「アプリケーションホワイトリスト」は、実行が明示的に認められているアプリケーションのみを許可するという、信頼を基盤としたセキュリティ手法だ。デバイスを1人だけ使用するのであれば、限られた数の既知のプログラムを実行するだけでいい。そのような場合、ホワイトリストはマルウェアやユーザーの誤操作に対する効果的なセキュリティ対策となる。「ゼロデイ攻撃」や「ポリモーフィック型ウイルス」、未知のマルウェアなどから確実にデバイスを保護できるだろう。ただし、企業が全社レベルでアプリケーションホワイトリストを適用するのは決して容易ではない。管理すべきアプリケーションやバージョン、パッチなどが膨大な数に上るからだ。Microsoftは新機能のDevice Guardによってこうした状況を変えようとしている。Device Guardを使えば、企業はホワイトリストを全社規模で容易に管理し、実施して、信頼できるアプリケーションのみを実行するようユーザーのデバイスをロックできる。

　Device Guardは、ハードウェアとソフトウェアのセキュリティ機能を組み合わせ、アプリケーションのコードの整合性をポリシー化してデバイスを保護する。Device Guardは、コード整合性ポリシーが定義されている通りに、信頼できる署名者によって署名されているコードのみを実行するようWindows 10 Enterpriseを制限する。自社製やサードパーティー製など、暗号で署名されていないアプリケーションについては、Microsoftが発行する証明書を使って認証できる。また、デバイスのアプリケーション管理ポリシーを変更できるのは、信頼できる署名者によってポリシーが更新されている場合だけである。Device Guardは、管理者権限を取得した攻撃者によるアクセスを許す従来のアプリケーション制御機能「AppLocker」と比べて大きく改善した。

　Device Guardは、デバイスのプロセッサとマザーボードチップセットの入出力メモリ管理ユニット（IOMMU）を使って、Windowsから分離された状態で機能する。Device Guardは、仮想化ベースのセキュリティ機能であり、ハイパーバイザーベースの仮想化システム「Hyper-V」の新コンポーネント「Virtual Secure Mode（VSM）」を活用する。VSMはHyper-Vで直接動作する仮想マシンであり、Windows 10から分離され、保護されている。

　デバイスの起動時には、起動プロセスを制御する「Universal Extensible Firmware Interface（UEFI）セキュアブート」を使い、他の何よりも先にWindowsブートコンポーネントを確実に始動させることができる。これによりマルウェアである「ブートキット」の実行を阻止する。次に、Hyper-Vで「仮想化ベースのセキュリティ（VBS）」サービスが始動し、システムのセキュリティと整合性に不可欠となるWindowsのコアサービスを分離する。こうして起動プロセスの初期段階や起動後のカーネルでマルウェアが動作するのを防ぐことによって、カーネルや特権ドライバ、マルウェア対策プログラムなどのシステムを保護できる。

　また、デバイスの起動と同時に、「Trusted Platform Module（TPM）」も起動する。TPMは、ユーザー認証情報や資格証明書などの機密情報を保護するための分離されたハードウェアコンポーネントだ。システムが安全に起動したという証拠を保存し、ネットワークへの接続を許可する前にデバイスの安全性を確認するのに用いられる。

　WindowsカーネルやOSの残りの部分から分離させたVSMコンテナにおいて、VBSを有効にし、Device Guardで必要最小限のWindowsインスタンスを実行することで、他のソフトウェアによる改ざんを防ぐことができる。ただしDevice Guardは、カーネルモードのコード署名の単なるアップデート版ではない。ユーザーモードのコード整合性を確認するためのコンポーネントもDevice Guardは提供される。そのためユーザーモードで、サービスや全てのWindowsデバイスで使用できる「Universal Windows Platform（UWP）」アプリケーション、従来のWindowsアプリケーションなど、署名付きの信頼できるプログラムしか実行しないようにできる。仮にマルウェアがマシンに感染しても、Device Guardコンテナにはアクセスできず、コード署名の確認を回避して悪質なペイロードを実行させることもできない。従って、攻撃者はたとえフルシステム権限を入手しても、マルウェアを実行するのははるかに難しくなる。デバイスを再起動しても動作し続けるコードをインストールし、デバイスへの攻撃を執拗（しつよう）に繰り返すAPT攻撃についても同様だ。

　Device Guardを使ったからといって、Windows 10のマルウェアを根絶できるわけではない。だがハッカーがマルウェアをインストールするのに必要な能力レベルが引き上げられるのは確実だ。アプリケーションにデジタル署名するセキュリティ手法は以前からある。しかし、管理者がそうしたアプリケーションを管理し、社内デバイスの完全性を確保して、独自の包括的な信頼モデルを実行できるというのは今回が初めてだろう。Device Guardは、アンチウイルスプログラムが信頼できると見なすアプリケーションではなく、企業が認めるアプリケーションだけが信頼される。ただし、今後も両方のソリューションが必要だ。Device Guardは実行可能なスクリプトベースのマルウェアを阻止するために必要になる。アンチウイルスプログラムは、Java言語のコンパイラ「JIT」ベースのアプリケーションやOfficeドキュメントのマクロなど、Device Guardには阻止できない攻撃ベクトルをカバーするのに必要となる。