Windows 11のウイルス・脅威対策を徹底解説！進化した新セキュリティ機能とは？

Windows 11は、パフォーマンスの向上やインターフェースの刷新など、数々のアップデートをもたらしました。しかし、ソフトウェア開発ではよくあることながら、変更内容の大部分は表立って語られず、ユーザーの目にも触れません。今回も例外ではなく、Windows 11のセキュリティに関する更新についてはほとんど話題になっていませんでした。

Windows 11のセキュリティ機能

Windows 11の総合レビュー記事では、Microsoft Defenderが更新された点に触れました。同記事で述べたとおり、脆弱性が減少し、電力効率も大幅に向上しています。しかし、これらの変化は、今回のアップデートでDefenderに施された変更全体の4分の1にも満たないのです。

Microsoftは、システムセキュリティのパラダイムを「ゼロトラスト（Zero Trust）」へと転換しました。従来のセキュリティ機構は、「ユーザーがインストールしたプログラムは悪意のないもの」という前提のもと、外部のマルウェアからシステムを防御するものでした。一方、Windows 11（およびWindows 10 21H2）では、Defenderが従来よりはるかに厳密なヒューリスティック分析と動作解析を行うようになりました。

攻撃面の削減（Attack Surface Reduction）

Microsoft Defenderの新メカニズムは主に企業ネットワーク向けですが、個人システムにも導入できます。まず注目すべき要素が「攻撃面の削減（ASR）」です。この機能により、潜在的に危険な要素に対して、はるかに厳格なコントロールが可能になります。例えば、未知のサーバーへ接続してファイルをダウンロードしようとするプログラムに対し、Defenderは特に注意を払います。Microsoftのアンチウイルスは、社内ネットワークで一度も使用履歴のないプログラムや、難読化されたスクリプトを極めて高い精度で検査します。

これらの強化は、脅威に一切の付け入る隙を与えないというMicrosoftの対抗策といえます。個別の脆弱性を追いかけるのではなく、悪意あるコードの起動段階で実行を阻止する方針に切り替えたのです。これは非常に効果的ですが、脆弱性パッチ適用の重要性がなくなるわけではありません。

ネットワーク保護

近年の攻撃の一部は、エクスプロイトを使ってマルウェアを送り込む悪意あるランディングページを経由して実行されます。従来のMicrosoftのマルウェア対策ソリューションは標準的なネットワーク監視方式を採用しており、既知の悪質サイトやフィッシングサイトには有効でしたが、ゼロデイ攻撃の防止には無力でした。

更新されたセキュリティ機能により、Defenderはユーザーの操作を許可する前に、サンドボックス内でウェブサイトの挙動を検査できるようになりました。もちろん、こうした検査が行われるのは信頼できないページだけです。侵害されたドメインや不審なドメインの利用、安全でない接続の使用などが該当します。現状、攻撃者はサンドボックスと実際のシステムを判別できないため、この保護手法は非常に高い効果を発揮します。

フォルダー保護（Controlled Folder Access）

「ユーザー本人または指定されたプログラムだけがアクセスできる安全領域をシステム内部に設ける」という構想は、ここ数年サイバーセキュリティ業界で注目されてきたテーマです。一部のセキュリティベンダーが一般市場向けソリューションを展開していますが、その多くは法人向けで価格も高額でした。

MicrosoftがTPM 2.0モジュールを必須要件としたのは、対応CPUの範囲を絞り込むためだけではありません。まさにこの「フォルダー保護」機能こそが、ファイルシステム内部に安全地帯を構築するために必要だったのです。この領域には、作成者本人と許可されたプログラムのみがアクセス・編集できます。重要なデータはどのような種類であってもこのフォルダーに保管でき、ランサムウェア、スパイウェア、情報窃取型マルウェアなど、あらゆるマルウェアの被害から守られます。

Windows 11におけるEndpoint向け新機能

全体的な改善に加え、Microsoftは「Microsoft Defender for Endpoint（MDFE）」も発表しました。これは、企業のセキュリティチームが脅威を追跡・検出・駆除するための専門ツール群で構成されています。Microsoftはサイバーインシデントの全容を把握できるよう、ログを保存するクラウドストレージを提供しており、そこでは膨大な脅威データベースで学習されたAIベースの分析エンジンがデータを処理します。宣伝どおりに機能すれば、MDFEは企業セキュリティの理想的なソリューションとなるでしょう。

Windows 11のアプリケーション制御

各種アプリケーションやプロトコルの脆弱性を突く手法は、マルウェア侵入経路として最も普及しているものの一つです。「Windows Defender Application Control（WDAC）」——Defenderの新しいサブモジュール——は、この問題を封じるために開発されました。前述のとおり、従来のWindowsのセキュリティモデルは「ユーザーのPC上で動作するアプリのコードは信頼できる」と想定していました。今後は、WDACがアプリケーション内部に潜む悪意あるコードをスキャンします。これにより、エクスプロイト経由でマルウェアの注入に成功した場合であっても、Defenderによって攻撃は阻止されます。

こうした措置はかなり厳格で、パフォーマンスへの影響が懸念されますが、その効果は絶大です。さらにMicrosoftは、アプリ制御のためのもう一つのツール「AppLocker」も提供しています。AppLockerはWDACの代替としても、補完としても活用できます。例えば、特定のアプリに権限昇格が必要な場面では、WDACは悪意あるコード実行の疑いがあるとしてブロックする可能性がありますが、AppLockerなら一部の操作を除外対象とするアプリをユーザー側で柔軟に指定できます。

Windows Defender Application Guard

この機能はWDACと名称が似ていますが、その役割は略字以上に大きく異なります。WDAGはプログラムの周囲にシェルを形成し、コード内の潜在的な悪性要素を検証できるようにします。一種のサンドボックスですが、目的が異なり、最大限の仮想化が施されている点が特徴です。多くのウイルスは、通常のサンドボックス（その他のテスト環境含む）を実システムと見分けられます。しかしWDAGは単なる堅牢な殻を作るだけでなく、アプリ自身に「通常のシステムで起動している」と思わせるための仕掛けまで用意しています。

現在、Application Guardが保護している対象：

• Wordファイル
• PowerPointファイル
• Excelファイル
• Edgeブラウザ内で開いたウェブサイト
• Google ChromeやMozilla Firefoxなど、他ブラウザ向けの拡張機能

さらにMicrosoftは、プログラム実行用の特殊環境「AppContainer」も提供しています。これはサンドボックスのように動作し、システム本体やPCの他のコンポーネントとの干渉を許さずにプログラムコードを実行できる隔離領域です。広く利用されているコンテナ化ツール「Docker」の機能に近く、アプリ開発者にとって大きなメリットがあります。以前は開発者がDockerを使うのに、WSL経由、デュアルブート、さらには仮想マシンの構築が必要でしたが、その手間が大幅に軽減されるのです。