Windows 11セキュリティ対策
マルウェア感染

「マルウェア」とは、不正かつ有害な動作を行う目的で作成された悪意のあるソフトウェアや悪質なプログラムの総称です。感染したPCを制御不能にさせ「業務停止」や「情報漏えい」となり、攻撃者は元に戻すことと引き替えに金銭などの身代金を要求しますが、支払っても復旧されない可能性があることや、金銭を支払うことで犯罪者に利益供与を行ったと見なされてしまうこともあります。また、自組織の機器から第三者に対する攻撃に悪用されることで「攻撃の加害者」となる可能性もあります。

主な感染原因は、添付ファイル付きのメール開封や悪意のあるサイトを閲覧してしまった際のソフトウェアダウンロード、管理されていないUSBメモリーの接続等による操作です。

インターネットからのマルウェア感染の防止や検出、エンドポイントセキュリティに関する対策が必要です。

これまでのウイルス対策ソフトでは対策できないファームウェアへの攻撃も増えてきています。ウイルス対策ソフトはPC起動後のOS上で感染対策するものですが、近年の高度なマルェアはOSより下位層にあるファームウェアへ攻撃するため検知するのが困難です。ファームウエアが改ざんされるとマルウェアの駆除や回復作業は極めて困難な状態となり新たな対策が必要になっています。

解決策1

「Secured-Core PC」モデルの導入

解決策2

DRTM（Dynamic Root of Trust for Measurements）機能の利用（DRTMはSecured-Core PCを構成する技術の1つ）

解決策3

「Endpoint Management Chip(EMC)」の導入＜富士通独自機能＞

解決策4

Microsoft Defender for Endpointの導入

Secured-Core PC（解決策1のツール）

「Secured-Core PC」モデルは（※3）はマイクロソフト社がPCメーカーと共同で取り組んでいる、高いセキュリティ性を備えたPCを提供する枠組みです。「Secured-Core PC」では4つの柱を使ってPCを保護しています。

①ハードウェアでの保護
外部の攻撃からシステムを保護するため特別なハードウェアを搭載。TPM2.0とDRTMにより未確認コードの測定と検証を行う。

②ファームウェアレベルの攻撃から保護
仮想化ベースのセキュリティ技術を使って隔離されたセキュアカーネルを実装し、未確認モジュールを検証する。

③未確認コードからの保護
仮想環境のセキュアカーネルでHVCIが動作し、未確認のコードを検証し、問題のあるコードを実行不可にする。

④外部の脅威からID情報を保護
仮想環境上のCredential Guardで、万が一の盗難などがあってもユーザーIDやパスワードなどの個人情報を保護する。

また、電源オンから、OS起動、サインイン、スタンバイ、復帰、シャットダウンまですべての状態で４つの柱のテクノロジーを駆使してPCを保護し、史上もっとも安全なPCを実現しています。なお、これらの機能はビジネスPCだけに対応する機能で、PC導入時のカスタマイズメニューとして選択できます。最新のセキュリティ機能が搭載された状態で出荷されるため、利用者側での設定は特に必要ありません。

DRTM　(Dynamic Root of Trust for Measurements)（解決策2のツール）

DRTMはSecured-Core PCを構成する技術の1つです。最新のIntel vProプロセッサーに搭載された「Intel Hardware Shield」（※4）に実装されているDRTM機能を利用することで、UEFIへの侵害を監視することが可能です。CPUがUEFIの起動を監視しているため、UEFIに依存しない安全なブートが実現できます。

Windows 11では、UEFI（BIOS）のセキュアブートが既定で有効化されています。UEFIとは、コンピュータ内の各装置を制御するファームウェアとOSの間の通信仕様を定めた標準規格の一つで、従来のBIOSに代わるものです。セキュアブートとは、PCが起動した際に呼び出されるプログラムのデジタル署名を検証し、安全であることを確認して起動プロセスを行い、署名されていない場合は起動を拒否する機能です。この署名の検証をUEFIが管理しています。

Endpoint Management Chip (EMC)（解決策3のツール）＜富士通独自機能＞

高度なセキュリティ対策を行なっていても、ファームウェアへの攻撃などで被害に遭ってしまうことがあります。そのような危険への対策には、BIOSのリカバリ機能を搭載したハードウェア「Endpoint Management Chip(EMC)」（※5）が有効です。富士通が独自開発したハードウェア「EMC」によってBIOS攻撃の防御だけではなく、異常を自動で検知して素早く自動で復旧します。もしもの場合も迅速に通常状態に戻るので、安心して業務を継続することができます。

Microsoft Defender for Endpoint（解決策4のツール）

「侵入させない」を前提に用意された従来のEPP（Endpoint Protection Platform：既知・未知のマルウェアによる攻撃を水際で防ぐ機能)に加えて、侵入された時の対策であるEDR（Endpoint Detection and Response：エンドポイント検出と対応)機能を搭載した製品を導入することで、エンドポイントに対するセキュリティ保護を高めます。

上の図のEPPにあたるのが、Windows PCに標準インストールされているWindows Defender、EDRとして動作するのがMicrosoft Defender for Endpoint（Microsoft 365 E3/E5のライセンスが必要）です。

Microsoft Defender for Endpointには従来の保護機能だけではなく、インテリジェンスを駆使した未知の脅威の検出や、追跡/検知時の自動処理など、被害を最小限に抑えるための機能も搭載されています。

※3 出典：マイクロソフト社『高度のセキュリティニーズを考慮した Windows 11 PC』

※4 出典：インテル社『ハードウェア・シールド』

※5 出典：富士通『ゼロトラストネットワーク時代にPCに備えるべきエンドポイントセキュリティ』「Endpoint Management Chip（EMC）」