MENU

PowerShellでWindowsドライバのデジタル署名状態を確認しセキュリティを強化する方法

PowerShell

Windowsでは、ドライバのデジタル署名が重要な役割を果たしています。デジタル署名が付与されたドライバは、その発行元が信頼できるものであり、改ざんされていないことが保証されています。しかし、署名がないドライバを使用すると、システムの安定性やセキュリティが脅かされる可能性があります。

本記事では、PowerShellを使用してWindowsドライバのデジタル署名状態を効率的に確認する方法を解説します。また、未署名ドライバのリスクや対策についても触れ、安全なシステム運用をサポートします。

ITtripTOOLS
その「面倒」、無料で解決。 ITtripがつくる、6つの道具。 無料ツール一覧へ すべて無料・追加課金なし
先頭0を守るCSV編集こわさないCSV PDFに直接書き込みかけるPDF 写真＋説明をPDFに写レポ スマホ⇄PCで共有コピペ便 · 文章・写真 みんなの日程を調整日程Fit 匿名質問・投票を集めるKOEQ
目次

デジタル署名とは？


デジタル署名は、ソフトウェアやドライバが信頼できる発行元によって作成され、改ざんされていないことを保証するための電子的な証明書です。署名は暗号化技術を用いて生成され、発行元の正当性を検証する役割を果たします。

デジタル署名の仕組み


デジタル署名は、発行元の秘密鍵を使用してソフトウェアやドライバに署名を付与し、対応する公開鍵を用いて検証が行われます。この公開鍵は信頼された認証局（CA）によって管理されており、システムが公開鍵を使って署名の有効性を確認することで、発行元の真正性と改ざんの有無をチェックします。

Windowsドライバとデジタル署名


Windowsでは、ドライバが適切に動作するためにデジタル署名が推奨または必須とされている場合があります。特に、64ビット版のWindowsでは、カーネルモードドライバは署名が必須です。これにより、未知の脅威や悪意あるコードの侵入を防ぎ、システム全体の信頼性を確保できます。

ドライバのデジタル署名確認が重要な理由

セキュリティの向上


未署名のドライバは、信頼できない発行元による改ざんや悪意あるコードを含む可能性があります。署名付きのドライバのみを使用することで、システムへの脅威を最小限に抑えることができます。特に、Windows 10以降のOSでは署名の有無がセキュリティポリシーに直接影響するため、チェックが重要です。

システムの安定性の確保


未署名ドライバは、システムのクラッシュや予期しない動作の原因となる場合があります。署名付きドライバを選択することで、Windowsが提供する信頼性の高いドライバモデルに準拠した動作が保証され、システムの安定性を保つことができます。

コンプライアンス要件の遵守


企業や組織において、ITインフラのセキュリティ基準を遵守することが求められます。デジタル署名が確認されたドライバを使用することで、コンプライアンス要件を満たし、監査の際にも信頼性の証明となります。

ユーザー体験の向上


署名付きドライバは、WindowsのDriver Signature Enforcement（ドライバ署名強制）機能によってスムーズにインストールされ、ユーザーがエラーや警告を回避しやすくなります。この結果、システム利用者の体験が向上します。

デジタル署名の確認は、セキュリティ、安定性、法令遵守の観点から非常に重要なプロセスです。次に、PowerShellを用いてこの確認作業を効率的に行う方法を解説します。

PowerShellを使用する準備

PowerShellの環境確認


PowerShellでドライバのデジタル署名状態を確認するには、最新バージョンのPowerShellを使用することを推奨します。以下の手順でバージョンを確認してください：

$PSVersionTable.PSVersion


表示されたバージョンが5.1以上であれば問題ありません。必要に応じて最新のPowerShellを公式サイトからダウンロードしてください。

管理者権限でPowerShellを起動


デジタル署名状態の確認には、一部のシステム情報へのアクセスが必要になる場合があります。そのため、PowerShellを管理者権限で実行してください。以下の手順を参照してください：

  1. Windowsのスタートメニューを開きます。
  2. 検索バーに「PowerShell」と入力します。
  3. 「Windows PowerShell」を右クリックし、「管理者として実行」を選択します。

必要なモジュールのインストール


特定のコマンドレットやスクリプトを使用する場合に備え、以下のコマンドでモジュールをインストールしておくと便利です：

Install-Module -Name PSSecurityTools -Force


このモジュールは、署名状態の確認やセキュリティ関連の操作に役立つツールを提供します。

システムに適用されているポリシーの確認


ドライバ署名を確認する際、Windowsが適用している署名ポリシーを把握することが重要です。以下のコマンドで署名ポリシーを確認できます：

bcdedit /enum


出力内の「testsigning」オプションが「No」になっている場合、署名がないドライバは許可されていません。

以上の準備が整えば、PowerShellを使用してドライバの署名状態を確認する準備が完了です。次に、実際のスクリプトについて解説します。

ドライバの署名状態を確認するPowerShellスクリプト

PowerShellを使うと、Windowsシステム内のドライバの署名状態を効率的に確認できます。以下は、デジタル署名状態を確認するスクリプトの例です。

スクリプト例

# ドライバ署名状態を確認するスクリプト

# デバイスドライバ情報を取得
$drivers = Get-WmiObject -Class Win32_PnPSignedDriver

# 署名状態を確認して出力
foreach ($driver in $drivers) {
    $status = if ($driver.IsSigned) { "署名済み" } else { "未署名" }
    Write-Output "ドライバ名: $($driver.DeviceName)"
    Write-Output "発行元: $($driver.DriverProviderName)"
    Write-Output "バージョン: $($driver.DriverVersion)"
    Write-Output "署名状態: $status"
    Write-Output "-------------------------------------------"
}

スクリプトの実行方法

  1. 管理者権限でPowerShellを開きます。
  2. 上記のスクリプトをコピーしてPowerShellのエディタに貼り付け、実行します。
  3. 出力結果として、ドライバ名、発行元、バージョン、署名状態が表示されます。

出力結果の例

ドライバ名: Intel(R) Ethernet Connection
発行元: Intel
バージョン: 25.0.0.1001
署名状態: 署名済み
-------------------------------------------
ドライバ名: VirtualBox Graphics Adapter
発行元: Oracle Corporation
バージョン: 6.1.30
署名状態: 未署名
-------------------------------------------

スクリプトの仕組み

  1. Get-WmiObject コマンドレットを使用して、ドライバ情報を取得します。
  2. 各ドライバに対し、IsSigned プロパティを参照して署名の有無を確認します。
  3. 取得した情報を整理して出力します。

応用例


署名されていないドライバを一覧表示したい場合は、次の条件分岐を使用します：

$unsignedDrivers = $drivers | Where-Object { -not $_.IsSigned }
$unsignedDrivers | ForEach-Object {
    Write-Output "未署名ドライバ: $($_.DeviceName) - $($_.DriverProviderName)"
}

このスクリプトにより、未署名ドライバのみを抽出し、効率的にリスクを特定できます。

次に、スクリプトの実行時に注意すべき点やエラーハンドリングについて解説します。

スクリプト実行時の注意点とエラーハンドリング

PowerShellスクリプトでドライバの署名状態を確認する際、いくつかの注意点や考慮すべき点があります。ここでは、スクリプトを円滑に実行し、エラーを適切に処理する方法を解説します。

スクリプト実行時の注意点

1. 管理者権限での実行


ドライバ情報はシステムレベルのデータにアクセスするため、管理者権限が必要です。管理者権限でPowerShellを起動しない場合、エラーが発生する可能性があります。

2. スクリプト実行ポリシーの確認


スクリプトの実行ポリシーによっては、スクリプトがブロックされることがあります。以下のコマンドでポリシーを確認し、必要に応じて変更してください：

Get-ExecutionPolicy
Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass


注意：変更後は元に戻すことを推奨します。

3. システムへの負荷


大規模な環境では、Get-WmiObject による大量のデータ取得がシステムに負荷をかける場合があります。必要な情報だけを抽出するフィルタリングを活用してください：

Get-WmiObject -Class Win32_PnPSignedDriver | Where-Object { $_.IsSigned -eq $false }

エラーハンドリング

1. Try-Catchブロックを使用したエラー処理


スクリプト実行中にエラーが発生した場合、Try-Catchブロックを使用して処理を中断せずにエラーを記録できます。

try {
    $drivers = Get-WmiObject -Class Win32_PnPSignedDriver
    foreach ($driver in $drivers) {
        $status = if ($driver.IsSigned) { "署名済み" } else { "未署名" }
        Write-Output "ドライバ名: $($driver.DeviceName) - 署名状態: $status"
    }
} catch {
    Write-Error "ドライバ情報の取得中にエラーが発生しました: $_"
}

2. エラー詳細のログ出力


エラーが発生した場合、詳細な情報をログに記録することで、問題のトラブルシューティングが容易になります。

try {
    # ドライバ情報取得処理
    $drivers = Get-WmiObject -Class Win32_PnPSignedDriver
} catch {
    $errorMessage = "エラーが発生しました: $($_.Exception.Message)"
    $errorDetails = $_.ScriptStackTrace
    Add-Content -Path "C:\Logs\DriverCheck.log" -Value "$errorMessage`n$errorDetails"
}

3. 未署名ドライバの検出時の処理


未署名ドライバが検出された場合、警告を表示して次の処理を実行する例：

foreach ($driver in $drivers) {
    if (-not $driver.IsSigned) {
        Write-Warning "未署名ドライバが検出されました: $($driver.DeviceName)"
        # 必要なら追加の処理を実行
    }
}

エラー防止のためのベストプラクティス

  • 実行環境を事前にテストする。
  • 重要な処理中に例外を適切に処理する。
  • エラーログを記録して問題を可視化する。

これらの手法を活用することで、スクリプトの実行をより信頼性の高いものにできます。次に、未署名ドライバに対する具体的な対策について解説します。

デジタル署名がないドライバの対策

署名されていないドライバは、セキュリティ上のリスクやシステムの不安定性を引き起こす可能性があります。この章では、未署名ドライバが検出された場合の対策を解説します。

1. ドライバの発行元を確認する


未署名ドライバが検出された場合、まず発行元を確認します。発行元が信頼できる場合は、署名付きの最新バージョンが提供されているかどうかを確認します。

手順

  1. 発行元のウェブサイトにアクセスします。
  2. 最新の署名付きドライバがダウンロード可能か調べます。
  3. ダウンロード後、適切にインストールします。

2. 必要に応じて署名を検証する


発行元が信頼できる場合でも、ドライバのデジタル署名を手動で検証することが可能です。以下のコマンドで署名を確認できます：

Get-AuthenticodeSignature -FilePath "C:\Path\To\Driver.sys"

出力の Status が Valid でない場合、署名が無効であるか、改ざんされている可能性があります。

3. 未署名ドライバの一時的な使用（推奨しない）


どうしても未署名ドライバを使用する必要がある場合、一時的にWindowsのテストモードを有効にすることができます。ただし、これはセキュリティリスクを伴うため、慎重に判断してください。

テストモードの有効化


以下のコマンドでテストモードを有効化します：

bcdedit /set testsigning on
Restart-Computer

テストモードの無効化


未署名ドライバの使用が終了したら、テストモードを無効化してください：

bcdedit /set testsigning off
Restart-Computer

4. 信頼性の高い代替ドライバを探す


未署名ドライバを避けるため、可能であれば信頼性の高い代替ドライバを検討します。Windows Updateやハードウェアメーカーの公式サイトは、署名付きドライバを提供する信頼できるソースです。

5. グループポリシーによる制限


未署名ドライバのインストールを防ぐために、グループポリシーでセキュリティ設定を強化できます。

設定手順

  1. gpedit.msc を実行して「ローカルグループポリシーエディタ」を開きます。
  2. 「コンピューターの構成」 > 「管理用テンプレート」 > 「システム」 > 「ドライバ署名」を選択します。
  3. 「ドライバ署名の適用」を「厳格」に設定します。

6. 定期的なセキュリティチェック


未署名ドライバの使用を避けるため、PowerShellスクリプトをスケジュール化して定期的にドライバ署名状態をチェックすることを推奨します。

スケジュール設定の例

  1. PowerShellスクリプトを CheckDriverSignatures.ps1 として保存します。
  2. 以下のコマンドでタスクスケジューラに登録します：
Register-ScheduledTask -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\CheckDriverSignatures.ps1") -Trigger (New-ScheduledTaskTrigger -Daily -At 12:00PM) -TaskName "CheckDriverSignatures"

注意点


未署名ドライバの使用は、セキュリティリスクを伴います。必要な場合でも、一時的な措置にとどめ、常に署名付きドライバの利用を優先してください。

次に、これまでの内容をまとめます。

まとめ

本記事では、PowerShellを使用してWindowsドライバのデジタル署名状態を確認し、システムのセキュリティを強化する方法を解説しました。デジタル署名の重要性、PowerShellスクリプトの実行手順、未署名ドライバのリスクと対策について具体的に説明しました。

適切なデジタル署名の確認と管理により、システムの安定性と安全性を高めることができます。署名付きドライバを利用し、必要に応じて定期的なチェックを自動化することで、セキュリティリスクを最小限に抑えることが可能です。

今後も、安全なシステム運用のため、署名状態の確認と対策を徹底してください。

PowerShell
PowerShell セキュリティ Windows ドライバ

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次