Microsoftは、2026年10月以降のWindows品質更新プログラムにおいて、対応デバイス上でメモリ整合性保護と、必要に応じて仮想化ベースセキュリティ(VBS)を自動的に有効化すると発表しました。
この展開は2026年10月13日のパッチチューズデー更新から始まり、対応するWindows 11搭載PCではユーザーの操作をほとんど、あるいはまったく必要とせずにメモリ整合性が有効化されます。
メモリ整合性は「ハイパーバイザー保護コード整合性(HVCI)」とも呼ばれ、VBSの上位で動作し、信頼できる検証済みのカーネルモードコードとドライバーのみが実行されるようにします。
デバイスでVBSがまだ稼働していない場合、メモリ整合性がVBSに依存しているため、同じ更新プログラムによってVBSも有効化されます。
Microsoftのグループプログラムマネージャーであるピーター・ワクスマン氏によれば、これは同社が掲げる「セキュアバイデザイン、セキュアバイデフォルトによってWindowsを安全にする」という取り組みを反映したものだといいます。
メモリ整合性は、ハードウェア要件を満たすクリーンインストールのWindows 11環境や、すべてのSecured-core PCにおいて、Windows 10時代にDevice Guardとして登場して以来、既定で有効な状態で提供されてきました。
今回の10月の更新プログラムは、この既定設定の適用範囲をはるかに広い対象へと拡大するもので、旧バージョンのWindowsからアップグレードされたマシンや、当初はこの機能が無効の状態で出荷され、その後一度も手動設定が行われなかったシステムも対象に含まれます。
この保護機能を有効化する前に、Windowsはハードウェアの機能、ドライバーの互換性、パフォーマンスへの影響といった準備状況の指標を評価します。
対象となるデバイスは一般に、Intel第8世代以降のプロセッサ、AMD Zen 2以降のチップ、またはQualcomm Snapdragon 8180以降のプラットフォームを搭載し、x64システムでは少なくとも8GBのRAM、最低64GBのSSD、ファームウェアでのハードウェア仮想化の有効化を備えている必要があります。
Microsoftは、既存の管理者およびユーザーの設定を上書きするのではなく、尊重する方針を取っています。レジストリ編集やグループポリシー、Intuneの構成によってメモリ整合性が明示的に無効化されているデバイスについては、今回の展開によって無効化状態から静かに再有効化されることはありません。
この変更は新規インストールを必要とせず、通常の品質更新プログラムを通じて既存のデバイスにも適用されます。また展開自体も、対象となるすべてのマシンに一斉に及ぶのではなく、段階的に行われます。
VBSはカーネルプロセスを分離するためにハードウェア仮想化に依存していることから、一部のメディアはフレームレートへの影響の可能性を指摘しています。特に効率的な仮想化アクセラレーションを備えていない旧世代のCPUでその傾向が顕著だとされていますが、対象要件を満たす新しいハードウェアではこの影響を最小限に抑えるよう設計されています。
ユーザーおよび管理者は、Windowsの検索機能で「コアの分離」を検索し、表示された結果をWindowsセキュリティアプリで開いて、「デバイスのセキュリティ」内にある「メモリ整合性」のトグルを確認することで、現在の設定状況を確認できます。
この設定は手動で有効化・無効化することも、現状の構成のまま維持することも可能で、組織は既存のWindowsセキュリティおよび管理ツールを通じて引き続き完全な制御権を保持します。
Microsoftは、メモリ整合性をホットパッチをはじめとする今後のセキュリティ革新の基盤として位置づけており、今回の拡大展開を、管理者に負担を追加することなく自社エコシステム全体のセキュリティ基準を引き上げるための、より広範な戦略の一環としています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/microsoft-enables-vbs-and-memory-integrity/
