Windows 11 の ASR ルール: セキュリティの構成と最適化

サイバー脅威が猛烈なスピードで進化する現代において、堅牢なシステムでデバイスを保護することは最優先事項となっています。こうした状況下で、Windows 11のASRルール（攻撃対象領域縮小ルール）は、マルウェアや一般的な脆弱性を狙った攻撃からコンピュータやネットワークを保護するための最も効果的な戦略の一つとして注目されています。IT業界に携わっている方、あるいは個人用または業務用デバイスのセキュリティ強化を目指している方にとって、これらのルールとその適用方法を十分に理解することは、潜在的な攻撃への対応において大きな違いを生み出すでしょう。

ASRルールとは何か、様々なプラットフォーム（Intune、Configuration Manager、グループポリシー、PowerShell）から設定する方法、メリット、制限事項、ベストプラクティスについて詳しく解説します。また、ASRルールを最大限に活用し、重要なアプリケーションへの影響を最小限に抑え、IT部門の日常業務を効率化するためのチューニングとトラブルシューティングのヒントも紹介します。

Windows 11 の ASR ルールとは何ですか? また、なぜそれほど重要なのですか?

攻撃対象領域縮小ルール（ASR）は、 Microsoft Defenderに統合されたセキュリティルールのセットであり、 Intuneなどの管理ツールから管理できます。その主な目的は、マルウェアがコンピュータやネットワークを侵害するためによく使用する動作やアクションを防止することです。これには、疑わしいスクリプトのブロック、潜在的に危険なファイルの実行の停止、Officeアプリケーションでのマクロの使用の制御、認証情報の窃盗の試みの制限などが含まれます。

これらのルールは、一般的な脆弱性から保護するだけでなく、高度な攻撃、ランサムウェア、その他の巧妙な脅威のリスクを軽減するのにも役立ちます。さらに、高度なカスタマイズが可能で、大企業から個人ユーザーまで、あらゆる環境に合わせて柔軟な設定を行うことができます。

Windows 11では、ASRによる保護機能が、粒度と管理の容易さの点で新たなレベルに達し、以前のバージョンと比較して質的な飛躍を遂げ、現代のサイバーセキュリティ戦略に不可欠な要素となっています。

Windows 11のライセンスと要件

ASRルールの設定と展開に入る前に、ライセンスと前提条件に関する重要な点を理解しておくことが不可欠です。ASRルールはWindows 10およびWindows 11コンピューターで利用できますが、ルールの全セットはエンタープライズエディション（E3またはE5など）でのみ使用できます。Microsoft 365 E5ライセンスがあれば、Defender for EndpointまたはMicrosoft Defender XDRポータルから高度な監視および分析機能を利用できます。

ただし、Windows Professional または Microsoft 365 E3 ライセンスをお持ちの場合でも、ASR は限定的な範囲で使用できます。ルールはイベント ビューアーで確認でき、独自の監視システムを構築することも可能です。重要なのは、Microsoft Defender Antivirus を主要なアクティブなソリューションとして設定することです。ASR ルールは、疑わしい動作を評価してブロックするために、その分析エンジンに依存しているためです。

構成方法: Intune、Configuration Manager、GPO、PowerShell

ASRルールの強みの一つは、ポリシーの管理と展開における汎用性の高さにあります。さまざまな環境やニーズに適した、複数の方法とツールが用意されています。

• インチューンクラウド経由でデバイスフリートを管理する企業に最適です。ASRポリシーの設定と割り当てを一元的に行い、その有効性を監視し、必要に応じて調整や除外を適用できます。
• 構成マネージャー (SCCM)大規模組織向けの高度な従来型ソリューション。詳細なポリシーを作成し、混在環境や切断された環境でも適用できます。
• グループポリシーオブジェクト（GPO）: Active Directory のある環境に最適で、ドメイン、組織単位、または特定のコンピューター レベルでルールを定義できます。
• PowerShellの: コマンド ラインから ASR ルールを構成、監査、デバッグできる柔軟なオプションです。 コマンド自動化や高度なスクリプト作成に最適です。

それぞれの方法には独自の利点と考慮事項がありますが、いずれの方法でも、各ASRルールのステータスを「ブロック」「監査」「警告」「無効」のいずれかに設定できます。これにより、各組織のニーズとリスクに基づいて、セキュリティ動作を完全に制御することが可能になります。

Intune で ASR ルールを構成する

Intuneは、特にWindows 11環境において、最新のエンタープライズデバイス管理における主要なソリューションとなっています。このプラットフォームを通じてASRルールを設定することで、一元管理、拡張性、そして容易な監視を実現します。

まず、 Intune の[エンドポイント セキュリティ]メニューにアクセスし、 [攻撃対象領域の縮小]を選択します。新しいポリシーを作成するか、既存のポリシーを編集できます。プラットフォーム (Windows) とプロファイル (ASR ルール) を正しく選択してください。

次に、適用するルールを選択できます。

• 難読化されている可能性のあるスクリプトの実行をブロックする
• Office アプリケーションが子プロセスを作成しないようにする （子供たち）
• Office マクロを使用して Win32 API 呼び出しを行うことを禁止する
• ファイル実行をブロックする メール、ウェブメール、デバイス USB 信頼できないもの
• LSASS での資格情報の盗難と攻撃を防ぐ
• ダウンロードしたコンテンツでの JavaScript または VBScript の使用を制御する
• 脆弱な署名付きドライバーの悪用を阻止する

各ルールは、ブロック（有効）、監査（イベントのみログに記録）、警告（ユーザーがブロックを回避できるようにする）、または無効のいずれかのモードでカスタマイズできます。ポリシーが設定されると、関連するデバイスグループに割り当てられます。

さらに、Intuneでは、誤検知によって悪影響を受ける可能性のあるファイル、パス、またはアプリケーションを除外できるため、柔軟性がさらに向上します。

Microsoft Configuration Manager (SCCM) からの構成

もう一つ広く使われている代替手段として、 Configuration Managerがあります。特に、ローカル管理やハイブリッド管理を依然として採用している企業でよく利用されています。手順としては、[資産とコンプライアンス] → [エンドポイント保護] → [Windows Defender Exploit Guard]の順に進み、Exploit Guard ポリシーを作成します。

ウィザード内で、ブロックモードまたは監査モードのいずれかを選択して、ASRルールを有効化します。設定が完了すると、ポリシーはビジネス環境で定義されたデバイスのグループまたはコレクションに従って配布されます。

SCCMによって生成されたログとレポートを頻繁に確認し、ルールが正しく適用され、他のセキュリティプロファイルと競合していないことを確認してください。

グループ ポリシー: GPO による ASR の管理

Active Directoryインフラストラクチャ環境においては、グループポリシーが依然として推奨されるアプローチです。一般的な手順は以下のとおりです。

• グループポリシー管理コンソール（GPMC）を開きます
• 新しいGPOを編集（または作成）して、そこに移動します コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Microsoft Defender ウイルス対策 > Microsoft Defender Exploit Guard > 攻撃対象領域の縮小
• 設定を有効にする 攻撃対象領域の縮小ルールを構成する
• 各ルールのステータスを、IDと希望する値を指定して設定します。ブロックの場合は「1」、監査の場合は「2」、警告の場合は「6」、無効の場合は「0」です。
• オプションから除外を設定する 攻撃対象領域の縮小ルールからファイルとパスを除外する

このようにして得られる制御は非常に詳細ですが、異なるレベルのポリシー間の矛盾を避けるためには、綿密な維持管理が必要です。

PowerShell: 高度な自動化と制御

高度な管理者や自動化が重要な環境向けには、PowerShell を使用すると、コンソールまたはスクリプトから直接 ASR ルールを操作できます。関連情報については、「secpol.msc とは何か、セキュリティ ポリシー管理にどのように役立つか」もご参照ください。

便利なコマンドの例をいくつか挙げます。

• ASRルールを有効にする:
• Set-MpPreference -AttackSurfaceReductionRules_Ids <ID_de_regla> -AttackSurfaceReductionRules_Actions Enabled
• 監査モードで有効化:
• Add-MpPreference -AttackSurfaceReductionRules_Ids <ID_de_regla> -AttackSurfaceReductionRules_Actions AuditMode
• 除外:
• Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Ruta\a\excluir"

これにより、例えば、多数の機器におけるルールの有効化、監査、調整を自動化したり、タスクをCI/CDプロセスやデプロイメントスクリプトに統合したり、さらにはインシデントをリアルタイムで管理したりすることが可能になります。

各 ASR ルールで利用可能な状態とその動作

個々のASRルールは、達成したい目標に応じて、以下のいずれかの状態に設定できます。

• 未構成 / 無効: ルールは適用されず、関連するイベントは記録されません。
• ブロックする: ルールが有効になり、禁止されたアクションが直接ブロックされます。
• 監査: アクションは許可されますが、後で確認できるようにログに記録されます。ルールを適用する前に影響を評価するのに最適です。
• 警告: ルールは適用されますが、ユーザーはアラートを受け取り、続行するかどうかを決定できます。

この柔軟性により、ルールを最初に監査モードで展開してその影響を監視し、混乱を最小限に抑え、その後、除外設定を微調整してから、完全なブロックモードに切り替えることが容易になります。

Windows 11 の主な ASR ルールとその目的

利用可能な多くのルールの中で、感染や不正アクセスの防止に特に効果的なのは次のルールです。

• 難読化されている可能性のあるスクリプトの実行をブロックする: マルウェアの読み込みによく使用される疑わしいスクリプトの実行を防止します。
• Office が子プロセスを作成しないようにする: Office ドキュメントが他のプロセスを起動してマルウェアを生成する攻撃を防ぎます。
• Win32 API 呼び出しを使用する Office マクロを制限する: 特に悪意のあるマクロの悪用から保護します。
• 電子メールとウェブメールファイルの実行をブロックする: 電子メール内の感染した添付ファイルや危険なリンクにさらされるリスクを軽減します。
• LSASS による資格情報の盗難を防ぐ: メモリに保存されている資格情報を保護し、攻撃者による横方向の移動を防ぎます。
• 信頼できないUSBドライブからダウンロードされたコンテンツをブロックする: 外部デバイス上のマルウェアリスクを最小限に抑えます。
• WMIイベントをサブスクライブして永続性を防ぐ: 高度な脅威が使用する永続化手法を阻止します。
• 他のプロセスへのコード挿入を停止する: 他のセキュリティ制御を回避することが困難になります。
• ランサムウェアや暗号化攻撃から保護する: この種のインシデントに対するシステムの回復力を強化します。

Defenderスイートの進化に伴い、完全なリストは変更または追加される可能性があるため、新しいルールとその具体的な目的を確認するために、このリストを参照することをお勧めします。

除外事項: 重要なアプリケーションの動作を確実にする方法

主な課題の一つは、セキュリティと運用性のバランスを取ることです。一部のビジネスアプリケーションは、その内部構造上、特定のASRルールによってブロックされたり、誤検出が発生したりする可能性があります。

これらの問題を回避するには、ファイル、フォルダ、またはアプリケーションレベルで除外設定を定義できます。これらの除外設定は次のように管理できます。

• Intune の構成パネルから、CSV ファイルをインポートするか、パスを手動で入力します。
• 除外するパスを指定する SCCM または GPO の除外設定を使用します。
• PowerShell経由で次のコマンドを実行する Add-MpPreference -AttackSurfaceReductionOnlyExclusions "<ruta>".

ブロックを適用する前に、監査モードでどのアプリケーションがイベントを生成しているかを分析することをお勧めします。そうすることで、除外設定をできる限り細かく調整し、正当なプロセスをブロックしてしまうリスクを軽減できます。

ポリシーの衝突と統合：企業環境での仕組み

管理環境では、デバイスが複数のソースからポリシーを受信することはよくあります。ASRルールは、競合がない限り、ポリシーのマージをサポートします。2つのポリシーが異なる状態で同じルールを定義している場合、より制限の厳しい設定のみが適用されます。競合が発生した場合は、その特定のルールに関して両方の設定が上書きされます。

この動作は、矛盾を防ぎ、ポリシーが重複する場合でも環境が最低限のセキュリティレベルを維持できるように設計されています。したがって、組織内でのASRポリシーの階層構造と適用順序を慎重に計画することをお勧めします。

Windows 11 での ASR イベントの監視と分析

ASRルールの有効性を監視することは、ルールを正しく設定することと同じくらい重要です。デバイス上で何が起こっているかを確認するためのツールや方法はいくつかあります。

• イベントビューア: WindowsはASR関連のイベントを次の場所に記録します アプリとサービス → Microsoft → Windows → Windows Defender → 運用ここでは、トリガーされたルール、ブロック、実行されたアクションに関する詳細なログを見つけることができます。
• PowerShellの: 次のようなコマンドを使用して、コンピュータ上でアクティブなルールとそのステータスを確認できます。 Get-MPPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids y Get-MPPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Actionsまた、以下のサイトでも情報を参照できます。
• MpCmdRun.exe： ランニング MpCmdRun.exe -getfiles ログと現在の構成のコレクションを圧縮ファイルに生成し、詳細に検査することができます。
• エンドポイント用のMicrosoftDefender: この解決策をお持ちの場合は、 高度な狩猟 高度なクエリを使用して、イベントや影響を受けるファイルを分析し、疑わしいアクティビティを大規模に相関させることができます。

継続的な監視は、誤検知を特定し、新たな脅威を検出し、生産性を損なうことなくASRの設定を調整するために不可欠です。

段階的な展開と調整: 推奨されるベストプラクティス

ASRルールを安全かつ効果的に実施するには、リスクを最小限に抑えるための特定のベストプラクティスに従う必要があります。

• 常に監査モードで起動するこの方法により、少なくとも 30 日間のイベントを収集し、ルールによってブロックされるアプリケーションや影響を受けるアプリケーションを制御された方法で識別できます。
• ルールの影響を確認する ビジネス アプリケーションでは、ブロック モードに入る前に必要に応じて除外を導入します。
• ASR構成を定期的に更新する Microsoft が新しいルールをリリースしたり、既存のルールを改善したりすることで、新たな脅威に対する保護が確保されます。
• 除外事項を文書化する また、ユーザーに新しいセキュリティ対策について通知し、起こりうるインシデントに関するフィードバックを求めます。
• 監視とレポートを使用する 設定を動的に調整し、起こりうる不具合を修正します。