しかしながら、これらのセキュリティ機能を利用するには、多くの場合において、ハードウェアの更新が必要になるだろう。また、アプリケーションホワイトリスト機能については、IT部門にとって負担となるかもしれない。

　Windows 10に搭載される新機能「Device Guard」は、信頼できないアプリの実行をブロックすることで、マルウェアやAPT攻撃からデバイスを保護する。特定のソフトウェアベンダーやWindows Store、IT部門によって署名されたものが、信頼されたアプリとして扱われる。未署名のUniversal Apps（あるいはWin32アプリ）については、署名用のツールが提供される。

　アプリケーションホワイトリストの方式を通じて、Windowsはアプリが信頼できるかどうかを判断し、信頼できない場合はユーザーに通知する仕組みとなっている。Device Guardは、ハードウェア技術と仮想化技術を用いることによって、OSから隔離された状態で判定機能を実行し、攻撃者やマルウェアがシステムにアクセスできないように保護している。

　「Windows PhoneやWindows RT、米AppleのiOSをはじめとするロックダウンされた強固なプラットフォームは、多くの種類のエクスプロイトに対する優れた防御策となる」と独立系調査企業の米Directions on Microsoftでアナリストを務めるウェス・ミラー氏は述べる。

　最近では、ウイルス対策ソフトウェアやシグネチャベースのセキュリティ製品だけでは対処できない攻撃やマルウェアが出回っている。そうした状況があり、企業のIT担当者は、Device Guardを次期Windowsのセキュリティを高めるものとして好意的に捉えている。そう語るのは、米Rhode Island Blood Centerでシステムマネジャーを務めるデビッド・レイノルズ氏だ。

Device GuardでマルウェアとAPTの問題解決となるか

　Microsoftによると、Device Guardは従来型のウイルス対策製品や、「AppLocker」「Bit9」のようなアプリケーションコントロール技術よりも優位な点があるという。Device Guardの管理面について同社はコメントを拒否しており、IT担当者は同機能のカスタマイズ性や柔軟性について懸念を抱いている。

　「ウイルス対策ソリューションが、リモートコントロールソフトウェア『VNC』などの正規のプロセスをマルウェアと誤判定したことが前にあった」と米エネルギー関連企業のITマネジャーであるマット・コシュト氏は話す。

　デジタル署名を付与したり、未署名の実行ファイルを有効にしたりするツールは役に立つが、企業のIT部門は多くの作業を抱えることになるかもしれない、と同氏は指摘する。

　「100個のレガシーアプリケーションを処理しなければならないとすれば、作業の効率化のために多くの投資が必要になるだろう」（コシュト氏）

　同氏はまた、ウイルス対策ソフトウェアではAPT脅威対策に「全く不十分」であるため、OSの中核とハードウェアにセキュリティ対策を施すことは得策であると考えている。だが、Device GuardがAPT攻撃の阻止に効果的かどうかについては懐疑的だ。

　米Intelは自社プロセッサにプログラムの不正実行を防ぐ「Intel Execute Disable（XD） Bit」機能を搭載し、Microsoftは「Windows XP SP2」と「Windows Server 2003」以降のOSで「Data Execution Prevention」（データ実行防止：DEP）をサポートした。

　「われわれは、これらのテクノロジーがAPT攻撃の阻止に対して効果的でないことが分かっている」（コシュト氏）

　Device Guardは、こうしたアプローチの進化系であり、一連のテクノロジーの他に仮想化技術が加えられている。しかしながら、全く新しいものというわけではない。米Bromiumの「vSentry」といった製品もハードウェアベースの隔離技術を既に提供している。

　Microsoftはウイルス対策ベンダーを追いやろうとしているわけではない。実際、同社では、Device Guardが従来のウイルス対策やアプリ管理技術を置き換えるものではないと主張している。既存のセキュリティ製品は、Device Guardと連係することで、実行ファイルあるいはスクリプトベースのマルウェアをブロックしたり、Device Guardのカバーしない領域を保護したりすることができる。例えば、従来型のウイルス対策ソフトウェアなら、JavaやFlash、Microsoft Office、Acrobatなどのプラットフォームを標的とするペイロードを悪用した攻撃を検出可能である、とミラー氏は話す。

　現在、Device Guardのサポートを表明しているハードウェアベンダーは中国Lenovo、米Hewlett-Packard、台湾Acer、富士通、東芝となっている。

ハードウェアの更新が必要なWindows 10の生体認証機能

　Device Guardに加えて、Microsoftは生体認証システム「Windows Hello」を2015年3月に発表した。

　Windows Helloを使うと、ユーザーは顔、虹彩、指紋などを利用して、デバイスやネットワークサーバにパスワードを保存することなく、アプリケーションや企業コンテンツにアクセスすることが可能になる。

　顔認証は確かに革新的なログオン技術かもしれない。だが、まだ初期段階にある。

　「顔認証は他の大半の技術と同様に成熟していくだろう。顔認証に関しては、ユーザーが日焼けしたり、頭髪で顔が隠れたり、眼鏡を掛けていたりすると、精度が落ちる可能性がある。また、指紋認証システムを導入したものの、うまくいかずにユーザー名とパスワードの認証方式に戻したという失敗例も多い」（ミラー氏）

　Windows Helloには、指紋読み取りなどの生体センサーが必要になる。指紋センサーに関しては、既に一部のデバイスに搭載されており、Windows Helloで利用可能になっている。顔認証については、「Intel RealSense 3D Camera」に限定されているわけではないが、Microsoftは同カメラのサポートをアピールしている。

　現在、Intel RealSenseを搭載するノートPCは、「Dell Inspiron 15 5000 Series Touch」（Dell.comで749.99ドルから）、「HP ENVY - 15t Touch RealSense Laptop」（HP.comで649.99ドルから）、「Lenovo B50 Touch」（Lenovo.comで849.99ドルから）となっている。