ユーザーアカウント制御

　MicrosoftはWindows Vistaの開発に当たり、「ユーザーアカウント制御」（UAC）という新しいセキュリティの仕組みを実装した。UACはシステムに加えられる変更を検知して、ユーザーに許可を求めていた。これでマルウェアがシステムに変更を加えようとしても、ユーザーが阻止できる手段を提供したはずだった。

　しかし残念ながら、UACはWindows史上最も嫌われる機能となった。セキュリティ専門家ならご存じの通り、Windows VistaでOSの設定に影響するような操作を試みると、必ずUACプロンプトに出くわすことになった。これを踏まえてMicrosoftはWindows 7に幾つか変更を加えた。

　Windows 7でMicrosoftはスライドバーを提供した（図B参照）。このスライドバーでは管理者がUACの動作レベルを調整して、ユーザーに確認を求めるプロンプトの量を調整できる。うっとうしいと思う向きもあるかもしれないが、私はUACの動作を高いレベルに設定しておくことを勧める。私は最近、感染の恐れがあるとUACが知らせてくれていれば深刻なマルウェア感染を防げたかもしれない状況に何度か遭遇した。

図B　ユーザーアカウント制御の設定画面《クリックで拡大》

ユーザー権限

　マルウェアがPCに感染しようとするときは、その時点で実行されているアカウントと同じ権限を持つ。時にはサービスアカウントを利用することもあるが、ログインしているユーザーと同じコンテキストでマルウェアを実行する方がはるかに一般的だ。この理由からMicrosoftは、ユーザーに付与するシステムへのアクセス権限を可能な限り最低のレベルにすることを奨励している。こうしておけば、もしマルウェアファイルが実行された場合でも、権限が不十分で危害は加えられないかもしれない。

　ローカルユーザーに割り当てるアクセスのレベルは、「コントロールパネル」を開き、「ユーザーアカウント」「ユーザーアカウント」「ユーザーアカウント管理」をクリックして調整できる。ユーザーアカウント権限は、ここで表示されるダイアログボックス（図C参照）に従ってコントロールできる。

（※）図Cの画面は、Windowsドメインに参加しているコンピュータにのみ表示される。

図C　ユーザー権限の設定画面《クリックで拡大》

マルウェア対策

　Windows 7はWindows XPに比べてはるかにマルウェア感染に強くなったとはいえ、感染する可能性はあり、実際に感染が起きている。サードパーティーのウイルス対策ソフトの代替になるものは存在しないが、Microsoftは2種類のマルウェア対策機能を提供しており、これを使えば基本的なレベルのマルウェア対策を講じることができる。

　そのうちの1つ、「Microsoft Security Essentials」は、ホームユーザーやユーザー10人以下のスモールビジネスを想定した無料マルウェア対策アプリケーションだ。MicrosoftのWebサイトからダウンロードできる。

　もう1つのマルウェア対策機能「Windows Defender」は、ユーザー10人以上のエンタープライズ向けにオプションで提供している。Microsoft Security Essentialsとの違いは、Windows DefenderがOSに組み込まれている点だ。ただしデフォルトでは無効になっているので、「有効」に切り替える必要がある。Windows Defenderの画面は図Dの通り。

図D　マルウェア対策機能の設定画面《クリックで拡大》

AppLocker

　MicrosoftはWindows XPで「ソフトウェア制限ポリシー」という機能を導入した。ソフトウェア制限ポリシーはグループポリシーの設定を集めたもので、ユーザーがデスクトップPC上で無許可のソフトウェアを実行するのを防ぐ狙いがあった。

　しかし結果的に、ソフトウェア制限ポリシーには最低限の効果しかないことが判明した。ポリシー設定は複雑で、かわすのは容易だった。そこでMicrosoftはWindows 7のために、ソフトウェア制限ポリシーの次世代版となる「AppLocker」を開発した。

　AppLockerには一元管理のためのコンソールが存在しないため、大企業や高度に動的なデスクトップPCを持つ組織では効果を発揮しない。しかし、小規模組織では無許可のソフトウェアがユーザーのデスクトップPC上で実行されるのを防ぎ、マルウェア感染防止に役立てられる。AppLockerの画面は図Eの通り。

図E　ソフトウェア制限ポリシー「AppLocker」の設定画面《クリックで拡大》

　Windows 7搭載デスクトップPCのセキュリティ対策には追加的措置が必要な場合もあるが、以上5項目のセキュリティ対策は、エンドポイントに配置されたWindows 7の効果的なセキュリティ強化に大きな役割を果たし得る。

本項筆者のブライアン・M・ポージー氏はフリーランスのテクニカルライター。全米規模の病院チェーンのCIO、フォートノックスにある米国防総省施設のネットワーク管理者を務めた経歴を持つ。