PowerShellでWindows Defender Exploit Guardを一括有効化する方法

導入文章

Windows Defender Exploit Guardは、Windows 10およびWindows 11に搭載されている強力なセキュリティ機能で、マルウェアやゼロデイ攻撃からシステムを守る役割を果たします。これを有効化するには、通常は設定画面を手動で操作する必要がありますが、PowerShellを活用することで、複数の設定を一括で簡単に有効化することが可能です。本記事では、PowerShellを使用してWindows Defender Exploit Guardの各機能を効率的に有効化する方法を詳しく解説します。

Windows Defender Exploit Guardとは

Windows Defender Exploit Guardは、Windows 10以降に搭載されているセキュリティ機能で、特にマルウェアの攻撃やゼロデイ攻撃からシステムを保護するために設計されています。これには、特定の攻撃手法を防ぐための複数の保護層が含まれており、システムの脆弱性を悪用する悪質なコードの実行を防ぐことができます。

Exploit Guardの主要機能

Exploit Guardは、以下の機能を提供し、システムのセキュリティを強化します：

1. アプリケーション制御

アプリケーションが不正に動作するのを防ぐため、信頼できるアプリケーションだけが実行できるように制限します。

2. メモリ整合性の保護

攻撃者がシステムメモリに不正にアクセスするのを防ぐため、メモリ保護を強化します。

3. サンドボックス機能

不正なコードが実行されても、サンドボックス環境内で隔離されるため、システムに対する被害を最小限に抑えます。

4. 攻撃者のコード挿入を防止

悪意のあるコードが他のプロセスに挿入されるのを防ぐことで、攻撃を未然に防止します。

Exploit Guardの重要性

サイバー攻撃の手法は日々進化しており、従来のアンチウイルスソフトウェアでは対処できない脅威が増加しています。Exploit Guardは、これらの新たな攻撃手法に対抗するための重要な防御ラインとなっており、システムの安全性を確保するためには必須の機能です。

PowerShellによるセキュリティ機能の管理

PowerShellは、Windowsの高度な管理ツールとして、システム管理者がセキュリティ設定を効率的に実行するために非常に有用です。特に、PowerShellを使用することで、グラフィカルなインターフェースを介さずに、複数のセキュリティ設定を一括で変更したり、自動化することができます。これにより、時間と手間を大幅に削減することが可能になります。

PowerShellの利点

PowerShellは、従来のGUI（グラフィカルユーザーインターフェース）に比べて以下の利点があります：

1. 自動化

スクリプトを使ってセキュリティ設定を一括で管理できるため、大規模なネットワークや複数のPC環境で非常に効果的です。

2. 高度な管理機能

GUIではアクセスできない細かな設定やオプションに簡単にアクセスできるため、詳細な管理が可能です。

3. リモート管理

PowerShellを使用すると、リモートで他のPCやサーバーのセキュリティ設定を変更できます。これにより、物理的にアクセスできない場所からでも管理ができます。

PowerShellの基本操作

PowerShellを使用して設定を変更するには、基本的なコマンドレット（コマンド）を知っておく必要があります。例えば、Set-ExecutionPolicyコマンドでスクリプト実行ポリシーを設定したり、Get-Helpコマンドで各コマンドの使い方を調べることができます。これにより、セキュリティ機能を効率的に管理できます。

Exploit Guardの主要機能

Windows Defender Exploit Guardは、攻撃からシステムを保護するために複数の機能を提供しています。これらの機能は、マルウェアや攻撃者がシステムの脆弱性を悪用することを防ぐために設計されており、各機能が協力して強固な防御を実現します。以下では、Exploit Guardの主要な機能について詳しく説明します。

1. メモリ整合性保護

メモリ整合性保護は、攻撃者が悪意のあるコードをシステムメモリに挿入するのを防ぐための機能です。この機能が有効になると、オペレーティングシステムは不正なメモリアクセスを監視し、攻撃者がシステムのメモリ領域を変更することを防ぎます。

メモリ保護の重要性

多くの攻撃はメモリの脆弱性を悪用してシステムに侵入します。メモリ整合性保護が有効な場合、これらの攻撃を早期に検出してブロックできるため、ゼロデイ攻撃やメモリ改ざん型の攻撃に対して非常に効果的です。

2. アプリケーション制御（Attack Surface Reduction）

アプリケーション制御は、攻撃者が悪意のあるアプリケーションを実行することを防ぐ機能です。具体的には、信頼できるアプリケーションのみが実行できるようにすることによって、攻撃の可能性を大幅に減らします。

アプリケーション制御の方法

Exploit Guardでは、特定のアプリケーションやファイルの実行を制限するためのルールを設定できます。これにより、ユーザーがインストールしていないソフトウェアや不審なアプリケーションがシステム上で動作することを防ぎます。

3. サンドボックス機能

サンドボックス機能は、不審なコードが実行されても、隔離された仮想環境内でのみ動作させ、システム全体への影響を防ぐ機能です。攻撃者がシステムに侵入した場合でも、その活動をサンドボックス内に閉じ込めることができ、最終的にシステムへの被害を最小限に抑えます。

サンドボックスの利点

サンドボックス内で実行されるコードは、ホストOSや重要なファイルにアクセスできないため、実際のシステムに被害を及ぼさないという大きな利点があります。これにより、悪意のあるファイルがシステムに与えるリスクを大幅に減らせます。

4. コードインジェクション防止

コードインジェクション防止は、攻撃者が不正なコードを他のプロセスに挿入することを防ぐための機能です。この機能により、システム内の他のプログラムやプロセスに悪意のあるコードが埋め込まれるのを防ぐことができます。

コードインジェクション攻撃とは

コードインジェクションは、攻撃者が正常なプロセスに悪意のあるコードを追加して、システムを乗っ取る手法です。Exploit Guardは、このような攻撃を防止するために、プロセス間での不正なコード挿入を監視します。

これらの機能が組み合わさることで、Exploit Guardは強固な防御を提供し、システムをさまざまな攻撃から守ります。

PowerShellでExploit Guardを有効化する手順

Windows Defender Exploit Guardの各機能をPowerShellを使用して有効化する手順を説明します。PowerShellを使うことで、手動での設定作業を省略し、一括でセキュリティ設定を適用できるため、効率的に管理できます。

1. PowerShellを管理者権限で実行

まず、PowerShellを管理者権限で開きます。これにより、システムの設定を変更するための権限が得られます。管理者としてPowerShellを開くには、スタートメニューで「PowerShell」と入力し、右クリックして「管理者として実行」を選択します。

2. Exploit Guardの設定を確認

Exploit Guardの設定を確認するには、まず以下のコマンドを使用して、現在の設定状態をチェックします。

Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids

このコマンドは、現在有効になっている攻撃面削減ルール（Attack Surface Reduction）を表示します。

3. Exploit Guard機能を有効にする

次に、Exploit Guardの特定の機能を有効にするためのコマンドを実行します。以下は、代表的な機能を有効化するためのコマンドです。

• アプリケーション制御を有効化

Set-MpPreference -EnableControlledFolderAccess Enabled

このコマンドは、アプリケーション制御機能を有効にし、不正なアプリケーションからのアクセスを制限します。

• メモリ整合性保護を有効化

Set-MpPreference -EnableMemoryIntegrity $true

このコマンドは、メモリ整合性保護を有効にし、攻撃者がメモリに不正なコードを挿入するのを防ぎます。

• 攻撃面削減ルールを有効化

Set-MpPreference -AttackSurfaceReductionOnly Enabled

このコマンドは、攻撃面削減機能を有効化し、マルウェアの実行を事前に防ぐルールを適用します。

4. 設定変更後の確認

設定を変更した後、正しく適用されているか確認するために、再度以下のコマンドを実行して、設定内容を確認します。

Get-MpPreference

これにより、現在有効になっている設定が一覧として表示され、変更が正しく反映されているかを確認できます。

5. 設定の自動化

PowerShellのスクリプトを作成して、これらの設定変更を自動化することも可能です。たとえば、複数のPCに同じ設定を適用する場合、スクリプトを作成してリモートで実行することで、一括で設定を適用できます。

Invoke-Command -ComputerName "RemotePC" -ScriptBlock {
    Set-MpPreference -EnableControlledFolderAccess Enabled
    Set-MpPreference -EnableMemoryIntegrity $true
    Set-MpPreference -AttackSurfaceReductionOnly Enabled
}

これにより、リモートPCにも同様のセキュリティ設定が適用されます。

各機能の有効化コマンド例

PowerShellを使用して、Windows Defender Exploit Guardの個別機能を有効化するための具体的なコマンドをいくつか紹介します。これらのコマンドを実行することで、システムのセキュリティを強化することができます。

1. Controlled Folder Access（制御されたフォルダアクセス）の有効化

Controlled Folder Accessは、特定のフォルダへの不正アクセスを防ぐための機能です。この機能を有効にすると、信頼されたアプリケーション以外は、保護対象のフォルダにアクセスできなくなります。

Set-MpPreference -EnableControlledFolderAccess Enabled

このコマンドを実行すると、ユーザーの重要なデータが不正なアプリケーションやマルウェアから守られるようになります。

設定を無効化する場合

もし、Controlled Folder Accessを無効化したい場合は、以下のコマンドを実行します：

Set-MpPreference -EnableControlledFolderAccess Disabled

2. Attack Surface Reduction（攻撃面削減）の有効化

攻撃面削減（Attack Surface Reduction）は、悪意のあるアクティビティを未然に防ぐために、特定のルールを適用する機能です。この機能を有効化すると、マルウェアの侵入経路を減らすことができます。

Set-MpPreference -AttackSurfaceReductionOnly Enabled

このコマンドを実行すると、攻撃面削減のルールが適用され、システムへの不正アクセスが抑制されます。

設定を無効化する場合

攻撃面削減を無効にするには、以下のコマンドを使用します：

Set-MpPreference -AttackSurfaceReductionOnly Disabled

3. Memory Integrity（メモリ整合性）の有効化

Memory Integrityは、システムメモリに対する不正なアクセスやコード挿入を防ぐための機能です。この機能を有効にすると、攻撃者がメモリ内に悪意のあるコードを挿入することを防げます。

Set-MpPreference -EnableMemoryIntegrity $true

これにより、メモリ整合性が保護され、システムの脆弱性を利用した攻撃から守られます。

設定を無効化する場合

メモリ整合性保護を無効化する場合は、次のコマンドを使用します：

Set-MpPreference -EnableMemoryIntegrity $false

4. Exploit Protection（エクスプロイト保護）の有効化

Exploit Protectionは、アプリケーションやオペレーティングシステムが既知の脆弱性を悪用する攻撃を防ぐために設計された機能です。PowerShellでこれを有効にするには、次のコマンドを使用します。

Set-MpPreference -EnableExploitProtection $true

これにより、Exploit Protectionが有効化され、システムは攻撃に対して強化されます。

設定を無効化する場合

Exploit Protectionを無効化する場合は、以下のコマンドを使用します：

Set-MpPreference -EnableExploitProtection $false

5. Tamper Protection（改ざん防止）の有効化

Tamper Protectionは、Windows Defenderの設定を改ざんから守る機能です。この機能を有効にすることで、悪意のあるソフトウェアがWindows Defenderの設定を変更することを防ぎます。

Set-MpPreference -EnableTamperProtection $true

Tamper Protectionを有効化することで、セキュリティ設定が外部から変更されるリスクが減少します。

設定を無効化する場合

改ざん防止機能を無効化するには、以下のコマンドを使用します：

Set-MpPreference -EnableTamperProtection $false

これらのコマンドを使用することで、Windows Defender Exploit Guardの各機能を一括で管理し、システムのセキュリティを強化することができます。

Exploit Guardの設定を確認・調整する方法

PowerShellを使用して、Exploit Guardの設定を確認したり、必要に応じて調整したりする方法について解説します。これにより、現在有効になっているセキュリティ機能を把握し、必要に応じて変更を加えることができます。

1. 設定状態の確認

まず、PowerShellを使用して現在有効になっているExploit Guardの設定状態を確認できます。以下のコマンドを使うことで、各セキュリティ機能がどのように設定されているかをチェックできます。

• Exploit Guardの全体設定を確認

Get-MpPreference

このコマンドは、Windows Defenderの設定情報を表示し、Exploit Guardに関連する設定項目（例えば、Attack Surface ReductionやControlled Folder Accessなど）も確認できます。

• 特定の設定項目を確認

例えば、Attack Surface Reduction（攻撃面削減）の設定状態を確認する場合は、次のようにコマンドを実行します：

Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionOnly

これにより、攻撃面削減機能が有効か無効かが表示されます。

2. 設定の調整

必要に応じて、PowerShellを使って設定を調整することができます。以下では、代表的な設定の調整方法を紹介します。

• Controlled Folder Accessの有効化

Set-MpPreference -EnableControlledFolderAccess Enabled

このコマンドを実行することで、特定のフォルダに対する不正アクセスがブロックされ、マルウェアからデータを保護します。

• Memory Integrityの無効化

Set-MpPreference -EnableMemoryIntegrity $false

メモリ整合性保護を無効化する場合、このコマンドを実行します。通常は、システムのセキュリティを強化するために有効にしておくべきですが、トラブルシューティングや互換性の問題で無効化が必要な場合もあります。

• Exploit Protectionの有効化

Set-MpPreference -EnableExploitProtection $true

このコマンドにより、既知の脆弱性を利用した攻撃を防止するためのExploit Protectionが有効になります。

3. 設定の適用後の確認

設定を変更した後、再度コマンドを実行して設定が正しく適用されたかを確認します。変更後に設定が反映されていることを確実にするため、以下のコマンドを実行して再度チェックします。

Get-MpPreference

これにより、設定内容が最新の状態で反映されているかを確認できます。

4. リモートPCでの設定確認と調整

PowerShellを使用すると、リモートPCに対しても設定の確認・調整を行うことができます。リモートで設定を変更するためには、次のようにInvoke-Commandを使ってリモートPCにコマンドを送信します。

Invoke-Command -ComputerName "RemotePC" -ScriptBlock {
    Get-MpPreference
}

このコマンドは、リモートPCの設定情報を表示し、必要に応じて変更することができます。リモート操作を行う際は、リモートPCに対して管理者権限が必要となる点に注意してください。

5. 自動化スクリプトによる一括設定変更

もし、複数のPCに対して同じ設定を適用したい場合、PowerShellスクリプトを作成して一括で設定を変更することも可能です。以下は、複数のPCに対してExploit Guardの設定を一括で有効化するスクリプト例です。

$computers = @("PC1", "PC2", "PC3")
$scriptblock = {
    Set-MpPreference -EnableControlledFolderAccess Enabled
    Set-MpPreference -EnableMemoryIntegrity $true
    Set-MpPreference -EnableExploitProtection $true
}

Invoke-Command -ComputerName $computers -ScriptBlock $scriptblock -Credential (Get-Credential)

このスクリプトを実行すると、PC1, PC2, PC3の各PCに対して、指定したセキュリティ設定を一括で適用できます。

Exploit Guardの設定を元に戻す方法

Windows Defender Exploit Guardの設定を変更した後、必要に応じて元に戻す方法について説明します。セキュリティ設定の変更がシステムに不具合を引き起こしたり、パフォーマンスに影響を与えた場合などに、元の設定に戻す方法を知っておくことは非常に重要です。

1. Exploit Guard設定をデフォルトに戻す

PowerShellを使って、Exploit Guardの設定をデフォルトの状態に戻すことができます。デフォルト設定は、通常、セキュリティを最大限に強化するように設定されています。以下のコマンドを実行することで、設定を初期状態に戻すことができます。

• Controlled Folder Accessをデフォルトに戻す

Set-MpPreference -EnableControlledFolderAccess Disabled

このコマンドを実行すると、Controlled Folder Accessが無効になり、デフォルトの設定に戻ります。通常、フォルダアクセスの制御が必要ない場合にこの設定を戻します。

• Memory Integrityをデフォルトに戻す

Set-MpPreference -EnableMemoryIntegrity $false

このコマンドにより、メモリ整合性保護を無効化します。デフォルトではこの機能は無効化されていることが多いため、システム互換性の問題で無効化する場合があります。

• Exploit Protectionをデフォルトに戻す

Set-MpPreference -EnableExploitProtection $false

Exploit Protectionを無効にすることで、デフォルトの状態に戻します。通常、これは一部のアプリケーションの動作に影響を与える場合に実行されます。

2. 特定のセキュリティ機能を個別に元に戻す

すべての設定をデフォルトに戻すのではなく、特定の機能だけを元に戻したい場合、各機能の設定を個別に変更することもできます。

• Attack Surface Reductionの無効化

Set-MpPreference -AttackSurfaceReductionOnly Disabled

このコマンドを使用すると、攻撃面削減（Attack Surface Reduction）が無効になり、デフォルト設定に戻ります。

3. リモートPCで設定を元に戻す

リモートPCでも同様の手順でExploit Guardの設定を元に戻すことができます。リモートPCに対して設定を変更するためには、Invoke-Commandを使用してコマンドを送信します。

Invoke-Command -ComputerName "RemotePC" -ScriptBlock {
    Set-MpPreference -EnableControlledFolderAccess Disabled
    Set-MpPreference -EnableMemoryIntegrity $false
    Set-MpPreference -EnableExploitProtection $false
} -Credential (Get-Credential)

これにより、指定したリモートPCの設定が元に戻されます。リモートPCへの操作を行う場合は、管理者権限を持つアカウントで実行する必要があります。

4. 設定変更をログで確認

設定を戻した後に、変更内容が正しく適用されたかどうかを確認するため、ログを確認することができます。以下のコマンドを使って、現在の設定を再確認します。

Get-MpPreference

このコマンドを実行することで、現在有効になっているセキュリティ設定が表示され、設定が元に戻ったことを確認できます。

5. グループポリシーやレジストリでの設定復元

場合によっては、PowerShellだけでなく、グループポリシーやレジストリ設定を直接変更することで、Exploit Guardの設定を元に戻すことができます。これらの方法は、より高度な操作が必要となる場合がありますが、システムの設定を完全にリセットするためには有効な手段です。

• グループポリシーで設定をリセットする
  グループポリシーエディタ（gpedit.msc）を使用して、Exploit Guardに関連するポリシー設定をデフォルトに戻すことができます。
• レジストリで設定をリセットする
  レジストリエディタ（regedit）を使用して、Windows Defenderの設定を手動で変更し、デフォルトの値に戻すことも可能です。