Defender Device Guard

Microsoft Defender Device Guard (Device Guard)の設定は、デバイスグループのサービスをサポートする仮想化ベースのWindowsセキュリティ機能を有効にします。

Device Guard 設定の構成

次の表では、Windows デバイスに対して設定できる Device Guard の設定について説明します。
ポリシー設定 説明 サポートされるデバイス
Defender Device Guard の構成 この設定を有効にすると、管理者はWindowsデバイス上のシステムの整合性と資格情報を保護する設定を構成できるようになります。 Windows 教育およびエンタープライズ
クレデンシャルガード設定
System Guard の起動構成 System Guard は、システムが開始し、ローカル認証およびリモートの認証を介してシステム保全性が維持されたことを検証する際に、システムの保全性を保護および維持します。 System Guard について詳しくは、「 https://www.microsoft.com/security/blog/2018/04/19/introducing-windows-defender-system-guard-runtime-attestation/」を参照してください。
設定には、以下のものがあります。
  • 非管理対象のままにする: 管理者は System Guard を構成できます。
  • ハードウェアでサポートされている場合、有効化: サポートされるハードウェアで System Guard をオンにします。 デバイスでは、個別の Trusted Platform Module (TPM 2.0) がサポートされている必要があります。 組み込まれた TPM やファームウェア TPM はサポートされません。

    TPM は、ファームウェアに保管されている VBS 暗号鍵の保護を提供し、BIOS への無許可アクセスを防止します。 TPM について詳しくは、「 https://docs.microsoft.com/en-us/windows/security/information-protection/tpm/trusted-platform-module-top-node」を参照してください。

  • 無効化: System Guard をオフにします。
Windows 教育およびエンタープライズ
仮想化ベースのセキュリティー (VBS) を有効にする 仮想化ベースのセキュリティーは、重要なオペレーティング・システムのリソースおよび資格情報を作成して隔離します。 仮想化ベースのセキュリティーは、Windows Hypervisor を使用して、セキュリティー・サービスのサポートを提供します。 仮想化ベースのセキュリティーについて詳しくは、「 https://docs.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-vbs」を参照してください。 Windows 教育およびエンタープライズ
Credential Guard の構成 Credential Guard は仮想化ベースのセキュリティーを使用して、特権システム・ソフトウェアのみがアクセスできる秘密を隔離します。 Credential Guard は、NTLM パスワード・ハッシュ、Kerberos チケット許可チケット (TGT)、およびアプリケーションによってドメイン資格情報として保管された資格情報を保護することで、資格情報窃盗攻撃につながる可能性がある無許可アクセスを防止します。 Credential Guard について詳しくは、 https://docs.microsoft.com/en-us/windows/security/identity-protection/credential-guard/credential-guardを参照してください。
設定には、以下のものがあります。
  • Credential Guard の無効化: Credential Guard が以前に Unified Extensible Firmware Interface (UEFI) ロックを使用して構成された場合、管理者は、Credential Guard をリモート側でオフにできます。
  • UEFI ロックあり有効化: Unified Extensible Firmware Interface (UEFI) ロックとともに Credential Guard を使用して、攻撃者がレジストリー・キーの変更によってオペレーティング・システムを無効にできないようにします。
  • UEFI ロックなしで有効化: Unified Extensible Firmware Interface (UEFI) ロックなしで Credential Guard をオンにします。
Windows 教育およびエンタープライズ
次回再起動時のプラットフォーム・セキュリティー・レベルを構成 デバイスの保護に役立つセキュリティー機能を有効にします。
  • セキュア・ブートで VBS をオンにする: 仮想化ベースのセキュリティーで次回リブート時にセキュア・ブートを使用できるようにします。 セキュア・ブートは、デバイスが許可コードでブートすることを検査し、リブートしてもブートキットやルートキットがインストールされることもそのまま残ることもないようにするセキュリティー標準です。
  • セキュア・ブートおよび DMA で VBS をオンにする: 仮想化ベースのセキュリティーで次回リブート時に以下のセキュリティー機能を使用できるようにします。
    • セキュア・ブート: デバイスが許可コードでブートしていることを検査し、リブートしてもブートキットやルートキットがインストールされることもそのまま残ることもないようにするセキュリティー標準。
    • 直接メモリー・アクセス (DMA): ブート・プロセス時やオペレーティング・システムの実行時に悪意のある DMA 攻撃に対して隔離および保護を提供する、ハードウェア・ベースのセキュリティー機能。
Windows 教育およびエンタープライズ