Windows 10はEMETに頼らずとも安全？：山市良のうぃんどうず日記（58）（2/2 ページ）

» 2016年02月17日 05時00分公開

[山市良，テクニカルライター]

EMET 5.5の新機能は？

　EMETの機能詳細とEMET 5.5における改善点や新機能については、以下のユーザーガイド（英語）で確認できます。これまでの慣例に従うなら、間もなく日本語版のユーザーガイドも提供されるでしょう。

Enhanced Mitigation Experience Toolkit（EMET）5.5 User Guide［英語］（Microsoft Download Center）

　「Windows 10のサポート」は、EMET 5.5の最も大きな変更点でしょう。Windows 10が正式にリリースされてから半年以上が経過しましたが、ようやくWindows 10にEMETの正式版を導入できるようになりました。この他の新機能として、2点だけピックアップします。

　1つは、EMETのGUI（Graphical User Interface）を利用した「グループポリシーオブジェクト（GPO）」の編集機能の追加です。これは、グループポリシーを使用してEMETの設定をクライアントPCに配布するのを支援する機能になります。

　これまでもEMETの設定は、管理用テンプレート「EMET.admx」および「EMET.adml」（EMETのインストール先の「Deployment\Group Policy Files」フォルダに存在）を使用して、グループポリシーで配布することができました。新機能を利用すると、EMETのGUIを使用してGPOを編集できるため、ローカルコンピュータのEMETの動作環境をカスタマイズするのと同じ方法で複雑な設定を含むGPOを準備できるようになります（画面3）。

画面3　管理者はEMET GUIを使用してGPOを編集し、ドメインに展開することができる

　もう1つの新機能は、Windows 10上のEMET 5.5でのみ利用できる「Block Untrusted Fonts（信頼されていないフォントのブロック）」緩和策の追加です。これは、不正なフォントファイルを使用した攻撃からユーザーを保護する機能ですが、EMET 5.5が提供するセキュリティ機能というわけではありません。以下のドキュメントで説明されているように、この機能はレジストリで有効化および構成できるWindows 10標準のセキュリティ機能になります。

Block untrusted fonts in an enterprise［英語］（Microsoft TechNet）

　EMET 5.5は、Windows 10に搭載されたこの新しいセキュリティ機能を、EMET GUIやグループポリシーを使用して、システム全体またはアプリケーションごとに有効化できるようにします。

Windows 10はEMET 5.5に頼らずとも安全？

　Windows 10の新しい標準Webブラウザである「Microsoft Edge」は、EMET 5.5による保護の対象外です。つまり、EMET 5.5を導入しても、していなくても、Microsoft EdgeによるWebブラウジングのセキュリティに影響はないということです。Microsoft Edgeの開発目的の1つはセキュリティの強化であり、ActiveX非対応、サンドボックス化による隔離など、Microsoft Edge自体に攻撃緩和策が実装されています。

　EMET 5.5のリリースをアナウンスする公式ブログでは、以下のように説明されています。

Windows 10には、Device Guard, Control Flow Guard（制御フローガード）, AppLockerといった、EMETと同じかあるいはより良い緩和策が既に含まれています。

EdgeにはEMETの緩和策は適用できません。Edgeには既に必要とされるサンドボックスなどの攻撃緩和策が含まれているためです。

EMET 5.5 リリースしました（TechNet Blogs > 日本のセキュリティチーム）

　これだけを読むと、Windows 10にEMET 5.5を導入した方がよいのか、導入しなくてもWindows 10のセキュリティ機能で十分なのか迷ってしまうかもしれません。

　少なくとも、Microsoft Edgeについては、EMET 5.5を導入してもしなくても、そのセキュリティに違いはないでしょう。

　「Device Guard」はWindows 10の新しいセキュリティ機能ですが、Windows 10 Enterpriseエディションに搭載される機能です。また、UEFI バージョン2.3.1ベースのPCで、セキュアブート、Intel VT-xまたはAMD-V、SLAT（Second Level Address Translation）への対応が必須、TPM（Trusted Platform Module）とIOMMU（Input/Output Memory Management Unit）を推奨など、利用可能なハードウェアは限定されます。この機能は、個人で利用できるような機能ではありません。

　「Control Flow Guard」はWindows 8.1（2014年11月の更新に含まれる）から利用可能なセキュリティ機能ですが、アプリケーションやDLLがControl Flow Guardをサポートするようにコンパイルされている必要があります。

　「AppLocker」はWindows 7以降で利用できるアプリケーション制御（許可／禁止／監査）機能ですが、AppLockerを導入するにはActive Directoryドメイン環境と、WindowsのEnterpriseエディションが必要です。この機能もまた、個人向けのセキュリティ機能ではありません。

　これらのセキュリティ機能について、さらに情報を得たければ、以下のドキュメントや記事が参考になるでしょう。

Device Guardの概要（マイクロソフト TechNet）
物理マシンとユーザーのための「デバイスガード」と「資格情報ガード」――仮想化ベースのセキュリティ（その1）（連載：vNextに備えよ！次期Windows Serverのココに注目第34回）
Control Flow Guard［英語］（Microsoft Developer Network）
AppLockerの概要（マイクロソフト TechNet）

　こういったことを踏まえて、かつEMET導入の副作用を承知した上で、Windows 10にEMET 5.5を導入するか、しないかを判断してください。EMETは、誰でも導入した方がよいと積極的にお勧めできるようなツールでは決してありません。

「山市良のうぃんどうず日記」バックナンバー

筆者紹介

山市良（やまいちりょう）

岩手県花巻市在住。Microsoft MVP：Cloud and Datacenter Management（Oct 2008 - Sep 2016）。SIer、IT出版社、中堅企業のシステム管理者を経て、フリーのテクニカルライターに。マイクロソフト製品、テクノロジーを中心に、IT雑誌、Webサイトへの記事の寄稿、ドキュメント作成、事例取材などを手掛ける。個人ブログは『山市良のえぬなんとかわーるど』。

Windows標準の「トラブルシューティングツール」で手軽にWindows Updateの更新トラブルを解決する
パッチの検出／適用時にしばしば生じるWindows Updateのトラブル。まずはWindowsに標準装備されていて手軽に実行できる「トラブルシューティングツール」を使ってみよう。操作手順と注意点を解説。
Windows Updateの更新トラブルをダウンロード版トラブルシューティングツール（旧Fix it）で解消する
パッチ（更新プログラム）の検出／適用時にしばしば生じるWindows Updateのトラブル。解決するには無償の「Windows Updateトラブルシューティングツール」が便利だ。そのダウンロード版の使い方と、Windows標準装備版との違いを解説。
Windows Update適用後の自動再起動を抑制する
Windows Updateによる更新プログラムの自動適用時に、システムの再起動も自動的かつ強制的に実行された結果、作業中のデータが失われてしまうことがある。自動再起動を抑制して、こうした悲惨な「事故」を防ぐ方法とは？
Windows 10でWindows Updateによる「更新」はどう変わったのか？
Windows 10では機能の追加や更新のスキームが変わり、短い期間でマイナーアップデートを繰り返すようになる。その一方で企業ユーザーのために、極力機能を追加／変更しないエディションもサポートする。
Windows 10は謎だらけ――わたしも知らないWindows Updateの今後
Windows 10の正式リリース日「7月29日」まであと数日。しかし、まだまだ明らかになっていない謎の部分があります。今回は、その謎の一つ、「Windows Update」について筆者が調査した結果を報告します。
Windows Updateの有効／無効の自動切り替えで、トラブルを未然に防ぐ
6月末、とあるPCメーカーが自社製PCの一部のモデルで「Windows Update」をユーザーに無断で無効化していたという問題が発覚しました。メーカーが「ユーザーに無断で無効化する」のはダメですが、企業のIT管理者の管理下にあるPCのWindows Updateを一時的に無効化するのは“アリ”ですよね。