Intune でのエンドポイント セキュリティの攻撃表面の縮小ポリシー設定

エンドポイント セキュリティ ポリシーの一部として、Intune のエンドポイント セキュリティ ノードにある攻撃面の縮小ポリシーのプロファイルで構成できる設定を表示します。

適用対象:

  • Windows

    重要

    2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

サポートされているプラットフォームとプロファイル:

  • Windows - Intune で管理されるデバイスに展開するポリシーには、このプラットフォームを使用します。

    • プロファイル: アプリとブラウザーの分離
    • プロファイル: アプリケーション制御
    • プロファイル: 攻撃面の減少ルール
    • プロフィール: デバイス制御
    • プロファイル: Exploit Protection
    • プロファイル: Web 保護 (Microsoft Edge 従来版)

  • Windows (ConfigMgr): Configuration Manager によって管理されるデバイスに展開するポリシーには、このプラットフォームを使用します。

    • プロファイル: Exploit Protection (ConfigMgr)(プレビュー)
    • プロファイル: Web 保護 (ConfigMgr)(プレビュー)

  • Windows: Microsoft Defender for Endpoint のセキュリティ管理を通じて管理されるデバイスに展開するポリシーには、このプラットフォームを使用します。

    • プロファイル: 攻撃面の減少ルール

攻撃面の縮小 (MDM)

アプリとブラウザーの分離プロファイル

注:

このセクションでは、2023 年 4 月 18 日より前に作成されたアプリとブラウザーの分離プロファイルの設定について詳しく説明します。 その日付以降に作成されたプロファイルでは、設定カタログにある新しい設定形式が使用されます。 この変更により、古いプロファイルの新しいバージョンを作成できなくなり、それらのバージョンは開発されなくなります。 古いプロファイルの新しいインスタンスを作成することはできなくなりましたが、以前に作成したインスタンスを引き続き編集して使用することはできます。

新しい設定形式を使用するプロファイルの場合、Intune は各設定の名前別のリストを保持しなくなりました。 代わりに、各設定の名前、構成オプション、および Microsoft Intune 管理センターに表示される説明テキストは、設定の信頼できるコンテンツから直接取得されます。 そのコンテンツは、適切なコンテキストでの設定の使用に関する詳細情報を提供できます。 設定情報のテキストを表示するときに、[ 詳細] リンクを使用してそのコンテンツを開くことができます。

アプリとブラウザーの分離

  • Application Guard を有効にする
    CSP: AllowWindowsDefenderApplicationGuard

    • 未構成 (既定値) - Microsoft Defender Application Guard は、Microsoft Edge または分離された Windows 環境用に構成されていません。
    • Edge で有効 - Application Guard は、Hyper-V 仮想化された参照コンテナーで未承認のサイトを開きます。
    • 分離された Windows 環境での有効 - Windows 内の App Guard が有効になっているすべてのアプリケーションに対して Application Guard が有効になります。
    • Edge および分離された Windows 環境で有効 - Application Guard は両方のシナリオ用に構成されています。

    注:

    Intune 経由で Microsoft Edge 用 Application Guard を展開する場合は、前提条件として Windows ネットワーク分離ポリシーを構成する必要があります。 ネットワークの分離は、Windows ネットワーク分離設定でのアプリとブラウザーの分離など、さまざまなプロファイルを使用して構成できます。

    [ Edge で有効 ] または [Edge および分離された Windows 環境で有効] に設定すると、Edge に適用される次の設定を使用できます。

    • クリップボードの動作
      CSP: ClipboardSettings

      ローカル PC および Application Guard 仮想ブラウザーから許可されるコピー アンド ペースト操作を選択します。

      • 未構成 (既定値)
      • PC とブラウザー間のコピーと貼り付けをブロックする
      • ブラウザーから PC へのコピーと貼り付けのみを許可する
      • PC からブラウザーへのコピーと貼り付けのみを許可する
      • PC とブラウザーの間のコピーと貼り付けを許可する

    • エンタープライズ承認サイト以外からの外部コンテンツをブロックする
      CSP: BlockNonEnterpriseContent

      • 未構成 (既定値)
      • はい - 承認されていない Web サイトのコンテンツの読み込みをブロックします。

    • Application Guard 閲覧セッション内で発生したイベントのログを収集します
      CSP: AuditApplicationGuard

      • 未構成 (既定値)
      • はい - Application Guard 仮想参照セッション内で発生したイベントのログを収集します。

    • ユーザーが生成したブラウザー データの保存を許可する
      CSP: AllowPersistence

      • 未構成 (既定値)
      • はい - Application Guard 仮想閲覧セッション中に作成されたユーザー データを保存できるようにします。 ユーザー データの例としては、パスワード、お気に入り、Cookie などがあります。

    • ハードウェア グラフィックス アクセラレータを有効にする
      CSP: AllowVirtualGPU

      • 未構成 (既定値)
      • はい - Application Guard 仮想閲覧セッション内で、仮想グラフィックス処理装置を使用して、グラフィックスを多用する Web サイトをより速く読み込みます。

    • ユーザーがホストにファイルをダウンロードすることを許可する
      CSP: SaveFilesToHost

      • 未構成 (既定値)
      • はい - ユーザーが仮想化されたブラウザーからホスト オペレーティング システムにファイルをダウンロードすることを許可します。

    • Application Guard は、カメラとマイクへのアクセスを許可します
      CSP: AllowCameraMicrophoneRedirection

      • 未構成 (既定値) - Microsoft Defender Application Guard 内のアプリケーションは、ユーザー デバイスのカメラとマイクにアクセスできません。
      • はい - Microsoft Defender Application Guard 内のアプリケーションは、ユーザー デバイスのカメラとマイクにアクセスできます。
      • いいえ - Microsoft Defender Application Guard 内のアプリケーションは、ユーザー デバイスのカメラとマイクにアクセスできません。 これは、 未構成と同じ動作です。

  • Application Guard は、ローカル プリンターへの印刷を許可します

    • 未構成 (既定値)
    • はい - ローカル プリンターへの印刷を許可します。

  • Application Guard により、ネットワーク プリンターへの印刷が許可されます

    • 未構成 (既定値)
    • はい - ネットワーク プリンターへの印刷を許可します。

  • Application Guard による PDF への印刷を許可する

    • 未構成 (既定値)
    • はい - PDF への印刷印刷を許可します。

  • Application Guard による XPS への印刷を許可

    • 未構成 (既定値)
    • はい - - XPS への印刷を許可します。

  • Application Guard は、ユーザーのデバイスからルート証明機関の使用を許可します
    CSP: CertificateThumbprints

    一致するルート証明書を Microsoft Defender Application Guard コンテナーに自動的に転送するように証明書の拇印を構成します。

    拇印を 1 つずつ追加するには、[ 追加] を選択します。 インポートを使用すると、プロファイルに同時に追加される複数の拇印エントリを含む .CSV ファイルを指定できます。 .CSV ファイルを使用する場合は、各拇印をコンマで区切る必要があります。 例: b4e72779a8a362c860c36a6461f31e3aa7e58c14,1b1d49f06d2a697a544a1059bd59a7b058cda924

    プロファイルに一覧表示されているすべてのエントリがアクティブです。 サムプリント エントリをアクティブにするためにチェック ボックスを選択する必要はありません。 代わりに、チェック ボックスを使用して、プロファイルに追加されたエントリを簡単に管理します。 たとえば、1 つ以上の証明書拇印エントリのチェック ボックスをオンにし、1 つの操作でそれらのエントリをプロファイルから 削除 できます。

  • Windows のネットワークの分離のポリシー

    • 未構成 (既定値)
    • はい - Windows ネットワーク分離ポリシーを構成します。

    [はい] に設定すると、次の設定を構成できます。

    • IP 範囲 ドロップダウンを展開し、[ 追加] を選択して、 下位アドレス を指定してから 、上位アドレスを指定します。

    • クラウド リソース ドロップダウンを展開し、[ 追加] を選択して、 IP アドレスまたは FQDN と プロキシを指定します。

    • ネットワーク ドメイン ドロップダウンを展開し、[ 追加] を選択して、[ ネットワーク ドメイン] を指定します。

    • プロキシ サーバー ドロップダウンを展開し、[ 追加] を選択して、[ プロキシ サーバー] を指定します。

    • 内部プロキシ サーバー ドロップダウンを展開し、[ 追加] を選択して、[ 内部プロキシ サーバー] を指定します。

    • ニュートラル リソース ドロップダウンを展開し、[ 追加] を選択して、[ ニュートラル リソース] を指定します。

    • 他のエンタープライズ プロキシ サーバーの自動検出を無効にする

      • 未構成 (既定値)
      • はい - 他のエンタープライズ プロキシ サーバーの自動検出を無効にします。

    • [Autodetection of other enterprise IP ranges] (他のエンタープライズ IP 範囲の自動検出を無効にする)

      • 未構成 (既定値)
      • はい - 他のエンタープライズ IP 範囲の自動検出を無効にします。

    注:

    プロファイルが作成されると、ポリシーを適用する必要があるすべてのデバイスで、Microsoft Defender Application Guard が有効になります。 保護を適用するには、デバイスの再起動が必要になる場合があります。

アプリケーション制御プロファイル

Microsoft Defender アプリケーション制御

  • アプリ ロッカー アプリケーション制御
    CSP: AppLocker

    • 未構成 (既定値)
    • コンポーネントとストア アプリを適用する
    • コンポーネントとストア アプリの監査
    • コンポーネント、ストア アプリ、SmartLocker を適用する
    • コンポーネント、Microsoft Store アプリ、SmartLocker の監査

  • ユーザーが SmartScreen の警告を無視できないようにする
    CSP: SmartScreen/PreventOverrideForFilesInShell

    • 未構成 (既定値) - ユーザーは、ファイルと悪意のあるアプリに対する SmartScreen 警告を無視できます。
    • はい - SmartScreen は有効になっており、ユーザーはファイルや悪意のあるアプリに関する警告をバイパスできません。

  • Windows SmartScreen をオンにする
    CSP: SmartScreen/EnableSmartScreenInShell

    • 未構成 (既定値) - 設定を Windows の既定値に戻します。つまり SmartScreen を有効にします。ただし、ユーザーはこの設定を変更できます。 SmartScreen を無効にするには、カスタム URI を使用します。
    • はい - すべてのユーザーに SmartScreen の使用を強制します。

攻撃面の減少ルール プロファイル

攻撃面の減少ルール

攻撃表面の縮小ルールの詳細については、Microsoft 365 ドキュメントの 「攻撃表面の減少ルール リファレンス 」を参照してください。

注:

このセクションでは、2022 年 4 月 5 日より前に作成された攻撃面の減少ルール プロファイルの設定について詳しく説明します。 その日付以降に作成されたプロファイルでは、設定カタログにある新しい設定形式が使用されます。 この変更により、古いプロファイルの新しいバージョンを作成できなくなり、それらのバージョンは開発されなくなります。 古いプロファイルの新しいインスタンスを作成することはできなくなりましたが、以前に作成したインスタンスを引き続き編集して使用することはできます。

新しい設定形式を使用するプロファイルの場合、Intune は各設定の名前別のリストを保持しなくなりました。 代わりに、各設定の名前、構成オプション、および Microsoft Intune 管理センターに表示される説明テキストは、設定の信頼できるコンテンツから直接取得されます。 そのコンテンツは、適切なコンテキストでの設定の使用に関する詳細情報を提供できます。 設定情報のテキストを表示するときに、[ 詳細] リンクを使用してそのコンテンツを開くことができます。

  • WMI イベント サブスクリプションを使用して永続化をブロックする
    攻撃表面の減少ルールを使用して攻撃面を減らす

    この攻撃面の縮小 (ASR) ルールは、次の GUID によって制御されます: e6db77e5-3df2-4cf1-b95a-636979351e5b

    この規則により、マルウェアが WMI を悪用してデバイスでの永続性を獲得するのを防ぎます。 ファイルレス脅威は、さまざまな戦術を採用して潜伏し、ファイル システムに見つからないようにして、定期的に実行制御を獲得します。 脅威の中には、WMI リポジトリとイベント モデルを悪用して、潜伏できるものがあります。

    • 未構成 (既定値) – 設定は Windows の既定値に戻り、オフになり、永続化はブロックされません。
    • ブロック – WMI による永続化をブロックします。
    • 監査 – 有効になっている場合 (ブロックに設定)、この規則が組織に与える影響を評価します。
    • 無効 - この規則をオフにします。 永続化はブロックされません。

    この設定の詳細については、「 WMI イベント サブスクリプションを通じて永続化をブロックする」を参照してください。

  • Windows ローカル セキュリティ機関サブシステムからの資格情報の盗用 (lsass.exe) をブロックする
    エクスプロイトからデバイスを保護する

    この攻撃面の縮小 (ASR) ルールは、次の GUID によって制御されます: 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ユーザー定義
    • 有効 - lsass.exe を介して資格情報を盗もうとする試みはブロックされます。
    • 監査モード - ユーザーは危険なドメインからブロックされず、代わりに Windows イベントが発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。

  • Adobe Reader による子プロセスの作成をブロックする
    攻撃表面の減少ルールを使用して攻撃面を減らす

    この ASR ルールは、7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c という GUID によって制御されます。

    • 未構成 (既定値) - Windows の既定値が復元され、子プロセスの作成がブロックされません。
    • ユーザー定義
    • 有効 - Adobe Reader は子プロセスの作成をブロックされています。
    • 監査モード - 子プロセスをブロックする代わりに Windows イベントが発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。

  • Office アプリケーションによる他のプロセスへのコード挿入をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84 という GUID によって制御されます。

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Office アプリケーションが他のプロセスにコードを追加できないようにブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • Office アプリケーションによる実行可能なコンテンツの作成をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID によって制御されます: 3B576869-A4EC-4529-8536-B80A7769E899

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Office アプリケーションは、実行可能コンテンツの作成をブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • すべての Office アプリケーションによる子プロセスの作成をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、D4F940AB-401B-4EFC-AADC-AD5F3C50688A という GUID を介して制御されます。

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Office アプリケーションによる子プロセスの作成がブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • Office マクロからの Win32 API 呼び出しをブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID を介して制御されます: 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Office マクロは Win32 API 呼び出しの使用をブロックされています。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • Office コミュニケーション アプリによる子プロセスの作成をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、26190899-1602-49e8-8b27-eb1d0a1ce869 という GUID を介して制御されます。

    • 未構成 (既定値) - 子プロセスの作成をブロックしない Windows の既定値が復元されます。
    • ユーザー定義
    • 有効 - Office コミュニケーション アプリケーションによる子プロセスの作成がブロックされます。
    • 監査モード - 子プロセスをブロックする代わりに Windows イベントが発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。

  • 難読化される可能性のあるスクリプト (js/vbs/ps) の実行をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID を介して制御されます: 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Defender は難読化されたスクリプトの実行をブロックします。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • JavaScript または VBScript によるダウンロードした実行可能コンテンツの起動をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID を介して制御されます: D3E037E1-3EB8-44C8-A917-57927947596D

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - Defender は、インターネットからダウンロードされた JavaScript または VBScript ファイルの実行をブロックします。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 無効 - この設定はオフになっています。

  • PSExec コマンドと WMI コマンドから発生するプロセス作成をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID を介して制御されます: d1e49aac-8f56-4280-b9ba-993a6d77406c

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - PSExec または WMI コマンドによるプロセスの作成はブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • USB から実行される信頼されていない、署名されていないプロセスをブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID によって制御されます: b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - USB ドライブから実行される信頼されていないプロセスや署名されていないプロセスはブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • 流行、年齢、または信頼できるリストの基準を満たしていない限り、実行可能ファイルの実行をブロックする
    エクスプロイトからデバイスを保護する

    この ASR ルールは、01443614-cd74-433a-b99e-2ecdc07bfc25e を介して制御されます。

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • Block
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • メールおよび Web メール クライアントからの実行可能コンテンツのダウンロードをブロックする
    エクスプロイトからデバイスを保護する

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ブロック - メールおよび Web メール クライアントからダウンロードされた実行可能コンテンツがブロックされます。
    • 監査モード - Windows イベントはブロックの代わりに発生します。
    • 警告 - Windows 10 バージョン 1809 以降および Windows 11 の場合、デバイス ユーザーは、設定のブロックをバイパスできるというメッセージを受け取ります。 以前のバージョンの Windows 10 を実行するデバイスでは、ルールによって Enable 動作が強制されます。
    • 無効 - この設定はオフになっています。

  • ランサムウェアに対する高度な保護機能を使用するエクスプロイトからデバイスを保護する

    この ASR ルールは、次の GUID によって制御されます: c1db55ab-c21a-4637-bb3f-a12568109d35

    • 未構成 (既定値) - 設定は Windows の既定値 (オフ) に戻ります。
    • ユーザー定義
    • Enable
    • 監査モード - - Windows イベントをブロックする代わりに発生します。

  • フォルダー保護を有効にする
    CSP: EnableControlledFolderAccess

    • 未構成 (既定値) - この設定は既定値に戻り、読み取りまたは書き込みはブロックされません。
    • 有効 - 信頼できないアプリの場合、Defender は、保護されたフォルダー内のファイルの変更または削除、またはディスク セクターへの書き込みの試みをブロックします。 Defender は、信頼できるアプリケーションを自動的に決定します。 または、信頼できるアプリケーションの独自の一覧を定義することもできます。
    • 監査モード - 信頼できないアプリケーションが制御されたフォルダーにアクセスすると、Windows イベントが発生しますが、ブロックは強制されません。
    • ブロック ディスクの変更 - ディスク セクターへの書き込みの試行のみがブロックされます。
    • ディスクの変更の監査 - ディスク セクターへの書き込みの試行をブロックする代わりに、Windows イベントが発生します。

  • 保護する必要がある追加フォルダーの一覧
    CSP: ControlledFolderAccessProtectedFolders

    信頼できないアプリケーションから保護されるディスクの場所の一覧を定義します。

  • 保護されたフォルダーにアクセスできるアプリの一覧
    CSP: ControlledFolderAccessAllowedApplications

    制御された場所への読み取り/書き込みにアクセスできるアプリの一覧を定義します。

  • 攻撃面の縮小ルールからファイルとパスを除外する
    CSP: AttackSurfaceReductionOnlyExclusions

    ドロップダウンを展開し、[ 追加 ] を選択して、攻撃表面の減少ルールから除外するファイルまたはフォルダーへの パス を定義します。

デバイス制御プロファイル

デバイス コントロール

注:

このセクションでは、2022 年 5 月 23 日より前に作成されたデバイス制御プロファイルにある設定について詳しく説明します。 その日付以降に作成されたプロファイルでは、設定カタログにある新しい設定形式が使用されます。 元のプロファイルの新しいインスタンスを作成することはできなくなりましたが、既存のプロファイルを引き続き編集して使用することができます。

新しい設定形式を使用するプロファイルの場合、Intune は各設定の名前別のリストを保持しなくなりました。 代わりに、各設定の名前、構成オプション、および Microsoft Intune 管理センターに表示される説明テキストは、設定の信頼できるコンテンツから直接取得されます。 そのコンテンツは、適切なコンテキストでの設定の使用に関する詳細情報を提供できます。 設定情報のテキストを表示するときに、[ 詳細] リンクを使用してそのコンテンツを開くことができます。

  • デバイス識別子によるハードウェア デバイスのインストールを許可する

    • 未構成(既定)
    • はい - 別のポリシー設定でインストールが明示的に禁止されていない限り、作成する一覧にプラグ アンド プレイ ハードウェア ID または互換性 ID が表示されているデバイスを Windows がインストールまたは更新できます。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 許可一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • デバイス識別子によるハードウェア デバイスのインストールのブロック
    CSP: AllowInstallationOfMatchingDeviceIDs

    • 未構成(既定)
    • はい - Windows のインストールが禁止されているデバイスのプラグ アンド プレイ ハードウェア ID と互換性 ID の一覧を指定します。 このポリシーは、Windows によるデバイスのインストールを許可する他のどのポリシー設定よりも優先されます。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 一致するハードウェア デバイスを削除する

      • はい
      • 未構成(既定)

    • ブロック一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • セットアップ クラスによるハードウェア デバイスのインストールを許可する

    • 未構成(既定)
    • はい - 別のポリシー設定でインストールが明示的に禁止されていない限り、作成した一覧にデバイス セットアップ クラス GUID が表示されるデバイス ドライバーを Windows でインストールまたは更新できます。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 許可一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • セットアップ クラスによるハードウェア デバイスのインストールをブロックする
    CSP: AllowInstallationOfMatchingDeviceSetupClasses

    • 未構成(既定)
    • はい - Windows がインストールできないデバイス ドライバーのデバイス セットアップ クラスのグローバル一意識別子 (GUID) の一覧を指定します。 このポリシー設定は、Windows によるデバイスのインストールを許可する他のポリシー設定よりも優先されます。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 一致するハードウェア デバイスを削除する

      • はい
      • 未構成(既定)

    • ブロック一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • デバイス インスタンス識別子によるハードウェア デバイスのインストールを許可する

    • 未構成(既定)
    • はい - 別のポリシー設定でインストールが明示的に禁止されている場合を除き、Windows は、作成した一覧にプラグ アンド プレイ デバイス インスタンス ID が表示されているデバイスのインストールまたは更新を許可されています。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 許可一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • デバイス インスタンス識別子によるハードウェア デバイスのインストールのブロック
    リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。

    • 未構成(既定)
    • はい - Windows のインストールが禁止されているデバイスのプラグ アンド プレイ ハードウェア ID と互換性 ID の一覧を指定します。 このポリシーは、Windows によるデバイスのインストールを許可する他のどのポリシー設定よりも優先されます。 リモート デスクトップ サーバーでこのポリシー設定を有効にした場合、ポリシー設定は、リモート デスクトップ クライアントからリモート デスクトップ サーバーへの指定されたデバイスのリダイレクトに影響します。
    • いいえ

    [はい] に設定すると、次のオプションを構成できます。

    • 一致するハードウェア デバイスを削除する

      • はい
      • 未構成(既定)

    • ブロック一覧 - [追加]、[ インポート]、 および [エクスポート ] を使用して、デバイス識別子の一覧を管理します。

  • リムーバブル記憶域への書き込みアクセスをブロックする
    CSP: RemovableDiskDenyWriteAccess

    • 未構成(既定)
    • はい - リムーバブル記憶域への書き込みアクセスは拒否されます。
    • いいえ - 書き込みアクセスが許可されています。

  • フル スキャン中にリムーバブル ドライブをスキャンする
    CSP: Defender/AllowFullScanRemovableDriveScanning

    • 未構成 (既定値) - リムーバブル ドライブをスキャンするクライアントの既定の設定に戻りますが、ユーザーはこのスキャンを無効にできます。
    • はい - フル スキャン中に、リムーバブル ドライブ (USB フラッシュ ドライブなど) がスキャンされます。

  • ダイレクト メモリ アクセスをブロックする
    CSP: DataProtection/AllowDirectMemoryAccess

    このポリシー設定は、BitLocker またはデバイスの暗号化が有効になっている場合にのみ適用されます。

    • 未構成 (既定値)
    • はい - ユーザーが Windows にログインするまで、すべてのホット プラグ可能な PCI ダウンストリーム ポートの直接メモリ アクセス (DMA) をブロックします。 ユーザーがログインすると、Windows はホストプラグ PCI ポートに接続されている PCI デバイスを列挙します。 ユーザーがコンピューターをロックするたびに、DMA は、ユーザーが再度ログインするまで、子デバイスのないホット プラグ PCI ポートでブロックされます。 コンピューターのロックが解除されたときに既に列挙されていたデバイスは、プラグが取り外されるまで機能し続けます。

  • カーネル DMA 保護と互換性のない外部デバイスの列挙型
    CSP: DmaGuard/DeviceEnumerationPolicy

    このポリシーは、外部 DMA 対応デバイスに対する追加のセキュリティを提供できます。 これにより、DMA 再マッピング/デバイス メモリ分離とサンドボックスと互換性のない外部 DMA 対応デバイスの列挙をより細かく制御できます。

    このポリシーは、カーネル DMA 保護がシステム ファームウェアによってサポートされ、有効になっている場合にのみ有効になります。 カーネル DMA 保護は、製造時にシステムでサポートする必要があるプラットフォーム機能です。 システムがカーネル DMA 保護をサポートしているかどうかチェックを確認するには、MSINFO32.exe の [概要] ページの [カーネル DMA 保護] フィールドチェックします。

    • 未構成 - (既定)
    • すべてブロック
    • すべて許可

  • Bluetooth 接続をブロックする
    CSP: Bluetooth/AllowDiscoverableMode

    • 未構成 (既定値)
    • はい - デバイスとの Bluetooth 接続をブロックします。

  • Bluetooth の検出可能性をブロックする
    CSP: Bluetooth/AllowDiscoverableMode

    • 未構成 (既定値)
    • はい - 他の Bluetooth 対応デバイスがデバイスを検出できないようにします。

  • Bluetooth 事前ペアリングをブロックする
    CSP: Bluetooth/AllowPrepairing

    • 未構成 (既定値)
    • はい - 特定の Bluetooth デバイスがホスト デバイスと自動的にペアリングされないようにします。

  • Bluetooth 広告をブロックする
    CSP: Bluetooth/AllowAdvertising

    • 未構成 (既定値)
    • はい - デバイスが Bluetooth アドバタイズを送信しないようにします。

  • Bluetooth 近接接続をブロックする
    CSP: Bluetooth/AllowPromptedProximalConnections ユーザーによるクイック ペアリングやその他の近接通信ベースのシナリオの使用をブロックする

    • 未構成 (既定値)
    • はい - デバイス ユーザーがクイック ペアリングやその他の近接通信ベースのシナリオを使用できないようにします。

    Bluetooth/AllowPromptedProximalConnections CSP

  • Bluetooth 対応サービス
    CSP: Bluetooth/ServicesAllowedList。 サービス一覧の詳細については、「ServicesAllowedList 使用ガイド」を参照してください。

    • 追加 - 許可されているBluetooth サービスとプロファイルを {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF} などの 16 進文字列で指定します。
    • インポート - Bluetooth サービスとプロファイルのリストを含む .csv ファイルを、次のような 16 進文字列としてインポートします。 {782AFCFC-7CAA-436C-8BF0-78CD0FFBD4AF}

  • リムーバブル記憶域
    CSP: Storage/RemovableDiskDenyWriteAccess

    • ブロック (既定値) - ユーザーがデバイスで SD カードなどの外部ストレージ デバイスを使用できないようにします。
    • 未構成

  • USB 接続 (HoloLens のみ)
    CSP: Connectivity/AllowUSBConnection

    • ブロック - デバイスを同期したり、開発者ツールを使用してアプリケーションを展開またはデバッグしたりするために、デバイスとコンピューター間で USB 接続を使用しないようにします。 USB 充電は影響を受けません。
    • 未構成 (既定値)

Exploit Protection プロファイル

エクスプロイト保護

注:

このセクションでは、2022 年 4 月 5 日より前に作成された Exploit Protection プロファイルにある設定について詳しく説明します。 その日付以降に作成されたプロファイルでは、設定カタログにある新しい設定形式が使用されます。 この変更により、古いプロファイルの新しいバージョンを作成できなくなり、それらのバージョンは開発されなくなります。 古いプロファイルの新しいインスタンスを作成することはできなくなりましたが、以前に作成したインスタンスを引き続き編集して使用することはできます。

新しい設定形式を使用するプロファイルの場合、Intune は各設定の名前別のリストを保持しなくなりました。 代わりに、各設定の名前、構成オプション、および Microsoft Intune 管理センターに表示される説明テキストは、設定の信頼できるコンテンツから直接取得されます。 そのコンテンツは、適切なコンテキストでの設定の使用に関する詳細情報を提供できます。 設定情報のテキストを表示するときに、[ 詳細] リンクを使用してそのコンテンツを開くことができます。

  • XML のアップロード
    CSP: ExploitProtectionSettings

    IT 管理者は、目的のシステムおよびアプリケーションの軽減策オプションを表す構成を organization 内のすべてのデバイスにプッシュできます。 構成は XML ファイルによって表されます。 Exploit Protection は、エクスプロイトを使用して拡散や感染を行うマルウェアからデバイスを保護するのに役立ちます。 Windows セキュリティ アプリまたは PowerShell を使用して、一連の軽減策 (構成と呼ばれます) を作成します。 その後、この構成を XML ファイルとしてエクスポートし、ネットワーク上の複数のコンピューターと共有して、すべてのコンピューターに同じ軽減策設定セットを適用できます。 また、既存の EMET 構成 XML ファイルを Exploit Protection 構成 XML に変換およびインポートすることもできます。

    [ XML ファイルの選択] を選択し、XML filet アップロードを指定して、[ 選択] をクリックします。

    • 未構成 (既定値)
    • はい

  • ユーザーによる Exploit Guard 保護インターフェイスの編集をブロックする
    CSP: DisallowExploitProtectionOverride

    • 未構成 (既定値) - ローカル ユーザーは Exploit Protection 設定領域で変更を行うことができます。
    • はい - ユーザーが Microsoft Defender セキュリティ センターの Exploit Protection 設定領域を変更できないようにします。

Web 保護 (Microsoft Edge 従来版) プロファイル

Web 保護 (Microsoft Edge 従来版)

  • ネットワーク保護を有効にする
    CSP: EnableNetworkProtection

    • 未構成 (既定値) - 設定は Windows の既定値に戻り、無効になっています。
    • ユーザー定義
    • 有効 - システム上のすべてのユーザーに対してネットワーク保護が有効になっています。
    • 監査モード - ユーザーは危険なドメインからブロックされず、代わりに Windows イベントが発生します。

  • Microsoft Edge に SmartScreen が必要
    CSP: Browser/AllowSmartScreen

    • はい - SmartScreen を使用して、潜在的なフィッシング詐欺や悪意のあるソフトウェアからユーザーを保護します。
    • 未構成 (既定値)

  • 悪意のあるサイト アクセスをブロックする
    CSP: Browser/PreventSmartScreenPromptOverride

    • はい - ユーザーが Microsoft Defender SmartScreen フィルターの警告を無視することをブロックし、サイトに移動しないようにブロックします。
    • 未構成 (既定値)

  • 未確認のファイルのダウンロードをブロックする
    CSP: Browser/PreventSmartScreenPromptOverrideForFiles

    • はい - ユーザーが Microsoft Defender SmartScreen フィルターの警告を無視することをブロックし、確認されていないファイルをダウンロードすることをブロックします。
    • 未構成 (既定値)

攻撃面の縮小 (ConfigMgr)

Exploit Protection (ConfigMgr)(プレビュー) プロファイル

悪用に対する保護

  • XML のアップロード
    CSP: ExploitProtectionSettings

    IT 管理者は、目的のシステムおよびアプリケーションの軽減策オプションを表す構成を organization 内のすべてのデバイスにプッシュできます。 構成は XML ファイルによって表されます。 Exploit Protection は、エクスプロイトを使用して拡散や感染を行うマルウェアからデバイスを保護するのに役立ちます。 Windows セキュリティ アプリまたは PowerShell を使用して、一連の軽減策 (構成と呼ばれます) を作成します。 その後、この構成を XML ファイルとしてエクスポートし、ネットワーク上の複数のコンピューターと共有して、すべてのコンピューターに同じ軽減策設定セットを適用できます。 また、既存の EMET 構成 XML ファイルを Exploit Protection 構成 XML に変換およびインポートすることもできます。

    [ XML ファイルの選択] を選択し、XML filet アップロードを指定して、[ 選択] をクリックします。

  • Exploit Protection のオーバーライドを禁止する
    CSP: DisallowExploitProtectionOverride

    • 未構成 (既定)
    • (無効) ローカル ユーザーは Exploit Protection 設定領域で変更を行うことができます。
    • (有効にする)ローカル ユーザーは Exploit Protection の設定領域を変更できません

Web 保護 (ConfigMgr)(プレビュー) プロファイル

Web 保護

  • ネットワーク保護を有効にする (デバイス)
    CSP: EnableNetworkProtection

    • 未構成 (既定値)
    • Disabled
    • 有効 (ブロック モード)
    • 有効 (監査モード)

  • スマート スクリーンを許可する (デバイス)
    CSP: Browser/AllowSmartScreen

    • 未構成 (既定値)
    • Block
    • 許可

  • Files (デバイス) のスマート スクリーン プロンプトのオーバーライドを禁止する
    CSP: Browser/PreventSmartScreenPromptOverride

    • 未構成 (既定値)
    • Disabled
    • Enabled (有効)

  • Smart Screen プロンプトのオーバーライドを禁止する (デバイス)
    CSP: Browser/PreventSmartScreenPromptOverrideForFiles

    • 未構成 (既定値)
    • Disabled
    • Enabled (有効)

次の手順

ASR のエンドポイント セキュリティ ポリシー

  • Last updated on