エクスプロイト保護を有効にする

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

エクスプロイト保護は、オペレーティングシステムや個々のアプリに緩和手法を適用し、Windowsデバイスをエクスプロイトを利用するマルウェアから守ります。セキュリティ管理者は、Microsoft Intune、モバイルデバイス管理(MDM)、Microsoft Configuration Manager、グループポリシー、PowerShell、またはWindows セキュリティアプリを使用して、システムレベルおよびアプリレベルの緩和策を設定できます。

WindowsはWindows 10およびWindows 11でデフォルトでいくつかのエクスプロイト保護緩和策を有効にしています。各軽減策をオン・オフにするか、デフォルトの値を使えます。一部の緩和策は監査モードをサポートしており、通常のデバイス使用に影響を及ぼさずに互換性を評価できます。

エクスプロイト保護緩和設定をXMLファイルとしてエクスポートし、その設定を他のデバイスに展開できます。

重要

エクスポートアドレスフィルタリング(EAF)およびインポートアドレスフィルタリング(IAF)は廃止されており、.NET Framework 2.0や3.5アプリケーションとは互換性がありません。

前提条件

エクスプロイト保護を展開する前に、以下の監視およびテスト機能を準備してください:

アプリケーションのクラッシュ(Event ID 1000またはEvent ID 1001)やハング(Event ID 1002)の監視。
フルユーザーモードダンプの収集。
Control Flow Guard(CFG)でコンパイルされたアプリのインベントリ。バイナリにCFGデータが含まれているかを検証するには、 dumpbin /headers /loadconfigを使用します。
広範な展開前にエクスプロイト保護の変更をテストするためのデバイスグループです。

警告

テストなしにエクスプロイト対策を展開すると、アプリの互換性問題やユーザーの生産性への影響を招く可能性があります。

安全なデプロイプラクティス

安全な導入手順(SDP)は、アプリの互換性やユーザーの生産性問題のリスク管理に役立ちます。まずは少数のWindowsデバイスから始め、保護したいアプリで対策をテストしてみてください。影響を受けたアプリの互換性のない緩和策を無効にし、テストを繰り返します。

ポリシーの検証後、IT管理者、セキュリティ管理者、ヘルプデスクスタッフを含むユーザー受容テスト(UAT)グループに展開します。各グループの結果に基づいて段階的に展開を拡大しましょう。

Microsoft Intuneを使用して Exploit Protection を有効にする

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロンサブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。詳細については、「Microsoft Intune のライセンス」を参照してください。

Microsoft Intuneでエクスプロイト保護を設定するには、エンドポイントセキュリティの攻撃面削減ポリシーを使用してください。詳細な手順については、「エンドポイントセキュリティポリシーの作成」または「既存ポリシーの変更」(リンクはIntuneドキュメント内の新しいタブを開くリンク)をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

ポリシーの種類: 管理> に移動し、エンドポイントセキュリティ | 概要 ページで https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overviewポリシーの作成を選択します。
[プラットフォーム]: [Windows] を選択します。
プロファイル: エクスプロイト保護を選択してください。

ポリシーを作成または変更する際は、設定タブの以下の特定設定をご利用ください:

Exploit guard セクションの エクスプロイト保護の設定: トグルを 構成済み にスライドします。
表示されたボックスの隣で Openファイル を選択し、その後、エクスプロイト保護用のXMLファイルを見つけて選択します。

Exploit Protection XML ファイルの作成の詳細については、「Exploit Protection 構成のインポート、エクスポート、デプロイ」を参照してください。

Microsoft Intuneでの攻撃面の縮小ポリシーの詳細については、「Intuneのエンドポイントセキュリティに対する攻撃面の縮小ポリシー」を参照してください。

MDMソリューションを使用してエクスプロイト保護を有効にします

ポリシー構成サービスプロバイダー(CSP)は、組織がMicrosoft Intuneだけでなく、あらゆるMDMソリューションを使ってWindowsデバイス上でポリシーを設定できるようにします。詳細については、「ポリシー CSP」を参照してください。

ExploitProtectionSettings CSPを用いて、以下の設定でエクスプロイト保護を設定できます。

OMA-URI パス: ./Device/Vendor/MSFT/Policy/Config/ExploitGuard/ExploitProtectionSettings
データ型: 文字列
価値:あなたのエクスプロイト保護XMLファイルの内容。

システムレベルの設定はデバイスの再起動が必要です。アプリレベルの設定は再起動を必要としません。 XML ファイルの作成については、「Exploit Protection の設定のインポート、エクスポート、および展開」を参照してください。

Microsoft Configuration Managerを使用して Exploit Protection を有効にする

Microsoft Configuration Managerでは、Windows Defender Exploit Guardポリシーでエクスプロイト保護を設定してください。手順については「エクスプロイトガードポリシーを作成・展開する」をご覧ください。

ポリシーを作成する際は、以下の具体的な設定をご利用ください:

エクスプロイトガードコンポーネント: エクスプロイト保護を選択します。
エクスプロイト保護XML:「 ブラウズ」を選び、システムレベルおよびアプリレベルの緩和設定を含むXMLファイルを選択してください。

警告

デバイス間で転送する際は、エクスプロイト保護のXMLファイルを必ず安全に保管してください。インポート後はファイルを削除するか、安全な場所に保存してください。

グループポリシーを使用して Exploit Protection を有効にする

グループポリシーを通じてエクスプロイト保護を設定するには、以下の手順に従ってください:

ドメイン環境では、グループポリシー管理コンピュータのグループポリシー管理コンソール(GPMC) を開きます。
GPMCコンソールツリーで、編集したいグループポリシーオブジェクト(GPO)を含むフォレストとドメイン内の グループポリシーオブジェクト を展開します。
GPO を右クリックし、[編集] を選択 します。
グループポリシー管理エディターで、コンピュータ設定>管理テンプレート>Windowsコンポーネント>Microsoft Defenderエクスプロイトガード>エクスプロイト保護へ進みます。

Note

Windows 10、バージョン2004(2020年5月)以前のグループポリシーパスでは、Microsoft Defender Exploit Guardの代わりにWindows Defender Exploit Guardが使われている可能性があります。どちらの名前も同じポリシーの保存場所を指します。
エクスプロイト保護の詳細パネルで、「共通のエクスプロイト保護設定セット」を以下のいずれかの方法で開いてください。
- 設定をダブルクリックします。
- 設定を右クリックし、[編集] を選択 します。
- 設定を選択し、[ アクション>編集] を選択します。
開いた設定ウィンドウで、次のオプションを構成します。
1. [有効] を選択します。
2. オプションセクションで、ローカルパス、ユニバーサルネーミングコンベンション(UNC)パス、またはエクスプロイト保護XMLファイルのURLを入力します。
完了したら、[ OK] を選択します。

ヒント

ローカルグループポリシーエディター (gpedit.msc) を使用して、個々のデバイスでローカルにグループポリシーを構成することもできます。同じ経路に進みます:コンピュータ設定>管理テンプレート>Windowsコンポーネント>Microsoft Defenderエクスプロイトガード>エクスプロイト保護。

PowerShellを使ってエクスプロイト保護を設定する

Get-ProcessMitigationおよびSet-ProcessMitigationのコマンドレットを使って、エクスプロイト保護の緩和策をレビュー・設定してください。コマンドレットには、管理者として実行 を選択して開いた PowerShell ウィンドウ、つまり昇格された PowerShell セッションが必要です。

個別の緩和策の設定に関するガイダンスについては、「 Configure and audit exploit protection mitigations(脆弱性保護の緩和策の設定および監査)」を参照してください。

プロセスの緩和策:
- 特定の実行ファイル名に対してレジストリに保存された緩和ポリシーを確認するには、以下の構文を使用します。
```
Get-ProcessMitigation -Name <ProcessPathAndFilename.exe>
```
  例えば次が挙げられます。
```
Get-ProcessMitigation -Name testing.exe
```
  実行ファイルの実行中のインスタンスから現在の設定を取得するために RunningProcesses パラメータを追加します。設定されていない緩和策はステータス値がNOTSETとなり、Windowsシステムレベルの値を適用します。
- 特定のプロセスに対して緩和策を設定するには、以下の構文を使用します。
```
Set-ProcessMitigation -Name <ProcessPathAndFilename.exe> [-Remove] <-Enable | -Disable> Mitigation1,Mitigation2,...MitigationN
```
  この例はATLのThunkエミュレーションによるデータ実行防止(DEP)を可能にし、指定されたプロセスの子プロセス作成をブロックします。
```
Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP,EmulateAtlThunks,DisallowChildProcessCreation
```
  指定されたアプリで同じ緩和策を無効にするには、-Enableではなく-Disableを使います。
- この例は、アプリ固有のDEPオーバーライドを削除し、システムレベルの値を復元しています:
```
Set-Processmitigation -Name c:\apps\lob\tests\testing.exe -Remove -Disable DEP
```
システムレベルの緩和策:
- システムレベルで設定されたプロセス緩和策を確認するには、以下の構文を使用します。
```
Get-ProcessMitigation -System
```
  ステータス値NOTSETは、Windowsが緩和のデフォルト値を適用することを意味します。
  
  各システムレベルの緩和策のデフォルト値はWindows セキュリティアプリで確認できます。
- システムレベルで緩和策を有効または無効化するには、以下の構文を使用します。
```
Set-Processmitigation -System [-Remove] <-Enable | -Disable> Mitigation1,Mitigation2,...MitigationN
```
  この例はシステムレベルでDEPを可能にします:
```
Set-Processmitigation -System -Enable DEP
```
  軽減を無効にするには、-Enableではなく-Disableを使いましょう。
- この例はシステムレベルのDEPオーバーライドを除去し、デフォルト値を復元しています:
```
Set-ProcessMitigation -System -Remove -Disable DEP
```

Windows セキュリティアプリを使用して Exploit Protection を有効にする

個々のデバイスでWindows セキュリティアプリを使って、エクスプロイト対策を設定できます。

Windows セキュリティアプリで Exploit Protection の軽減策を構成するには、次の手順に従います。

デバイスのWindowsセキュリティアプリで「App & ブラウザコントロール」に行ってください。
アプリ&ブラウザのコントロールペインの「エクスプロイト保護」セクションで「エクスプロイト保護設定」を選択してください。
開く エクスプロイト保護 のペインには2つのタブがあります:
- プログラム設定 タブ:緩和策を適用したいアプリを選択します。
  - 構成するアプリが既に一覧表示されている場合は、それを選択し、[編集] を選択します。
  - アプリがリストにない場合は、タブ上部で Add programを選択してカスタマイズ し、その後アプリの追加方法を選択してください:
    - プログラム 名で追加 を選択すると、その名前の実行中のプロセスに緩和措置を適用します。ファイル名とファイル拡張子(test.exe)またはファイルのフルパス(c:\test\test.exe)を指定することで、その特定のファイルに限定できます。完了したら、[追加] を選択します。
    - ファイルを見つけて選択するには「 正確なファイルパスを選ぶ」 を選びます。
  A プログラム設定:<app>ウィンドウが開き、適用可能な緩和策が表示されます。 システム設定を上書きする を選択し、次にその緩和策で使用できる個別の設定を構成します。緩和策が監査モードをサポートしている場合は、緩和策を強制せずに評価するために 「監査のみ 」を選択してください。
  
  完了後適用を選択します。プロセスまたはアプリを再起動する必要がある場合、または Windows を再起動する必要がある場合は、通知されます。
  
  設定したいすべてのアプリと緩和策について、アプリレベルの設定を繰り返してください。
- システム設定 タブ:設定したい緩和策を見つけ、以下のいずれかを指定します。アプリ固有の緩和策オーバーライドがないアプリは、対応するシステムレベル設定を使用します。
  - デフォルトでオン:緩和策はアプリ固有のオーバーライドがないアプリに対して 有効にしています 。
  - デフォルトでオフ:アプリ固有のオーバーライドがないアプリでは緩和策が無効になります。
  - デフォルト(オン |オフ)を使います:緩和策はWindowsが設定するデフォルト設定によって有効または無効にされます。各緩和策では、Use default ラベルの後に既定値として On または Off が指定されます。
  設定したいすべての緩和策について、システムレベルの設定を繰り返します。完了したら、適用を選択します。

各緩和策については、システム設定を上書きする が選択されている場合にのみ、プログラム設定 タブの構成が優先されます。 オーバーライドシステム設定を選択していない場合、アプリはシステム設定タブの設定を使用します。システムレベルの設定がデフォルト使用(オン |オフ)の場合、括弧内に示されているWindowsのデフォルトが適用されます。

Exploit Protection の通知をカスタマイズする

ルールがトリガーされ、アプリまたはファイルがブロックされたときの通知をカスタマイズする方法については、「Windows セキュリティ」を参照してください。

Exploit Protection の軽減策を削除する

Exploit Protection の軽減策をリセット (元に戻すまたは削除) するには、「 Exploit Protection の軽減策をリセットまたは削除する」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-09-02