この記事は、10分で読めます。
こんばんは。管理人のuncleゆーさん（@UncleYusan）です。
今回は、セキュリティレベルを劇的に向上させるためのWindowsセキュリティの最強設定について、詳しく解説していきます。
今回は、すべてのWindowsパソコンユーザーに実践していただきたい、セキュリティレベルを劇的に向上させるためのWindows Defender（現：Windowsセキュリティ）最強設定について、詳しく解説します。
実は、Windowsに標準搭載されている無料のセキュリティ機能である「Windows セキュリティ」には、ウィルス対策ソフトにはない、WindowsOSの心臓部を守るための極めて重要な設定を行うことができます。
この記事を最後まで読めば、あなたのパソコンの防御力は、これまでとは比較にならないレベルにまで引き上げられるはずです。
ぜひ、ご自身のPCを守るために、この機会に設定を見直してみてください。
多くの人が知らないWindows セキュリティの真実
「有料セキュリティソフトを使っているから、標準のWindows セキュリティの設定は不要だ」という考え方です。
ご存知の通り、Windows8から標準搭載された「Windows Defender」は、ノートンやマカフィーなどの有料のウイルス、マルウエア対策などのセキュリティソフトに対峙するものでした。
かつては「おまけ程度」と見なされていた時期もありましたが、Microsoftの継続的な努力により、その性能は飛躍的に向上しました。
現在では、第三者の評価機関によるテストでも常にトップクラスの成績を収めており、ウイルスやマルウェアの検出率、パフォーマンスへの影響の少なさなど、多くの面で市販の有料セキュリティソフトと遜色ないレベルに達しています。
個人が通常通りに利用する分には、「Windows Defenderだけで十分」と言われるほど、信頼性の高いソフトへと進化を遂げたのです。
さらに、Windows Defenderは、今ではWindows セキュリティに統合され、ノートンやウイルスバスターといった市販の有料セキュリティソフトにはない、WindowsOSの心臓部（カーネル）を鉄壁に守る機能が存在します。
これは、どんなに高性能な有料ソフトを入れていてもカバーしきれない領域であり、だからこそ、すべてのWindowsユーザーがこの設定を有効にすべきなのです。
パソコンの心臓部を守る「コア分離」とは？
コア分離とは、デバイスの重要な部分（OSやドライバなど）を仮想化環境で実行することにより、悪意のあるソフトウェアから保護するためのセキュリティ機能のことです。
パソコンには、「カーネル」というPCの心臓部、司令塔に当たるようなところが存在します。カーネルとは、OSの中核をなすプログラムのことです。
私たちが普段使っているアプリやゲームが「このファイルを開きたい」「インターネットに接続したい」と要求すると、カーネルがその要求を受け取り、CPUやメモリといったハードウェアに適切な指示を出します。
このカーネルが悪意のあるプログラムに乗っ取られてしまったらどうなるでしょうか。パソコン内のすべてのデータが盗まれたり、破壊されたり、あるいはパソコン自体が遠隔操作されて犯罪の踏み台にされたりする可能性があります。
「コア分離」は、このカーネルを、他の一般プログラムが動作している領域から仮想化技術によって「分離」し、厳重に保護された特別な空間で実行する仕組みです。
これにより、万が一マルウェアがパソコンに侵入したとしても、最も重要なカーネルに手出しするのを極めて困難にします。
本来なら、カーネルはその重要性からすると、デフォルトでコア分離にし、ガチガチに防御する設定にしておくべきなのですが、そうした設定に必ずしもなっていません。
その理由は、一律にガチガチに防御する設定にしてしまうと、使用しているPCやソフトの性能や機能によっては、うまく作動できなくなってしまうからです。
特に、サポートが終了した古い周辺機器や、特殊なソフトウェアを使用している環境では、予期せぬ不具合を引き起こすことがあります。
Microsoftとしては、世界中の多種多様なパソコン環境で問題なく動作することを最優先するため、ユーザーが不利益を被る可能性がわずかでもある機能については、初期状態を「オフ」に設定し、ユーザー自身の判断で有効にしてもらうようにしています。
設定画面へのアクセス方法
このことを知らいないWindowsユーザーは、非常に多いです。PCセキュリティを劇的に強化するためには、みずからの責任のもとコア分離を有効に設定する必要があります。
その手順は、以下のとおりです。
- タスクバーの「スタートメニュー（Windowsマーク）」を右クリックし、「設定」を選択
- 左側のメニューから「プライバシーとセキュリティ」をクリック
- 「Windows セキュリティ」を選択
- 「Windows セキュリティを開く」ボタンをクリック
- 左側のメニューから「デバイスのセキュリティ」を選択
- 画面中央に表示される「コア分離」の項目にある「コア分離の詳細」という青い文字のリンクをクリック
有効化すべきコア分離の最強設定
それでは、「コア分離の詳細」画面にある3つの重要な設定を、一つずつ詳しく見ていきます。
メモリの整合性
これは、コア分離機能の中で最も基本的かつ重要な項目です。
機能この機能をオンにすると、Windowsはパソコンの物理メモリ（RAM）を常に監視します。そして、カーネルが動作しているメモリ領域に対して、許可されていない悪意のあるドライバーやプログラムが不正なコードを注入（書き込み）しようとする攻撃を検知し、即座にブロックします。
この機能が「オフ」になっている最も一般的な理由は、古いドライバーとの互換性問題です。
オンにしようとした際に「互換性のないドライバーがあるため、有効にできません」といった警告が表示されることがあります。まずは、この機能を「オン」に設定し、パソコンを再起動してみてください。
その後、プリンターやWi-Fi、その他周辺機器が正常に動作するかを確認しましょう。もし何か不具合が発生した場合は、以下の手順を試してください。
一度「メモリの整合性」をオフに戻して、不具合が解消されるか確認します。
問題の原因となっているドライバーを特定し（警告画面に表示されることが多いです）、メーカーの公式サイトから最新版のドライバーを探して更新します。
ドライバー更新後、再度「メモリの整合性」をオンにします。
多くの場合、ドライバーの更新で解決しますが、どうしても解決しない、あるいは生活や仕事に必須の古い機器が使えなくなってしまう場合は、残念ですがこの機能は使えません。
画面上に「メモリの整合性」が表示されない場合
私のデスクトップPC（Lenovo Ideacentre510S）は購入から5年以上が過ぎている古いモデルだったこともあり、当初、画面上に「メモリの整合性」が表示されませんでした。
そこで、BIOSを確認して見ると、"Security゛のタブにある ”DeviceGuard”が"Disabled”になっていました。これを"Enabled”に変更したら、無事、画面上に表示されるようになりました 。
カーネルモード ハードウェア強制スタック保護
これも非常に強力な保護機能ですが、少し専門的な内容になります。
カーネルがCPUに命令を出す際、その命令や手順を一時的に「スタック」と呼ばれるメモリ領域に書き込みます。
この機能をオンにすると、その「命令が書かれたメモ（スタック）」が悪意のあるプログラムによって不正に書き換えられるのを、CPUの機能と連携して防ぎます。
この機能は、「リターン指向プログラミング（ROP）」のような、プログラムの正常なコード断片を悪用して乗っ取りを謀る高度な攻撃手法に対して非常に有効です。ソフトウェアだけの防御とは異なり、CPUというハードウェアレベルで保護するため、攻撃者がこれを突破するのは極めて困難です。
この機能は、比較的新しいCPU（IntelのCET技術やAMDのShadow Stackに対応したもの）でないと、項目自体が表示されない場合があります。
また、項目が表示されていても、一部の古いソフトウェアや、特定のゲーム（特に独自のアンチチート機能を搭載したもの）で、クラッシュや動作不良の原因となったという報告が稀にあります。
もし、お使いのPCにこの項目が表示されているのであれば、迷わず「オン」にすることをおすすめします。 セキュリティ上のメリットは計り知れません。オンにした後、もし特定のアプリケーションで問題が発生するようであれば、その時だけオフに戻す、という運用で問題ありません。
※カーネルモードハードウェア強制スタック保護機能を使用するには、デバイスがIntel Tiger Lake CPU（2020年9月～）またはAMD Zen3 CPU（2020年11月）とそれ以降のバージョンを使用している必要があります
私のPCは、これら以前のCPUが搭載されているので、この項目は表示されず、オンにすることはできません。
ローカル セキュリティ機関の保護
これは、あなたの認証情報を守るための最後の砦です。
Windowsには、ユーザーのログインパスワードや、様々なサービスへのサインイン情報を管理する「ローカル セキュリティ機関」という非常に重要なプロセスがあります。
この機能をオンにすると、この「機密情報が保管された金庫」に、許可されていないプログラムがアクセスしようとするのを防ぐことができます。
ハッカーは、ウイルスを仕掛けるだけでなく、「パス・ザ・ハッシュ攻撃」のように、OS内部に保存されているパスワードの断片（ハッシュ値）を盗み出し、それを悪用して正規ユーザーになりすますという高度な手口を使います。
このLSA保護を有効にしていないと、認証情報の窃取を許してしまい、パソコンだけでなく、同じネットワーク内の他の機器へ被害が拡大する原因にもなります。
この機能がオフになっている理由は、一部のカスタムVPNソフトや、企業などで使われる特殊な認証ツール、大昔に開発された業務用ソフトなどとの相性問題が報告されているためです。
しかし、個人で利用しているほとんどのパソコンでは、この機能をオンにしても問題は発生しません。 ここもぜひ「オン」に設定しておきましょう。
万が一、オンにした後に特定のソフト（特にVPN接続など）で認証に失敗するようなことがあれば、この設定を疑ってみてください。
Microsoft の脆弱なドライバーのブロックリスト
これは、ほとんどの人がオンになっていると思います。
Microsoft は、世界中から集まってくる情報をもとに危険なドライバーリストというデータベースを作っています。
そのリストに載っているような危険なドライバーが、もしパソコン内にあれば、自動でブロックしてくれるという機能です。
もしここをオンにして動かなくなるようなデバイスがあれば、そのデバイスのドライバーが危険だということですので、そういった場合はここの機能をオフにして解決するのではなく、公式サイトから最新のドライバーをインストールしてくるようにしてください。
まとめ
今回の記事は、いかがでしたでしょうか。
今回は、多くの人が見過ごしているWindowsセキュリティ の「本気」の機能、「コア分離」について詳しく解説しました。
「コア分離」は、OSの心臓部であるカーネルを攻撃から守るための最重要機能。
「メモリの整合性」、「カーネルモード ハードウェア強制スタック保護」、「ローカル セキュリティ機関の保護」は、互換性の問題でオフになっていることがあります。
ぜひ自分のパソコンを確認してみて、できる限りオンにしておきましょう。
今回の記事がお役に立たのなら、うれしいです。
最後まで読んでいただきありがとうございました。
今回の記事が良ければ、ブックマークとスターをお願いします！
また、SNSでシェアして頂けると、モチベーションが上がります！
今後も役に立つ、記事を配信していきます。
Amazon Music Unlimited（音楽聴き放題）が30日間無料（通常月額1,080円）！
Amazon Music Unlimited公式サイト
Audible（聴く読書12万冊聴き放題）が30日間無料（通常月額1,500円）！
Audible公式サイト
Kindle Unlimited（電子書籍読み放題）が30日間無料（通常月額980円）！
Kindle Unlimited公式サイト
