのを防ぐことができます。本記事では、Windows 10で信頼されていないフォントをブロックする具体的な手順を詳しく解説します。

信頼されていないフォントのブロック機能とは

信頼されていないフォントをブロックすることは、企業のシステムを安全に保つうえで有効な対策です。ただし、一部のユーザーにとっては利便性の問題が発生する場合もあります。この設定は、すべてのプログラムによる信頼されていないフォントの読み込みを防ぐグローバル設定であり、Internet Explorerでは表示に支障が出ることがありますが、その他のブラウザは基本的に影響を受けません。ここでいう「信頼されていないフォント」とは、既定のフォントフォルダー（%windir%\Fonts）以外にインストールされたフォントを指します。

この機能には「有効（On）」「無効（Off）」「監査（Audit）」の3つのモードが用意されています。既定では「無効」に設定されており、どのフォントもブロックされません。「有効」に切り替えると、信頼されていないフォントが完全にブロックされます。また、社内への全面展開前に挙動を確認したい場合は、まず「監査」モードで運用し、有効化によって利便性や互換性の問題が発生しなかどうかをチェックすることも可能です。なお、この設定が有効な状態でも、既定のフォントフォルダーに手動でフォントをインストールすることはできます。

方法1：ローカルグループポリシーエディターでブロックする

最も手軽で標準的な方法は、ローカルグループポリシーエディターを使用することです。設定項目はあらかじめ用意されており、3つのモードもリスト形式で簡単に選択できます。

なお、Windows 10 Homeエディションにはローカルグループポリシーエディターが搭載されていないため、Homeユーザーは方法2へ進んでください。

ローカルグループポリシーエディターが利用できる環境では、以下の手順に従ってください。

1. Windows + Rキーを同時に押して「ファイル名を指定して実行」ダイアログを開きます。ボックスに「gpedit.msc」と入力し、Enterキーを押してローカルグループポリシーエディターを起動します。
   注意：UAC（ユーザーアカウント制御）の画面が表示されたら「はい」を選択してください。
   
2. ローカルグループポリシーエディターの左側ウィンドウで、次のパスへ移動します。

   コンピューターの構成\管理用テンプレート\システム\Mitigation Options

   
3. 「信頼されていないフォントのブロック（Untrusted Font Blocking）」設定をダブルクリックします。新しいウィンドウが開くので、設定を「有効」に変更し、「適用／OK」ボタンをクリックして変更を保存します。
4. 以上で、システム上のプログラムによる信頼されていないフォントの読み込みがブロックされるようになります。

方法2：レジストリエディターでブロックする

もう一つの方法は、レジストリエディターを使って設定を直接変更することです。レジストリエディターでは多くの設定が既定では存在しないため、該当するキーや値を手動で作成する必要があります。信頼されていないフォントのブロック設定には、次の3種類の値のデータが用意されています。目的に応じていずれかを設定してください。

• 信頼されていないフォントをブロックし、イベントを記録する：1000000000000
• 信頼されていないフォントをブロックしない：2000000000000
• ブロックせずにイベントのみ記録する：3000000000000

レジストリエディターで設定を変更するには、以下の手順を実行してください。

1. Windows + Rキーを押して「ファイル名を指定して実行」を開き、「regedit」と入力してEnterキーを押すと、レジストリエディターが起動します。UACの画面では「はい」を選択してください。
2. レジストリエディターの左側ウィンドウで、次のパスへ移動します。

   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\MitigationOptions

3. MitigationOptionsキーが存在しない場合は、Windows NTキーを右クリックして「新規 > キー」を選択し、キー名を「MitigationOptions」として新しく作成します。
4. MitigationOptionsキーを選択した状態で、右側のウィンドウを右クリックし、「新規 > 文字列値」を選択します。値の名前は「MitigationOptions_FontBocking」と入力してください。
5. 作成した値をダブルクリックし、「値のデータ」を「1000000000000」（ゼロ12個）に変更すると、設定が有効になります。
   注意：目的に応じて、上記の一覧にある他の値のデータを設定しても構いません。
   
6. これで、システム上で信頼されていないフォントのブロックが有効化されます。

補足：イベントログの確認方法

「監査（Audit）」モードを選択して運用している場合は、イベントログを確認することで、どのフォントが検知されたのかなどの詳細を把握できます。確認手順は以下の通りです。

1. Windows + Rキーを同時に押して「ファイル名を指定して実行」を開き、「eventvwr.exe」と入力してEnterキーを押すと、イベントビューアーが起動します。
2. イベントビューアーの左側ウィンドウで、次の場所へ移動します。

   アプリケーションとサービスログ/Microsoft/Windows/Win32k/Operational

   
3. 一覧から任意のイベントをクリックすると、下図のようにその詳細情報を確認できます。