Exploit Guard ポリシーを作成して展開する

Configuration Manager (現在のブランチ) に適用

Windows Defender Exploit Guard の 4 つのコンポーネントすべてを管理する Configuration Manager ポリシーを構成および展開できます。 これらのコンポーネントには次のものが含まれます。

• 攻撃面の回避
• コントロールされたフォルダー アクセス
• エクスプロイト保護
• ネットワーク保護

Exploit Guard ポリシー展開のコンプライアンス データは、Configuration Manager コンソール内から入手できます。

前提条件

管理対象デバイスでは Windows 10 1709 以降を実行する必要があります。Windows Server の最小ビルドは、Server 2019 まではバージョン 1809 以降です。 構成されているコンポーネントとルールに応じて、次の要件も満たす必要があります。

Exploit Guard ポリシーを作成する

1. Configuration Manager コンソールで、[資産とコンプライアンス]>Endpoint Protection に移動し、[Windows Defender Exploit Guard] をクリックします。

2. [ ホーム] タブの [ 作成 ] グループで、[ エクスプロイト ポリシーの作成] をクリックします。

3. 構成アイテムの作成ウィザードの [全般] ページで、構成アイテムの名前とオプションの説明を指定します。

4. 次に、このポリシーで管理する Exploit Guard コンポーネントを選択します。 選択したコンポーネントごとに、追加の詳細を構成できます。

   • 攻撃面の減少: ブロックまたは監査する Office の脅威、スクリプトの脅威、電子メールの脅威を構成します。 また、このルールから特定のファイルまたはフォルダーを除外することもできます。
   • フォルダー アクセスの制御: ブロックまたは監査を構成し、このポリシーをバイパスできるアプリを追加します。 また、既定で保護されていない追加のフォルダーを指定することもできます。
   • 悪用に対する保護: システム プロセスとアプリの悪用を軽減するための設定を含む XML ファイルを指定します。 これらの設定は、Windows 10 以降のデバイス上の Windows Defender セキュリティ センター アプリからエクスポートできます。
   • ネットワーク保護: ネットワーク保護を設定して、疑わしいドメインへのアクセスをブロックまたは監査します。

5. ウィザードを完了してポリシーを作成します。このポリシーは後でデバイスに展開できます。

   警告

   Exploit Protection 用の XML ファイルを、コンピューター間で転送する場合は、安全に保管する必要があります。 ファイルはインポート後に削除するか、安全な場所に保管する必要があります。

Exploit Guard ポリシーを展開する

Exploit Guard ポリシーを作成したら、Exploit Guard ポリシーの展開ウィザードを使用して展開します。 これを行うには、Configuration Manager コンソールで [資産とコンプライアンス>Endpoint Protection] を開き、[Exploit Guard ポリシーの展開] をクリックします。

$defenderObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_Defender02" -Filter "InstanceID='Defender' and ParentID='./Vendor/MSFT/Policy/Config'"
$defenderObject.AttackSurfaceReductionRules = $null
$defenderObject.AttackSurfaceReductionOnlyExclusions = $null
$defenderObject.EnableControlledFolderAccess = $null
$defenderObject.ControlledFolderAccessAllowedApplications = $null
$defenderObject.ControlledFolderAccessProtectedFolders = $null
$defenderObject.EnableNetworkProtection = $null
$defenderObject.Put()

$exploitGuardObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_ExploitGuard02" -Filter "InstanceID='ExploitGuard' and ParentID='./Vendor/MSFT/Policy/Config'"
$exploitGuardObject.ExploitProtectionSettings = $null
$exploitGuardObject.Put()

Windows Defender Exploit Guard ポリシー設定

攻撃面の縮小のポリシーとオプション

攻撃面の縮小は、Office、スクリプト、メール ベースのマルウェアによって使用されるベクトルを阻止するインテリジェントなルールを使用して、アプリケーションの攻撃対象領域を減らすことができます。 攻撃面の減少とそれに使用されるイベント ID の詳細について説明します。

• 攻撃面の縮小ルールから除外する Files and Folders - [設定] をクリックし、除外するファイルまたはフォルダーを指定します。

• Email Threats:

  • メール クライアントと Web メールから実行可能コンテンツをブロックします。
    • 未構成
    • ブロック
    • 監査

• Office の脅威:

  • Office アプリケーションが子プロセスを作成できないようにします。
    • 未構成
    • ブロック
    • 監査
  • Office アプリケーションが実行可能コンテンツを作成できないようにします。
    • 未構成
    • ブロック
    • 監査
  • Office アプリケーションが他のプロセスにコードを挿入できないようにブロックします。
    • 未構成
    • ブロック
    • 監査
  • Office マクロからの Win32 API 呼び出しをブロックします。
    • 未構成
    • ブロック
    • 監査

• スクリプトの脅威:

  • ダウンロードされた実行可能コンテンツを JavaScript または VBScript が起動できないようにブロックします。
    • 未構成
    • ブロック
    • 監査
  • 難読化される可能性のあるスクリプトの実行をブロックします。
    • Not Configured
    • ブロック
    • 監査

• ランサムウェアの脅威: (Configuration Manager バージョン 1802 以降)

  • ランサムウェアに対して高度な保護を使用します。
    • 未構成
    • ブロック
    • 監査

• オペレーティング システムの脅威: (Configuration Manager バージョン 1802 以降)

  • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用をブロックします。
    • 未構成
    • ブロック
    • 監査
  • 流行、年齢、または信頼できるリストの条件を満たしていない限り、実行可能ファイルが実行されないようにブロックします。
    • 未構成
    • ブロック
    • 監査

• 外部デバイスの脅威: (Configuration Manager バージョン 1802 以降)

  • USB から実行される信頼されていないプロセスや署名されていないプロセスをブロックします。
    • 未構成
    • ブロック
    • 監査

フォルダー アクセスの制御ポリシーとオプション

ファイル暗号化ランサムウェア マルウェアなど、悪意のある疑わしいアプリによる変更から主要なシステム フォルダー内のファイルを保護します。 詳細については、「 制御されたフォルダー アクセス と使用するイベント ID」を参照してください。

• フォルダー アクセスの制御を構成する:
  • ブロック
  • ブロック ディスク セクターのみ (Configuration Manager バージョン 1802 以降)
    • ブート セクターに対してのみフォルダー アクセスの制御を有効にし、特定のフォルダーまたは既定で保護されているフォルダーの保護は有効にしません。
  • 監査
  • ディスク セクタのみを監査する (Configuration Manager バージョン 1802 以降)
    • ブート セクターに対してのみフォルダー アクセスの制御を有効にし、特定のフォルダーまたは既定で保護されているフォルダーの保護は有効にしません。
  • 無効
• [制御されたフォルダー アクセス] を介したアプリを許可する - [設定] をクリックしてアプリを指定します。
• その他の保護されたフォルダー - [設定 ] をクリックし、追加の保護されたフォルダーを指定します。

Exploit Protection ポリシー

エクスプロイト軽減策をオペレーティング システム プロセスと organization が使用するアプリに適用します。 これらの設定は、Windows 10 以降のデバイス上の Windows Defender セキュリティ センター アプリからエクスポートできます。 詳細については、「 悪用に対する保護」を参照してください。

• Exploit Protection XML: - [ 参照 ] をクリックし、インポートする XML ファイルを指定します。

  警告

  Exploit Protection 用の XML ファイルを、コンピューター間で転送する場合は、安全に保管する必要があります。 ファイルはインポート後に削除するか、安全な場所に保管する必要があります。

ネットワーク保護ポリシー

インターネットベースの攻撃によるデバイスの攻撃対象を最小限に抑えるのに役立ちます。 このサービスは、フィッシング詐欺、悪用、悪意のあるコンテンツをホストする可能性のある疑わしいドメインへのアクセスを制限します。 詳細については、「 ネットワーク保護」を参照してください。

• ネットワーク保護を構成する:
  • ブロック
  • 監査
  • 無効