「Microsoft Passport」は、ユーザーがアプリや、オンラインおよびオンプレミスのコンテンツに、パスワードなしでより安全にログインできるようにする機能だ。Passportは現在、「Microsoftアカウント」とAzure Active Directoryをサポートしている。既にWindows 10 HomeとProには搭載されているが、Windows 10 Enterpriseには搭載されていないことをMicrosoft幹部らが先週に認めている。
「Device Guard」もまた、Windows 10にしかないが、やはりあまり聞いたことのないセキュリティ機能だ。Device Guardは、アプリにロックをかけることができる。つまり、アプリケーションは、それが信頼できるものであることを証明しなければ実行できない。Microsoftは、Device Guardについて「Microsoftがこれまでデスクトップに搭載した中で、最も革新的なマルウェア対策機能だ」としている。
これと関連するサービス「Credential Guard」は、「機密情報を分離する」機能だ。Microsoftの説明によれば、Credential Guardは次のような仕組みである。
Credential Guardは、仮想化ベースのセキュリティを用いることで、以前のWindowsでは「ローカルセキュリティ機関（LSA）」に格納していた機密情報を分離する。Windows 10以前では、OSが使用する機密情報はLSAに格納されていた。OSのLSAプロセスでは、リモートプロシージャコールを使って、分離したLSAとやり取りする。仮想化ベースのセキュリティによって格納されたデータは、OSのほかの部分からはアクセスできない。
Device GuardとCredential Guardは、Windows 10 EnterpriseとEducationのユーザーだけが利用できる。
さらに詳しくみると、MicrosoftはWindows 10のカーネルに、Device GuardとCredential Guardを実現する新しい技術を組み込んでいる。Microsoftは最近、同社のChannel 9サイトで、この「Isolated User Mode（IUM）」という技術について、視聴に値する3部構成の動画を公開した。第1部の動画はここから見ることができる。
IUM（Windows 10だけに搭載されているセキュリティ技術）は、通常のカーネルとは異なるアドレス空間で動く、セキュアなカーネルとセキュアなアプリケーションというアイデアを取り入れている。
IUMは、Windows 10の新しい「Virtualized Based Security（VBS）」機能に基づいている。VBSは、以前は「Virtual Secure Mode」と呼ばれていたもので、Windows 10に既に組み込まれている。VBSは、VBS環境で稼働するWindows機能と、Windows 10 OSのほかの部分の間を、ハードウェアベースで分離する。
IUMについて筆者がMicrosoftの広報担当者に問い合わせたところ、「このように分離することで、VBS環境内のプロセスやデータへのアクセスまたは改ざんが不可能になる。このタイプの分離は、Windows 10以前のWindowsになかったものだ」という回答だった。
Device Guardは、VBS環境を使って、その機能が改ざんされるのを防いでいる。Device Guardは、カーネルモードでのハードウェアベースのゼロデイ攻撃を阻止するように作られている。またこれは、「AppLocker」に組み込まれているセキュリティよりも優れている（AppLockerは、管理者権限を取得した攻撃者によって改ざんされる可能性がある）と、広報担当者は述べている。
「Device Guardは、『署名済みの』ポリシーを必要とする。つまり、デバイスに設定されているアプリ管理ポリシーを変更できるのは、信頼できる署名者によって署名された、更新済みのポリシーのみである。管理者機能の形態をもつ攻撃者によって、アプリ管理ポリシーが無効にされ、信頼できないアプリ、あるいは悪意のあるアプリが実行されることを防げるという点で、署名されたポリシーは不可欠だ」（Microsoft広報担当者）
一方、Credential Guardは、VBS環境を用いることで、「Pass the Hash（PtH）」攻撃に使われる可能性のある、ユーザーの「派生した認証情報」の盗難や悪用を防ぐ。
筆者は、年内にWindows 10の次の大規模なアップデート（Threshold 2）が行われれば、Microsoftから、Windows 7とWindows 10のセキュリティ面の比較についての話をもっと聞けるようになると予想している。それまでの間は、Windows Insidersプログラムの参加者がWindows 10のセキュリティの評価について語ってくれるだろう。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
