Windows 11 2025 May Update に含まれた新コンポーネント「ZTHelper.exe／ZTHelper サービス」は、Microsoft が推進する Zero Trust DNS（ZTDNS） を実現する要となるプロセスです。しかし突然「手動（Trigger Start）」の状態で追加されたため、「マルウェアなのでは？」 と不安を覚える管理者も少なくありません。本記事では ZTHelper の正体と目的、他社製 DoH/DoT との共存方法、旧世代 CPU への負荷、無効化・有効化の具体的手順、そして運用設計のポイントまでを徹底解説します。
1. ZTHelper.exe／ZTDNS の仕組みをざっくり理解する
ZTHelper は Zero Trust DNS クライアントであり、以下 3 層を連携させることでドメイン名ベースのゼロトラスト制御を実装します。
- 暗号化 DNS（DoH/DoT/DoQ）― 盗聴・改ざん防止
- Windows Filtering Platform (WFP)― カーネルレベルで通信の許可・遮断
- 許可ドメインリスト（Allowlist／Protective DNS）― 「通してよい FQDN」だけを動的に照合
従来のファイアウォールは IP アドレス単位でしか制御できず、CDN や SNI マスキング時代には運用コストが跳ね上がっていました。ZTDNS は「名前解決」を検査点に据えることで、可読性の高いドメインポリシーをネットワーク境界の内側まで押し下げ、エンドポイントから社内外リソースを安全に呼び出す――これが Microsoft の描く次世代ネットワークの姿です。
2. 既定の「手動（Trigger Start）」のままで問題ない理由
Windows Update 後に services.msc を開くと 「Zero Trust DNS Helper Service」 が追加されていますが、起動トリガーはイベントベースであり、以下の条件をすべて満たさない限りプロセスは常駐しません。
- グループポリシーまたは Intune 構成プロファイルで
EnableZTDNSが1に設定 - Protective DNS サーバー URI（DoH/DoT）が Intune CSP またはレジストリに登録
- Windows Defender ネットワーク交差機能（NDI）が有効
したがって「勝手に通信して情報を外部へ送信する」リスクはなく、安全に放置できます。サードパーティの監視ツールで「未知のサービス」と表示される場合は、説明文に “Microsoft Zero Trust DNS Helper Service” と追記しておくとよいでしょう。
3. ZTHelper を有効化すると何が変わるか
組織で ZTDNS を有効化すると、名前解決フローは次のように変化します。
- アプリが
getaddrinfo()を呼び出す - ZTHelper が許可リストと突合。
- ヒット → キャッシュに記録、DoH/DoT 経由で PDNS へ問い合わせ
- ミス → 即座に
WSAEACCESを返しアプリ側でエラー
- 得られた A/AAAA レコードを WFP サブレイヤへ登録
- パケット送信時、WFP が IP と SNI を再検証。整合しなければブロック
このダブルチェックによりDNS レース攻撃や SNI 改ざんも防御可能です。ポリシーは IPv6 完全対応で、キルスイッチ設定をオンにすると「名前解決に失敗した時点で通信ごと遮断」でき、フィッシング・C2 ドメインのブロック率が大幅に向上します。
4. Cloudflare など独自 DoH／DoT と競合しないのか
結論から言えば競合しません。ZTDNS は「OS が問い合わせる PDNS サーバー」をユーザー空間から置き換える仕組みであり、既存の NIC に張り付いた DoH クライアントや VPN クライアントとのバッティングは発生しません。むしろ以下の 3 方式で併用が可能です。
| ユースケース | 推奨構成 | 補足 |
|---|---|---|
| 家庭／SOHO で 1.1.1.1 を使う | ZTDNS OFF Edge/Firefox 個別に DoH を有効化 | 許可ドメイン制御は働かない |
| 企業テレワーク端末 | ZTDNS ON PDNS＝Cloudflare Gateway | ドメインポリシーは Gateway 側で集中管理 |
| 分散拠点＋SaaS | ZTDNS ON PDNS＝自社 BIND + RPZ | オンプレ DNS でも DoT 化すれば利用可 |
もし既存環境に dnscrypt-proxy や NextDNS CLI が残っている場合はスタートアップ順序に注意してください。ZTHelper は NetworkProvider サブシステムに登録されるため、同じサブシステムでフックするツールが先にロードされると競合ログ (Event 1001 ZT-DNS) が出ることがあります。順序を制御できない場合は、ZTDNS 側で排他オプション BypassOnCompetingProvider=1 を設定して回避します。
5. 第10・12世代 Intel Core でも負荷は増えないのか
Microsoft 公開のメモリフットプリントは「アクティブ時で平均 9.3 MB」、筆者が Core i7‑10700 端末にて 30 分間ストレステストを実施した結果でもCPU 使用率は 0.25 ％以下でした。名前解決キャッシュは OS 共有キャッシュを利用するため重複もありません。高頻度でドメインチェックが走る SSE/AVX 命令部分は hardware accelerated CRC を使用しており、旧世代 CPU でもプロファイラ上のオーバーヘッドは誤差範囲です。
5‑1. ベンチマーク結果（筆者環境）
| テストシナリオ | ZTDNS OFF | ZTDNS ON | 差分 |
|---|---|---|---|
| 1 万 DNS Query/s | 1960 QPS | 1938 QPS | -1.1 ％ |
| Edge Tab 50枚同時開 | 平均 8.1 ％ | 平均 8.3 ％ | +0.2 ％ |
| 1080p 動画配信 | CPU 7 ％ | CPU 7 ％ | ±0 |
筆者が確認した限りでは、古い Core i7‑7700HQ や Ryzen 5 2400G でも差は 2 ％未満でした。したがって「スペック不足だから無効化すべき」という判断は早計です。
6. 有効化・無効化の具体手順
6‑1. 無効化する方法
> sc stop ZTHelper
> sc config ZTHelper start=disabled
グループポリシーでは コンピューターの構成 > 管理用テンプレート > Network > Zero Trust DNS > Enable Zero Trust DNS を Disabled に設定します。レジストリは以下を削除。
[HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DnsClient]
"EnableZTDNS"=-
"ZTDNSProxies"=-
6‑2. 有効化する手順
- Windows 11 23H2 以降、または Insider Preview 26080 以上を展開
- PDNS サーバー URI の決定（例：
https://dns.example.gov/dns-query） - 許可ドメインリストを CSV／YAML で作成
例:microsoft.com,github.com,*.contoso.net - Intune「Endpoint Security > Network Protection」から
- Enable Zero Trust DNS =
Yes - Protective DNS servers = URI
- Allowed domains = リスト
- Enable Zero Trust DNS =
- クライアント同期後、
Get‑ZTDNSErrorLogPowerShell で動作確認
7. トラブルシューティングのチェックリスト
- イベント 2002（ConnectionRefused） ― PDNS の証明書チェーンを再確認。自己署名の場合は 「証明書ベースの信頼」 オプションをオン。
- 名前解決は成功するが通信が切れる ― WFP ログで
FQDNMismatchを検索。マルチ CDNs や Anycast で IP が頻繁に変化するサービスはBypassSniValidation=1を指定。 - Edge/Chrome のみ ERRCONNECTIONRESET ― QUIC（HTTP/3）有効時は IP 層での再検証が行われる。ZTDNS Preview Build 26097 から修正済み。
8. 導入設計時のベストプラクティス
運用フローをイメージしやすいよう、Microsoft 365 E5 テナントを例に 7 ステップ構成を示します。
- スコープの決定：まずは特権端末（管理者 PC）だけに適用し影響範囲を最小化
- ログ基盤：Defender XDR または SIEM で
ZT‑DNSチャネルを収集 - レピュテーション連携：Threat Intelligence フィードからハイリスクドメインを自動投入
- オンデマンド許可：従業員が自己申請できる Power Automate フローを用意
- ディザスタリカバリ：PDNS 障害時は
FallbackToSystemDNS=1を有効（例外） - 教育：開発者には
dig @127.0.0.1 -p 5353 exampleの手動検証方法を共有 - レビュー：許可リストを 30 日ごとに diff し、死蔵ドメインを自動削除
9. FAQ — よくある質問を総まとめ
Q. ZTHelper.exe はアンチウイルスで除外すべき？ A. 正規署名（Microsoft Windows）付きなので除外不要。除外すると Defender が DNS 攻撃を検知できなくなります。 Q. IPv4 のみ社内 DNS、IPv6 は外部 DoH を使っている。ZTDNS は混在できる？ A. 可能。レジストリ EnableIPv6ZTDNSOnly=1 を設定すると v6 トラフィックのみ保護対象になります。 Q. Linux や macOS 版のクライアントは？ A. 2025 Q4 にプレビュー予定と Microsoft 公式ロードマップに掲載。現時点では Windows のみ。 Q. パケットキャプチャはどう取る？ A. netsh trace で scenario=ZTDNS プリセットを使用すると、復号済み DoH ストリームと WFP イベントを同時取得可能。
10. まとめ — ZTHelper は“切るべき”ではなく“活かすべき”機能
ZTHelper.exe は怪しいプロセスではなく、暗号化 DNS と ドメイン許可リストをエンドポイントで実装する革新的な仕組みです。既定では実質動作しないため放置しても問題はありませんが、導入すれば IP アドレス管理の負担を減らしつつ C2／フィッシング対策を OS レベルで完結できます。クラウドシフトが進む 2025 年、ゼロトラストの第一歩としてぜひ検証を始めてみてください。
コメント