Exploit Protection は、オペレーティング システムのプロセスおよびアプリに対して様々なエクスプロイト軽減策を自動的に適用します。 Exploit Protection のサポートは、Windows 10 のバージョン 1709、Windows 11、および Windows Server のバージョン 1803 で開始しました。
Exploit Protection は、Defender for Endpoint と併用した場合に非常に効果的です。Microsoft Defender Advanced Threat Protection では、通常のアラート調査シナリオの一環として Exploit Protection イベントとブロックに関する詳細なレポートが作成されます。
個々のデバイスで Exploit Protection を有効にして、グループ ポリシーを使用して XML ファイルを一度に複数のデバイスに配布することができます。
デバイスで軽減策が検出されると、通知がアクション センターに表示されます。 会社の詳細や連絡先情報を使用して通知をカスタマイズすることができます。 個別のルールを有効にすることで、この機能が監視するテクニックをカスタマイズすることもできます。
監査モードを使用すると、Exploit Protection を有効にした場合にそれが組織に与える影響を評価することもできます。
Enhanced Mitigation Experience Toolkit (EMET) の機能の多くは、エクスプロイト保護に含まれています。 実際には、既存の EMET 構成プロファイルを変換し、Exploit Protection にインポートすることができます。 詳細については、「Exploit Protection 構成のインポート、エクスポート、展開」を参照してください。
重要
現在 EMET を使用している場合は、EMET が 2018 年 7 月 31 日にサポート終了に達したことを確認することが重要です。 Windows 10 では、EMET を Exploit Protection で置き換えることを検討してください。
警告
一部のセキュリティ軽減テクノロジでは、一部のアプリケーションとの互換性の問題が発生する可能性があります。 運用環境またはネットワーク全体に構成を展開する前に、監査モードを使用して、対象となるすべての使用シナリオで Exploit Protection をテストする必要があります。
Microsoft Defender ポータルでエクスプロイト保護イベントを確認する
Defender for Endpoint では、アラート調査シナリオの一環としてイベントとブロックに関する詳細なレポートが作成されます。
Advanced Hunting を使用すると、Defender for Endpoint のデータに対してクエリを実行できます。 監査モードを使用している場合、Advanced Hunting 機能を使用すると、Exploit Protection の設定がお客様の環境に与える可能性がある影響を確認できます。
クエリの例を次に示します:
DeviceEvents
| where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'
エクスプロイト対策と高度なハンティング
Exploit Protection で使用できる高度なハンティング アクションタイプは次のとおりです。
| エクスプロイト対策の緩和策名 | エクスプロイトプロテクション - アドバンスドハンティング - アクションタイプ |
|---|---|
| 任意のコード ガード | ExploitGuardAcgAudited ExploitGuardAcgEnforced |
| 子プロセスを許可しない | ExploitGuardChildProcessAudited Exploit Guard によって子プロセスがブロックされました |
| エクスポート アドレス フィルター (EAF) | ExploitGuardEafViolationAudited ExploitGuardEafViolationBlocked |
| インポート アドレス フィルター (IAF) | Exploit Guard Iaf 違反監査済み ExploitGuardIafViolationBlocked |
| 整合性が低いイメージのブロック | ExploitGuardLowIntegrityImageAudited Exploit Guard により低整合性イメージがブロックされました |
| コードの整合性ガード | ExploitGuardNonMicrosoftSignedAudited Microsoft 署名なしの Exploit Guard はブロックされました |
| • 実行をシミュレートする (SimExec) • API 呼び出しの検証 (CallerCheck) • スタックの整合性を検証する (StackPivot) |
ExploitGuardRopExploitAudited ExploitGuardRopExploitBlocked |
| リモート画像をブロックする | ExploitGuardSharedBinaryAudited エクスプロイト ガードの共有バイナリはブロックされました |
| Win32k システムコールの無効化 | ExploitGuardWin32SystemCallAudited ExploitGuardWin32SystemCallBlocked |
Exploit Protection イベントを Windows イベント ビューアーで確認する
Windows イベント ログを確認することにより、Exploit Protection がアプリをブロック (または監査) する際に作成されるイベントを確認することができます。
| プロバイダー/ソース | イベント ID | 説明 |
|---|---|---|
| セキュリティ緩和策 | 1 | ACG の監査 |
| セキュリティ緩和策 | 2 | ACG の実施 |
| セキュリティ緩和策 | 3 | [Do not allow child processes] (子プロセスを許可しない) 監査 |
| セキュリティ緩和策 | 4 | 子プロセスのブロックを許可しない |
| セキュリティ緩和策 | 5 | [Block low integrity images] (整合性が低いイメージのブロック) 監査 |
| セキュリティ緩和策 | 6 | 整合性の低いイメージをブロック |
| セキュリティ対策 | 7 | [Block remote images] (リモート イメージのブロック) 監査 |
| セキュリティ緩和策 | 8 | [Block remote images] (リモート イメージのブロック) ブロック |
| セキュリティ緩和策 | 9 | [Disable win32k system calls] (win32k システム呼び出しの無効化) 監査 |
| セキュリティ緩和策 | 10 | [Disable win32k system calls] (win32k システム呼び出しの無効化) ブロック |
| セキュリティ緩和策 | 11 | コード整合性ガード監査 |
| セキュリティ緩和策 | 12 | コード整合性ガード ブロック |
| セキュリティ緩和策 | 13 | EAF の監査 |
| セキュリティ緩和策 | 14 | EAF の実施 |
| セキュリティ緩和策 | 15 | EAF+ の監査 |
| セキュリティ緩和策 | 16 | EAF+ の適用 |
| セキュリティ緩和策 | 17 | IAF の監査 |
| セキュリティ緩和策 | 18 | IAF の実施 |
| セキュリティ緩和策 | 19 | ROP StackPivot の監査 |
| セキュリティ緩和策 | 20 | ROP StackPivot の実施 |
| セキュリティ緩和策 | 21 | ROP CallerCheck の監査 |
| セキュリティ緩和策 | 22 | ROP CallerCheck の実施 |
| セキュリティ緩和策 | 23 | ROP SimExec の監査 |
| セキュリティ緩和策 | 24 | ROP SimExec の実施 |
| WER-Diagnostics | 5 | CFGブロック |
| Win32K | 260 | 信頼されていないフォント |
軽減策の比較
EMET で使用できる軽減策は、Windows 10 (バージョン 1709 以降)、Windows 11、および Windows Server (バージョン 1803 以降) で、Exploit Protection の一部としてネイティブで提供されています。
このセクションの表では、EMET と Exploit Protection におけるネイティブの軽減策の提供状況およびサポートを示します。
| 軽減策 | exploit protection で提供 | EMET で提供 |
|---|---|---|
| 任意コード ガード (ACG) | はい | はい ”メモリ保護チェック" として |
| リモート画像をブロックする | はい | はい "ライブラリの読み込みチェック" として |
| 信頼されていないフォントのブロック | はい | はい |
| データ実行防止 (DEP) | はい | はい |
| エクスポート アドレス フィルター (EAF) | はい | はい |
| イメージに対してランダム化を強制する (必須 ASLR) | はい | はい |
| NullPage のセキュリティ軽減策 | はい Windows 10 および Windows 11 にネイティブで付属 詳しくは、「Windows 10 のセキュリティ機能を使用して脅威を軽減する」を参照してください |
はい |
| メモリ割り当てのランダム化 (ボトムアップ ASLR) | はい | はい |
| 実行をシミュレート (SimExec) | はい | はい |
| API 呼び出しの検証 (CallerCheck) | はい | はい |
| 例外チェーンの検証 (SEHOP) | はい | はい |
| スタックの整合性の検証 (StackPivot) | はい | はい |
| 証明書信頼 (構成可能な証明書のピン留め) | Windows 10 および Windows 11 には、エンタープライズ証明書のピン留めが付属 | はい |
| ヒープスプレーの割り当て | 新しいブラウザー ベースの悪用には効果がありません。新しい軽減策の方が保護が強化されています 詳しくは、「Windows 10 のセキュリティ機能を使用して脅威を軽減する」を参照してください |
はい |
| 整合性が低いイメージのブロック | はい | 不要 |
| コードの整合性ガード | はい | 不要 |
| 拡張ポイントの無効化 | はい | 不要 |
| Win32k システムコールの無効化 | はい | 不要 |
| 子プロセスを許可しない | はい | 不要 |
| インポート アドレス フィルター (IAF) | はい | 不要 |
| ハンドルの使用状態の検証 | はい | 不要 |
| ヒープの整合性の検証 | はい | 不要 |
| イメージ依存関係の整合性の検証 | はい | 不要 |
注:
EMET で使用できる高度な ROP 緩和策は、Windows 10 および Windows 11 では ACG によって置き換えられており、プロセスに対する ROP 緩和策を有効にすると、EMET のそのほかの高度な設定も既定で有効になります。 Windows 10 が既存の EMET テクノロジをどのように使用しているかについて詳しくは、「Windows 10 のセキュリティ機能を使用して脅威を軽減する」を参照してください。