Microsoftは2026年10月から、品質更新プログラムを通じて対象となるWindowsデバイスでメモリ整合性(Memory Integrity)保護を自動的に有効化します。
この変更は、対応システムにおいて信頼されたカーネルモードコードとドライバーのみが実行できるようにすることで、カーネルレベルの攻撃に対する防御を強化することを目的としています。
メモリ整合性は、仮想化ベースセキュリティ(Virtualization-based Security、VBS)を基盤としたセキュリティ機能です。VBSは、ハードウェア仮想化を利用してオペレーティングシステムの機密性の高い機能を他の環境から分離するWindowsの機能です。
セキュリティ製品・サービス
Microsoftによれば、今回の展開により、管理者による大掛かりな設定を必要とせずとも、組織は高度な脅威に対するより強固な防御基盤を確立できるようになるとしています。
カーネル攻撃への焦点
Windowsカーネルは、オペレーティングシステムの中でも最も高い権限を持つコンポーネントの一つです。攻撃者がカーネルレベルでの実行権限を獲得すると、セキュリティ制御を回避し、プロセスを操作し、エンドポイント保護を無効化し、認証情報を窃取し、侵害したデバイスに深く潜伏し続けることが可能になります。
脅威アクターは、脆弱なドライバーを悪用したり、正規だが欠陥のあるサードパーティ製ドライバーを悪用したり、カーネルエクスプロイトを使って権限を昇格させたりすることで、カーネルへの到達を試みることがよくあります。
この手法は「BYOVD(bring-your-own-vulnerable-driver)」攻撃と呼ばれることが多く、マルウェアがオペレーティングシステム自体と同等の権限で実行できるようになってしまいます。
メモリ整合性は「ハイパーバイザー保護コード整合性(Hypervisor-Protected Code Integrity、HVCI)」とも呼ばれ、カーネルモードコードが実行を許可される前に検証を行うことでこのリスクを軽減します。この保護機能により、悪意のある、署名されていない、改ざんされた、あるいは信頼できないドライバーがカーネルメモリに読み込まれるのを防ぐことができます。
この機能をデフォルトで有効化することで、Microsoftは、展開の複雑さや互換性の懸念、管理設定のばらつきなどを理由にカーネル保護が無効のままになっているWindowsエンドポイントの数を減らすことを目指しています。
2026年10月以降、Windowsの品質更新プログラムはデバイスを評価し、システムがMicrosoftの適格基準を満たしている場合にメモリ整合性を有効化します。VBSがまだ有効になっていない場合は、この過程の一環としてVBSも併せて有効化されることがあります。
Microsoftはこの変更を実施する前に、デバイスの準備状況を評価します。この評価では、ハードウェアの対応状況、ドライバーおよびソフトウェアの互換性、パフォーマンスへの影響が考慮されます。この段階的な適格性判定モデルは、安定性や使い勝手に問題が生じる可能性のあるデバイスでこの機能が有効化されてしまうことを避けるために設計されています。
同社は、今回の展開が既存のセキュリティ設定を上書きするものではないことを強調しています。管理者やユーザーがこれまでにメモリ整合性を無効化しているデバイスについては、自動的に変更されることはありません。
既存の組織ポリシーや管理設定はそのまま維持されます。この区別は、レガシーハードウェアや特殊な周辺機器、古いドライバー、あるいはVBSベースの保護機能にまだ対応していないアプリケーションに依存している企業にとって重要なポイントです。
管理者は引き続き、既存のWindowsセキュリティ設定やグループポリシー、モバイルデバイス管理(MDM)プラットフォーム、その他の企業向けツールを使ってメモリ整合性を管理できます。
Microsoftは今回の更新を、自社の「セキュア・バイ・デザイン」および「セキュア・バイ・デフォルト」戦略の一環として位置づけています。組織が利用可能なあらゆる強化機能を手動で洗い出して有効化する必要がないよう、同社は対応ハードウェアに対してより多くの保護機能をWindowsのデフォルト設定に組み込む方向へと舵を切っています。
この保護機能は、より広範なWindowsセキュリティ機能も支えています。Microsoftによれば、VBSを基盤とするセキュリティは、システムの再起動の必要性を最小限に抑えながら特定のセキュリティ更新プログラムを適用できる「ホットパッチ更新」など、新しい機能の基盤になっているとのことです。
防御側にとっては、メモリ整合性の展開範囲が広がることで、マルウェアの運用者やランサムウェアグループがカーネルレベルの侵害を達成することがより困難になる可能性があります。また、高度な侵入キャンペーンで依然として登場し続けている、悪意のあるドライバー読み込み手法の有効性を低下させる効果も期待できます。
アンチウイルスとマルウェア
組織は、2026年10月の展開に先立って、ハードウェアの準備状況、非互換のドライバー、既存のVBSポリシーを確認しておく必要があります。セキュリティチームは、エンドポイント管理ツールがWindows環境全体でメモリ整合性の状態を正確に報告していることも検証すべきです。
Microsoftの自動有効化計画は、高権限を狙った攻撃に対する保護がオプションの強化策としてではなく、デフォルトで有効化されるという、ハードウェア支援型のWindowsセキュリティへの継続的なシフトを示しています。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングに対応しましょう。ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/microsoft-to-automatically-enable-memory-integrity/
