攻撃面の縮小 (ASR) ルールと除外を構成する

攻撃面の縮小 (ASR) ルール は、マルウェアを通じて一般的に悪用される Windows デバイス上の危険なソフトウェア動作を対象としています (たとえば、ファイルをダウンロードするスクリプトの起動、難読化されたスクリプトの実行、他のプロセスへのコードの挿入など)。 この記事では、ASR 規則を有効にして構成する方法について説明します。

最適な結果を得るには、Microsoft IntuneやMicrosoft Configuration Managerなどのエンタープライズ レベルの管理ソリューションを使用して ASR ルールを管理します。 IntuneやConfiguration ManagerのASRルール設定は、起動時に競合するPowerShell設定を上書きします。 MDMとグループポリシー設定間の競合がどのように解決されるかについては、「 ポリシー競合の扱い方」をご覧ください。

前提条件

詳細については、「 ASR 規則の要件」を参照してください。

ポリシーの競合の処理方法

同じASRルールが複数の方法で設定されている場合、以下のリストのように優先順位が解決されます。

• ローカルデバイス設定(Set-MpPreference):これらの設定は優先順位が最も低いです。 ポリシーベースのメソッドは起動時にそれらを上書きします。

• グループポリシー:起動時に競合するローカルデバイス設定を上書きします。 グループポリシーとモバイルデバイス管理(MDM)ソリューションの両方が同じASRルールを構成している場合、 MDMWinsOverGP が有効でない限り(次の項目参照)、デフォルトでグループポリシーが優先されます。 競合を避けるために、グループポリシーとMDMの両方で同じASRルールを設定しないでください。

• MDM:Microsoft Intuneや他のMDMソリューションは、起動時に競合するローカルデバイス設定を上書きします。 MDMもグループ ポリシーを上書きするかどうかは、MDMWinsOverGPControlPolicyConflict Policy CSP の設定によって異なります。

  • 0(デフォルト)の値はグループポリシー設定が優先されます。
  • 1の値はMDM設定が適用され、競合するグループポリシー設定がブロックされていることを意味します。

  MDMWinsOverGPはポリシーCSPを通じてのみ設定できます。例えば、IntuneのカスタムプロファイルにOMA-URIを使ったり、他のMDMソリューションで利用したりします。 そのためのグループポリシー設定やPowerShellコマンドレットはありません。 Intuneのカスタムプロファイルでは、以下の設定を使用します:

  OMA-URI: ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP
  データ型: 整数型
  値: 1

  注:

  制御された構成は、IntuneまたはMicrosoft Defender for Endpointのセキュリティ設定管理のみを強制し、グループポリシー、Configuration Manager、ローカルデバイス設定の競合を無視します。

• Microsoft Configuration Manager:ポリシーCSPを通じてASRルールを、クラシックなExploit Guardポリシーモードおよびテナントアタッチモードの両方で適用し、同じMDM優先順位とMDMWinsOverGPの動作に従います。

Microsoft Intuneで ASR 規則を構成する

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。 詳細については、「Microsoft Intune のライセンス」を参照してください。

Intune では、エンドポイント セキュリティ ポリシーを使用して ASR ルールを展開することをお勧めしますが、他の方法 ( たとえば、OMA-URIs と CSP を含むカスタム プロファイル) も Intune で使用できます。

エンドポイント セキュリティ ポリシーを使用してIntuneで ASR ルールと除外を構成する

Microsoft Intune Endpoint Security Attack surface reduction ポリシーを使用して ASR ルールを構成するには、「エンドポイント セキュリティ ポリシーを作成する (Intune ドキュメントの新しいタブで開く)」を参照してください。 ポリシーを作成する際は、以下の具体的な設定をご利用ください:

• ポリシーの種類: Endpoint security | Overview ページで、Attack surface reduction を選択します。
• [プラットフォーム]: [Windows] を選択します。
• プロファイル: 攻撃面の縮小ルールを選択してください。
• 設定タブ :

  • 攻撃面削減ルール:通常、テストなしでブロックまたは警告モードで標準的な保護ルールを有効にすることができます。 監査 モードで 他の ASR ルールをテストしてから、[ ブロック ] または [ 警告 ] モードに切り替える必要があります。 詳細については、 ASR ルールのデプロイ ガイドを参照してください。

    ルール モードを [監査]、[ ブロック]、または [警告] に設定すると、[ ルールの除外] セクションごとに ASR のみが 表示され、そのルールにのみ適用される除外を指定できます。

  • 攻撃面の縮小のみ除外: このセクションを使用して、すべての ASR 規則に適用される除外を指定します。

    ASR 規則ごとの除外またはグローバル ASR ルールの除外を指定するには、次のいずれかの方法を使用します。

    • 追加を選択します。 表示されるボックスに、除外するパスまたはパスとファイル名を入力します。 例:

      • C:\folder
      • %ProgramFiles%\folder\file.exe C:\path

    • [ インポート ] を選択して、除外するファイルとフォルダーの名前を含む CSV ファイルをインポートします。 CSV ファイルでは、次の形式が使用されます。

      AttackSurfaceReductionOnlyExclusions
      "C:\folder"
      "%ProgramFiles%\folder\file.exe"
      "C:\path"
      ...
      

      ヒント

      値を囲む二重引用符は省略可能であり、含める場合は無視されます (値には使用されません)。 値の周囲に単一引用符を使用しないでください。

    除外の詳細については、「 ASR 規則のファイルとフォルダーの除外」を参照してください。

  • フォルダー アクセスの制御、 フォルダー アクセスの保護されたフォルダーの制御、フォルダー アクセス許可アプリケーションの制御を有効にする: 詳細については、「 エンドポイント セキュリティ ポリシーを使用して Intune で CFA を構成する」を参照してください。

OMA-URI と CSP を使用したカスタム プロファイルを使用して Intune で ASR ルールを設定する

エンドポイント セキュリティ ポリシーが推奨されますが、Windows ポリシー構成サービス プロバイダー (CSP) を使用して、Open Mobile Alliance Uniform Resource Identifier (OMA-URI) 設定を含むカスタム プロファイルを使用して、Intune で ASR ルールを構成することもできます。

Intuneでの OMA-URIs に関する一般的な情報については、「Intuneを介して CSP をターゲットに OMA-URIs をデプロイする」と「オンプレミスとの比較」を参照してください。

1. https://intune.microsoft.comのMicrosoft Intune管理センターで、[デバイス>管理デバイス>Configuration] を選択します。 または、デバイスに直接移動するには |[構成] ページで、 https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationを使用します。

2. [デバイス] の [ ポリシー ] タブ |[構成 ] ページで、[ 作成>新しいポリシー] を選択します。

   

3. 開 いた [プロファイルの作成 ] ポップアップで、次の設定を構成します。

   • [プラットフォーム]: [Windows 10 以降] を選択します。
   • プロファイルの種類: [テンプレート] を選択します。
     • 表示される [ テンプレート名 ] セクションで、[ カスタム] を選択します。

   [作成] を選択します。

   

4. カスタム テンプレート ウィザードが開きます。 [ 基本 ] タブで、次の設定を構成します。

   • [名前]: テンプレートの一意の名前を入力します。
   • 説明: 省略可能な説明を入力します。

   [ 基本 ] タブが完了したら、[ 次へ] を選択します。

5. [ 構成設定 ] タブで、[ 追加] を選択します。

   

   開いた [行の追加] ポップアップで、次の設定を構成します。

   • [名前]: ルールの一意の名前を入力します。

   • 説明: 省略可能な簡単な説明を入力します。

   • OMA-URI: AttackSurfaceReductionRules CSP のデバイス値を入力します。./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules

     • データ型: [文字列] を選択します。

     • 値: 次の構文を使用します。

       <RuleGuid1>=<ModeForRuleGuid1>
       <RuleGuid2>=<ModeForRuleGuid2>
       ...
       <RuleGuidN>=<ModeForRuleGuidN>
       

       • ASR 規則の GUID 値は、 ASR 規則で使用できます。
       • 次の ルール モード を使用できます。
         • 0：オフ
         • 1：ブロック
         • 2：監査
         • 5: 未構成
         • 6：警告

       例:

       75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2
       3b576869-a4ec-4529-8536-b80a7769e899=1
       d4f940ab-401b-4efc-aadc-ad5f3c50688a=2
       d3e037e1-3eb8-44c8-a917-57927947596d=1
       5beb7efe-fd9a-4556-801d-275e5ffc04cc=0
       be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1
       

     

     [ 行の追加] ポップアップが完了したら、[保存] を選択 します。

     ヒント

     この時点で、除外のためだけに別のプロファイルを作成するのではなく、カスタム プロファイルにグローバル ASR ルールの除外を追加することもできます。 手順については、「 OMA-URIs と CSP でカスタム プロファイルを使用して Intune でグローバル ASR ルールの除外を構成する」を参照してください。

   [ 構成設定 ] タブに戻り、[ 次へ] を選択します。

6. [ 割り当て ] タブで、次の設定を構成します。

   • [含まれるグループ ] セクション: 次のいずれかのオプションを選択します。
     • [グループの追加]: 含めるグループを 1 つ以上選択します。
     • すべてのユーザーを追加する
     • すべてのデバイスを追加する
   • [除外されたグループ ] セクション: [ グループの追加] を選択して、除外するグループを指定します。

   [ 割り当て ] タブが完了したら、[ 次へ] を選択します。

   

7. [ 適用性ルール ] タブで、[ 次へ] を選択します。

   OS エディションと OS バージョンのプロパティを使用して、プロファイルを取得する必要がある、または取得しないデバイスの種類を定義できます。

   

8. [ 確認と作成 ] タブで、設定を確認します。 [ 前へ] を使用するか、タブを選択して戻って変更を加えることができます。

   プロファイルを作成する準備ができたら、[確認と作成] タブで [作成] を選択します。

   

[デバイス | 構成] ページの [ポリシー] タブにすぐに戻ります。 ポリシーを表示するには、[ 更新 ] を選択する必要がある場合があります。

ASR ルールは数分以内にアクティブになります。

OMA-URI と CSP を使用したカスタム プロファイルで Intune のグローバルな ASR ルールの除外を構成する

カスタム プロファイルを使用して Intune でグローバル ASR ルール の除外 を構成する手順は、「OMA-URIs と CSP でカスタム プロファイルを使用して Intune で ASR ルールを構成する」の ASR 規則の手順とよく似ています。 唯一の違いは、構成設定 タブで、ASR ルールではなく ASR ルールの除外に関する情報を入力する点です。

[ 構成設定 ] タブで、[ 追加] を選択します。 開いた [行の追加] ポップアップで、次の設定を構成します。

• [名前]: ルールの一意の名前を入力します。
  • 説明: 省略可能な簡単な説明を入力します。
  • OMA-URI: AttackSurfaceReductionOnlyExclusions CSP のデバイス値を入力します。./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions

    • データ型: [文字列] を選択します。

    • 値: 次の構文を使用します。

      <PathOrPathAndFilename1>
      <PathOrPathAndFilename1>
      ...
      <PathOrPathAndFilenameN>
      

      例:

      C:\folder
      %ProgramFiles%\folder\file.exe
      C:\path
      

[ 行の追加] ポップアップが完了したら、[保存] を選択 します。

[ 構成設定 ] タブに戻り、[ 次へ] を選択します。

「割り当て」タブから始めて、「OMA-URIs と CSP でカスタム プロファイルを使用して Intune で ASR ルールを構成する」の残りの手順を完了します。

Microsoft Defender ポータルで ASR ルールと除外を構成する

組織が Microsoft Defender ポータルでエンドポイント セキュリティ ポリシーを管理している場合は、Intune で使用されるのと同じエンドポイント セキュリティ ポリシーを使用して、ASR 規則とその除外を構成できます。

https://security.microsoft.com/policy-inventoryのDefenderポータルのエンドポイントセキュリティポリシーページのWindowsタブで新しいポリシーを作成)を選択し、以下の特定の設定を使用します。

• [プラットフォームの選択]: [Windows] を選択します。
• テンプレートを選択してください: 攻撃面削減ルールを選択します。

Attack Surface Reduction Rules のプロファイルと設定には、エンドポイント セキュリティ ポリシーを使用して Intune で ASR ルールと除外を構成する で説明されているものと同じものを使用します。 これらの設定には、グローバル攻撃面の縮小のみの除外と ASR ごとのルールの除外が含まれます。

完全な手順については、「 エンドポイント セキュリティ ポリシーの作成」を参照してください。

ポリシーを割り当てるときは、割り当てグループの制限が、セキュリティ設定管理によって管理されるデバイスに適用されることに注意してください。 詳細については、「 割り当て」の手順を参照してください。

ポリシー CSP を使用して任意の MDM ソリューションで ASR ルールを構成する

ポリシー構成サービス プロバイダー (CSP) を使用すると、エンタープライズ組織は、Microsoft Intuneだけでなく、任意のモバイル デバイス管理 (MDM) ソリューションを使用して Windows デバイスにポリシーを構成できます。 詳細については、「 ポリシー CSP」を参照してください。

次の設定を使用して 、AttackSurfaceReductionRules CSP を使用して ASR ルールを構成できます。

OMA-URI パス: ./Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionRules
値: <RuleGuid1>=<ModeForRuleGuid1>|<RuleGuid2>=<ModeForRuleGuid2>|...<RuleGuidN>=<ModeForRuleGuidN>

• ASR ルールの GUID 値は、ASR ルールで使用できます
• 次の ルール モード を使用できます。
  • 0：オフ
  • 1：ブロック
  • 2：監査
  • 5: 未構成
  • 6：警告

例:

75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84=2|3b576869-a4ec-4529-8536-b80a7769e899=1|d4f940ab-401b-4efc-aadc-ad5f3c50688a=2|d3e037e1-3eb8-44c8-a917-57927947596d=1|5beb7efe-fd9a-4556-801d-275e5ffc04cc=0|be9ba2d9-53ea-4cdc-84e5-9b1eeee46550=1

ポリシー CSP を使用して任意の MDM ソリューションでグローバル ASR ルールの除外を構成する

ポリシー CSP を使用すると、次の設定で AttackSurfaceReductionOnlyExclusions CSP を使用して、グローバル ASR ルールのパスとパスとファイル名の除外を構成できます。

OMA-URI パス: ./Device/Vendor/MSFT/Policy/Config/Defender/AttackSurfaceReductionOnlyExclusions
値: <PathOrPathAndFilename1>=0|<PathOrPathAndFilename1>=0|...<PathOrPathAndFilenameN>=0

たとえば、C:\folder|%ProgramFiles%\folder\file.exe|C:\path のように指定します。

Microsoft Configuration Managerで ASR ルールとグローバル ASR ルールの除外を構成する

手順については、「 Exploit Guard ポリシーの作成と展開」の攻撃面の縮小に関する情報を参照してください。

グループポリシーでASRルールと除外を設定

1. 一元化されたグループ ポリシーで、グループ ポリシー管理コンピューターでグループ ポリシー管理コンソール (GPMC) を開きます。

2. GPMC コンソール ツリーで、編集する GPO を含むフォレストとドメイン内の [グループ ポリシー オブジェクト] を展開します。

3. GPO を右クリックし、[編集] を選択 します。

4. グループ ポリシー管理エディターで、コンピューターの構成>管理用テンプレート>Windows コンポーネント>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard > Attack Surface Reduction に移動します。

5. [攻撃面の縮小] の詳細ウィンドウで、使用可能な設定は次のとおりです。

   • 攻撃面の縮小ルールを構成する
   • 攻撃面の縮小ルールからファイルとパスを除外する
   • 特定の攻撃面の縮小 (ASR) ルールに除外の一覧を適用する

   ASR ルール設定を開いて構成するには、次のいずれかの方法を使用します。

   • 設定をダブルクリックします。
   • 設定を右クリックし、[編集] を選択します
   • 設定を選択し、[ アクション>編集] を選択します。

利用可能な設定については、グループ ポリシーで ASR ルールを構成する、グループ ポリシーでグローバル ASR ルールの除外を構成する、および グループ ポリシーで ASR ルールごとの除外を構成するで説明されています。

グループポリシーでASRルールを設定する

ASR ルールとそのモードをグループ ポリシーの Attack Surface Reduction 設定で構成するには、次の手順に従います。

1. [攻撃面の縮小] の詳細ウィンドウで、[攻撃面の縮小ルールの構成] 設定を開きます。

2. 開いた設定ウィンドウで、次のオプションを構成します。

   1. [有効] を選択します。
   2. 各 ASR ルールの状態を設定する: [表示]を選択します。...
   3. 開いた 各 ASR 規則の状態の設定 ダイアログで、次の設定を構成します。
      • 値名: ASR 規則の GUID 値を入力します。
      • 値: 次のいずれかの ルール モード 値を入力します。
        • 0：オフ
        • 1：ブロック
        • 2：監査
        • 5: 未構成
        • 6：警告

   

   詳細については、「 ASR ルール モード」を参照してください。

   必要な回数だけこの手順を繰り返します。 完了したら、[ OK] を選択します。

グループポリシーでグローバルASRルール除外を設定する

指定したパスを含むパスまたはファイル名は、すべての ASR 規則の除外として使用されます。

1. [攻撃面の縮小] の詳細ウィンドウで、[攻撃面の縮小ルールからファイルとパスを除外する] 設定を開きます。

2. 開いた設定ウィンドウで、次のオプションを構成します。

   1. [有効] を選択します。
   2. ASR ルールからの除外: [表示]を選択します。...

3. 開 いた [ASR 規則からの除外] ダイアログで、次の設定を構成します。

   • 値名: すべての ASR 規則から除外するパスまたはパスとファイル名を入力します。
   • 値: 「 0」と入力します。

   次の種類の値名がサポートされています。

   • フォルダー内のすべてのファイルを除外するには、完全なフォルダー パスを入力します。 たとえば、「 C:\Data\Test 」のように入力します。
   • 特定のフォルダー内の特定のファイルを除外する (推奨) には、パスとファイル名を入力します。 たとえば、「 C:\Data\Test\test.exe 」のように入力します。

   必要な回数だけこの手順を繰り返します。 完了したら、[ OK] を選択します。

グループポリシーでASRごとのルール除外を設定する

指定したパスを含むパスまたはファイル名は、特定の ASR 規則の除外として使用されます。

1. [攻撃面の縮小] の詳細ウィンドウで、[特定の攻撃面の縮小 (ASR) ルールに除外の一覧を適用する] 設定を開きます。

2. 開いた設定ウィンドウで、次のオプションを構成します。

   1. [有効] を選択します。
   2. 各 ASR ルールの除外: [表示....] を選択します。

3. 開いた各 ASR ルールの除外ダイアログで、次の設定を行います。

   • 値名: ASR 規則の GUID 値を入力します。
   • 値: ASR 規則の除外を 1 つ以上入力します。 構文 Path1\ProcessName1>Path2\ProcessName2>...PathN\ProcessNameNを使用します。 たとえば、「 C:\Windows\Notepad.exe>c:\Windows\regedit.exe>C:\SomeFolder\test.exe 」のように入力します。

   必要な回数だけこの手順を繰り返します。 完了したら、[ OK] を選択します。

PowerShell で ASR 規則を構成する

ターゲット デバイスで、管理者特権の PowerShell セッションで次の PowerShell コマンド構文を使用します ([ 管理者として実行] を選択して開いた PowerShell ウィンドウ)。 この構文では、各規則 GUID とその必要なアクションを指定して、1 つ以上の ASR 規則のモードを追加、設定、または削除します。

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionRules_Ids <RuleGuid1>,<RuleGuid2>,...<RuleGuidN> -AttackSurfaceReductionRules_Actions <ModeForRuleGuid1>,<ModeForRuleGuid2>,...<ModeForRuleGuidN>

• Set-MpPreference は、既存のルールとそれに対応するモードを、指定した値で上書きします。 割り当てられたアクションと共にデバイスで現在構成されている ASR ルールを表示するには、次のコマンドを実行します。

  $p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize
  

  既存の値に影響を与えずに新しいルールとそれに対応するモードを追加するには、 Add-MpPreference コマンドレットを使用します。 指定したルールとそれに対応するモードを他の既存の値に影響を与えずに削除するには、 Remove-MpPreference コマンドレットを使用します。 コマンド構文は、3 つのコマンドレットで同じです。

• ASR 規則の GUID 値は、 ASR 規則で使用できます。

• AttackSurfaceReductionRules_Actions パラメーターの有効な値は次のとおりです。

  • 0 または Disabled
  • 1 または Enabled (ブロック モード)
  • 2 または AuditMode または Audit
  • 5 または NotConfigured
  • 6 または Warn

次の例では、 Set-MpPreference を使用して、1 つのコマンドで 4 つの ASR 規則を構成し、各規則を異なるモード (有効、 無効、または AuditMode) に設定します。

Set-MpPreference -AttackSurfaceReductionRules_Ids 26190899-1602-49e8-8b27-eb1d0a1ce869,3b576869-a4ec-4529-8536-b80a7769e899,e6db77e5-3df2-4cf1-b95a-636979351e5,01443614-cd74-433a-b99e-2ecdc07bfc25 -AttackSurfaceReductionRules_Actions Enabled,Enabled,Disabled,AuditMode

PowerShell でグローバル ASR ルールの除外を構成する

ターゲット デバイスで、管理者特権の PowerShell セッションで次の PowerShell コマンド構文を使用して、すべての ASR 規則に適用されるパスの除外を追加、更新、または削除します。

<Add-MpPreference | Set-MpPreference | Remove-MpPreference> -AttackSurfaceReductionOnlyExclusions "<PathOrPathAndFilename1>","<PathOrPathAndFilename2>",..."<PathOrPathAndFilenameN>"

• Set-MpPreferenceは、既存の ASR ルールの除外を指定した値で上書きします。 デバイスで現在構成されている ASR ルールの除外を表示するには、次のコマンドを実行します。

  (Get-MpPreference).AttackSurfaceReductionOnlyExclusions
  

  既存の値に影響を与えずに新しい例外を追加するには、 Add-MpPreference コマンドレットを 使用します。 他の値に影響を与えずに指定した例外を削除するには、 Remove-MpPreference コマンドレットを 使用します。 コマンド構文は、3 つのコマンドレットで同じです。

  次の例では、デバイス上のすべての ASR 規則からフォルダー (C:\Data\Test) と特定の実行可能ファイル (C:\Data\LOBApp\app1.exe) を除外します。

  Set-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Data\Test","C:\Data\LOBApp\app1.exe"
  

関連コンテンツ

• 攻撃面の縮小 (ASR) ルール リファレンス
• 攻撃面の縮小を評価する
• 攻撃面の縮小に関する FAQ