Windows 10 Enterprise向けセキュリティ：Credential GuardとDevice Guard

［Summary］：「2つの新しいWindows 10 Enterprise対応セキュリティ機能：Credential GuardとDevice Guardの概要」について説明します。

Device GuardとCredential Guardの概要

Device GuardとCredential Guardは、仮想化ベースのセキュリティ(VBS)です。ハイパーバイザーによるコード整合性(HVCI)対応ドライバーと、Windows 10 Enterprise/Education Editionオペレーティング システムに準拠したBIOSを使用した、Local Security Authority (LSA)機能を備えています。これは、Microsoftボリューム ライセンス契約(VLA)の対象となるコンピューターでのみ使用できます。

Credential Guardは、仮想化ベースのセキュリティを使用してシークレット（認証情報）を隔離し、特権システム ソフトウェアのみがアクセスできるようにします。これらのシークレットへの不正アクセスは、認証情報の盗難攻撃につながる可能性があります。Credential Guardは、NT LAN Managerプロトコル(NTLM)パスワード ハッシュとKerberosチケット許可チケットを保護することで、これらの攻撃を防ぎます。Credential Guardは、仮想化ベースのセキュリティを使用してシークレットを隔離し、特権システム ソフトウェアのみがアクセスできるようにします。Credential Guardは、Device Guardに依存しません。

Device Guardは、エンタープライズ関連のハードウェアとソフトウェアのセキュリティ機能を組み合わせたものです。これらを一緒に構成すると、デバイスをロックダウンして、信頼済みアプリケーションのみを実行できるように設定します。信頼済みアプリケーション以外は実行できません。デバイスをロックダウンするように設定できます。そうすることで、デバイスはコード整合性ポリシーで定義された信頼できるアプリケーションのみを実行できます。Device Guardは、仮想化ベースのセキュリティ(VBS)に依存します。

ページの先頭

仕組みについて

Windows 10 Enterprise/Educationの仮想化ベースのセキュリティ機能は、UEFI、セキュア ブート、Trusted Platform Module (TPM) 2.0などのさまざまなセキュリティ要素を活用します。Dellでは、アップデート済みのBIOSおよびHVCI対応ドライバーを搭載したPrecision、Latitude、OptiPlexの一部のコンピューターで検証済みです。

UEFIファームウェア バージョン2.3.1以降：UEFIをロックすることで、UEFIの設定を変更してDevice Guardのセキュリティを侵害することはできません（起動順序、ブート エントリー、セキュア ブート、仮想化拡張機能、IOMMU、Microsoft UEFI CA）。

ページの先頭

Credential Guard。

• ハードウェア セキュリティ：Credential Guardは、セキュア ブートや仮想化などのプラットフォーム セキュリティ機能を活用することで、ドメイン派生認証情報に対するセキュリティを強化します。
• 高度な継続的脅威に対する保護の強化：仮想化ベースのセキュリティを使用してドメイン派生認証情報を保護することで、多くの標的型攻撃で使用される認証情報の盗難攻撃の手法とツールをブロックできます。
  • 仮想化ベースのセキュリティは、管理者権限を持つオペレーティング システムで実行されているマルウェアからシークレットを保護します。
• 管理機能：Credential Guardは、グループ ポリシー、WMI、コマンド プロンプト、およびWindows PowerShellを使用して管理できます。

『Windows Defender Credential Guard によるドメインの派生資格情報の保護』 

ページの先頭

Device Guard。

• ウイルス対策ソリューションなどの従来の方法を使用すると、新しい攻撃（マルウェアと戦うシグネチャ ベースの検出）に対する防御が不十分になります。特に、毎日何千もの新しい悪意のあるファイルが作成されていることを考えると危険です。
• Windows 10 EnterpriseのDevice Guardは、ウイルス対策またはその他のセキュリティ ソリューションによってブロックされない限り、アプリケーションが信頼されるモードを変更します。オペレーティング システムが、エンタープライズによって設定された承認済みアプリケーションのみを信頼するモードに変更します。これらの信頼できるアプリケーションを指定するには、コード整合性ポリシーを作成します。

Device Guardを管理する4つの方法

• グループ ポリシー：Windows 10には、組織に構成可能なコード整合性ポリシーを設定および導入するための管理テンプレートが用意されています。このテンプレートでは、有効化および導入するハードウェア ベースのセキュリティ機能を指定することもできます。これらの設定は、既存のグループ ポリシー オブジェクト(GPO)とともに管理できるため、Device Guard機能をより簡単に実装できます。
• Microsoft System Center Configuration Manager：System Center Configuration Managerを使用して、カタログ ファイルの導入と管理をシンプルにすることができます。コード整合性ポリシーやハードウェア ベースのセキュリティ機能を含む、バージョン管理も提供します。
• Windows PowerShell
• Microsoft Intune

ページの先頭

よくある質問/FAQ

Windows 10 Enterprise SKUとは何ですか？
Windows 10 Enterprise SKUは、Microsoftボリューム ライセンスのお客様のみが使用できる、異なるWindows OSバージョンです。追加機能を得るには、Windows 10 Professionalライセンスを持つコンピューターを購入した後に、Windows 10 Enterpriseにアップグレードします。Windows 10 Enterpriseには、Professional SKUまたはHome SKUでは使用できない、Credential GuardとDevice Guardの2つのセキュリティ機能が含まれています。

Device GuardとCredential Guardとは何ですか？
Device GuardとCredential Guardは、現在Windows 10 Enterpriseでのみ使用できる新しいセキュリティ機能です。Device Guardは、エンタープライズ関連のハードウェアとソフトウェアのセキュリティ機能を組み合わせたものです。これらを一緒に構成すると、デバイスをロックダウンして、信頼済みアプリケーションのみを実行できるように設定します。信頼済みアプリケーション以外は実行できません。Credential Guardは、仮想化ベースのセキュリティを使用して、シークレット（認証情報）を隔離し、特権システム ソフトウェアのみがアクセスできるようにします。これらのシークレットへの不正アクセスは、認証情報の盗難攻撃につながる可能性があります。Credential Guardは、NTLMパスワード ハッシュとKerberosチケット許可チケット(TGT)を保護することで、これらの攻撃を防ぎます。

仮想化ベースのセキュリティ(VBS)とは何ですか？
これは、ハイパーバイザーを使用してカーネルおよびOSの他の部分を保護する機能です。VBSを使用すると、デフォルトのカーネル モード コード整合性ポリシーまたは構成および導入するコード整合性ポリシーがより堅牢になります。

コード整合性に対する仮想化ベースの保護が有効になっていることを確認する方法を教えてください。
最も簡単な方法として、システム情報アプリ(msinfo32)を実行します。次の行：「Device Guard Security Services Running」を探します。ここで、「Hypervisor enforced Code Integrity」と報告されるはずです。管理ツールを使用して確認するには、Windows Management Instrumentation (WMI)インターフェイスも使用できます。

コンピューターがWin10 Enterprise対応でない場合、そのコンピューターを引き続きWin10 Enterpriseで実行できますか？
はい。Windows 10 Pro搭載のコンピューターを購入している限りできます。ボリューム ライセンスのお客様は、いつでもそのコンピューターをWin10 Enterpriseにアップグレードできます。Device GuardとCredential Guardを除くすべてのEnterprise向け追加機能は正常に動作します。これら2つのセキュリティ機能が除外されるのは、Microsoftの要件に準拠するためにBIOS、ドライバー、およびプロセッサーの機能を必要とするためです。

Dell製コンピューターでDevice GuardおよびCredential Guardを有効にするために必要な要件は何ですか？
Device GuardとCredential Guardを有効にするためにコンピューターをアップグレードしようとしているお客様は、次の3つの基準を満たす必要があります。

1. Latitude/OptiPlex/Precision/Venueデバイスは、Win10 Enterprise対応である必要があります。BIOSとドライバーがEnterprise Ready対応バージョンにアップデートされていることを確認します。プラットフォームごとのBIOS/HVCIドライバー対応状況に関する詳細については、プラットフォーム リストを参照してください。
2. 構成には、DG/CG対応プロセッサーを使用する必要があります。DG/CG対応プロセッサーとは、インテルVT-xおよびVT-d機能をサポートしていることを意味します。これらの機能は、Windows 10でDevice GuardおよびCredential Guardをサポートするための必須要件です。お使いのプロセッサーがインテルVT-xおよびVT-dをサポートしているかどうかを確認するには、次のリンクを参照してください：『インテル製品の製品仕様』。
3. お客様はMicrosoftボリューム ライセンスを持っている必要があります。Win10 EnterpriseはOEM SKUではありません。お客様は、Microsoftのみから直接Win10 Enterpriseビットを取得できます。

詳細な要件：

Windows 10 1607の場合のその他の要件

Microsoftから直接購入したWin10 Enterprise向けMicrosoftボリューム ライセンスが必要です（Dellが出荷するWindows 10 Pro SKUからアップグレードするお客様を含む）。Dellでは、OEM SKUとしてWindows 10 Enterpriseを提供していません。

Device Guardを導入する場合は、『Windows Defender アプリケーション制御 (WDAC) ポリシーの展開』を参照してください。Credential Guardを導入する場合は、『Windows Defender Credential Guard によるドメインの派生資格情報の保護』を参照してください。 

Device GuardとCredential Guardに必要なBIOS設定は何ですか？
これらのオプションを有効にする必要があります。サポートされているBIOSのリストに記載されている最新のBIOSがあることを確認します。

Device GuardとCredential Guardに対応しているか検証する方法を教えてください。
Device GuardおよびCredential Guard対応状況検証ツールを使用できます。

• コンピューターでDevice GuardまたはCredential Guardを実行できるかどうかを確認します。
• Device GuardまたはCredential Guardを無効または有効にします。

ツールを実行する前に、PowerShellで正しい実行ポリシーが有効になっていることを確認します（以下の図1を参照）。

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

図1- PowerShellでの実行ポリシーの例

検証する場合：DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

有効にする場合：DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

無効にする場合：DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

コンピューターにDevice GuardまたはCredential Guardが事前に設定されていますか？
いいえ。Dellでは、BIOSファームウェアとHVCIドライバーのコンプライアンスの観点から、検証済みのコンピューターに万全を期しています。そのため、コンピューターでDevice GuardまたはCredential Guardを有効にする必要があります。上記の有効化スイッチまたは導入ガイドの手順に従って、機能を有効にする必要があります（「リソース」セクションを参照）。

HVCIドライバーの対応状況とは何ですか？また、対応するドライバーがあることを確認する方法を教えてください。
HVCIは、Hypervisor Code Integrity（ハイパーバイザーによるコード整合性）の略です。Windows 10のHVCIサービスは、カーネル モードで実行されているコードが安全に設計され、信頼性があるかどうかを判断します。また、ゼロ デイおよび脆弱性の悪用から保護する機能を提供します。これにより、ドライバーを含むすべてのソフトウェアがカーネル モードで実行され、メモリーが安全に割り当てられ、意図したとおりに動作するようにします。

DGReadinessツールの使用：

検証する場合：DG_Readiness.ps1 –Capable –HVCI -AutoReboot

メモ: Dellでは、Dellがサポートするドライバーの対応状況を検証済みです。他のサード パーティー製ドライバーをコンピューターにインストールする場合は、HVCI対応であることを確認する必要があります。『Driver compatibility with Device Guard in Windows 10』

Device GuardとCredential GuardをサポートしているDell製コンピューターはどれですか？
Device GuardおよびCredential Guardを有効にするには、Dell SkyLakeおよびKabyLake世代のコンピューターに互換性のあるBIOSとHypervisor Code Integrity (HVCI)対応ドライバーの両方が必要です。

以下に、Dellによりこの機能の有効化がサポートされているすべてのコンピューターを示します。以下の表は、各プラットフォームのドライバー バージョンとBIOSバージョンを示しています。

プロセッサーがvProの場合、DG/CG対応であることを意味しますか？
はい。さらに、一部のvPro以外のプロセッサーでは、DG/CG (VT-x/VT-d)にも対応しています。お使いのプロセッサーがインテルVT-xおよびVT-dをサポートしているかどうかを確認するには、次のリンクを参照してください：『インテル製品の製品仕様』。

ページの先頭

リソース

• Windows 11 Enterprise向けセキュリティ：Credential GuardとDevice Guard
• Windows Defender アプリケーション制御 (WDAC) ポリシーの展開
• Microsoft Defender Credential Guard のハードウェア要件
• 仮想化ベースのセキュリティ (VBS)

ページの先頭