AppLocker のメリット・デメリットと代替案

AppLocker は、Windows のエンタープライズ版に備わっているアプリケーション制御機能です。このツールにより、ユーザーが実行できるアプリケーションやファイルを管理できます。Windows AppLocker は、特定のユーザーおよびビジネス グループに対して、ソフトウェアへのアクセスと関連データを制限することを目的としています。その結果として、セキュリティが向上し、管理の手間が軽減され、ヘルプデスクへの問い合わせが減ります。

なぜ AppLocker なのか、なぜ今なのか？

ここはマルウェアの世界です。今日、世界中で新しいマルウェアの系統が、温かい春の日の雑草のように次々と出現しています。Infosecurity Group によると、研究者は 360,000 件の新しい悪意のあるファイルを 2017 年に検出しました。これは、毎秒およそ 4 件の新しいマルウェア・サンプルに相当します。量としてはかなりの規模ですが、新たな悪意のあるエクスプロイトの数が多いこと自体は驚くことではありません。犯人は自動化を使ってマルウェアの亜種を生成し、配布しています。その結果、アンチマルウェアのコミュニティは追いつくのに苦労しています。

Microsoft AppLocker は、ユーザーが危険性のある可能性が高いアプリケーションを実行できないようにする、標準搭載のアプリケーション許可リスト（AWL）機能を提供します。アプリケーション許可リスト（AWL）は Defence in Depth 戦略であり、コンピュータ ネットワーク内で使用を許可されたアプリケーションを指定します。ユーザーが悪意のあるソフトウェアを意図的または意図せずにダウンロードしてしまう方法はいくつもあります。

1. ユーザーが、コンピューター上に置かれていた任意の EXE ファイルを誤ってクリックしてしまった。
2. 不満を抱いたユーザーが、それがトロイの木馬だと知りながらダウンロードした。
3. 組織内の誰かがファイルを仕込んだのかもしれません。

結局のところ、Windows AppLocker を使ってアプリケーションをホワイトリストに登録する場合、ユーザーが開いてよい正確なアプリケーションと .exe ファイルを指定していることになります。終端ユーザーが害を及ぼす可能性を制限するため、マルウェアは寄りつきにくくなります。AppLocker の良さは、拡張子がホワイトリストに載っていなければ開かれない点にあります。最良のシンプルさ——少なくとも理論上はそうです。現実には、多くの企業で承認済みアプリケーションのリストは絶えず変化します。つまり、ホワイトリストには常にメンテナンスと変更が必要です。この欠点は、ほとんどのホワイトリスト方式ソリューションに共通する本質的な弱点です。

AppLocker のメリット

AppLocker にはいくつかの重要な利点があります。まず、Microsoft は Windows Server のエンタープライズ エディションに AppLocker を含めています。つまり追加費用はかかりません。次に、AppLocker は Group Policy の統合コンポーネントとして提供されます。ほとんどの Windows 管理者はすでに Group Policy に慣れているため、AppLocker のユーザー体験はシームレスで自然です。3つ目として、任意の AppLocker ポリシーを XML ファイルとして Intune にインポートできます。これにより、MDM 登録済みデバイスに対して、オンプレミスのドメイン参加済みデバイスとほぼ同等のアプリケーション制御を実現できます。最後に、AppLocker は内部の Windows アプリケーションを自動的にホワイトリスト化するため、時間を節約でき、複雑さも取り除けます。

AppLocker のデメリット

それでも AppLocker には、生産性を低下させ、リスクを高める多くの欠点があります。まず、AppLocker はほとんどのホワイトリスト方式ソリューションと同様に、承認済みアプリケーションの一覧（インデックス）を継続的に更新し、調整する必要があります。実際、企業全体のホワイトリストを維持する作業は長く、骨が折れ、かなりの時間と労力を要します。さらに、ローカル デバイスに対して管理者権限を持つ誰もが AppLocker のポリシーを無効化できてしまいます。その結果、アプリケーションを厳しく制限しようと最善を尽くしていても、環境がマルウェアにさらされる可能性があります。

何よりもまず、AppLocker には1つの重大な欠点があります。自分で見つけられるか確かめてみてください。以下は、AppLocker がサポートする Windows の各オペレーティング システムです。

• Windows 7 の Ultimate および Enterprise エディション
• Windows 8 の Enterprise エディション
• Windows 10 の Education および Enterprise エディション
• Server 2008 R2、Server 2012、Server 2012 R2、Server 2016、Server 2019

このリストから Windows Professional エディションが見当たらないことに気づいたなら、あなたの推測は正しいです。Group Policy と組み合わせて適用すると、AppLocker は Windows 10 Professional とうまく動作しません。つまり、ドメインに参加しているマシン上のアプリケーションを制限するには、別の手段を検討する必要があります。

AppLocker の代替手段

AppLocker を採用する前に、代替ソリューションについてデューデリジェンス（精査）を行うことをおすすめします。ほかの選択肢を調べることで、競争状況をより正確に把握でき、より情報に基づいた判断が可能になります。

PolicyPak は、ユーザーおよびコンピューターの設定をよりきめ細かく制御できる Windows のエンドポイント管理・セキュリティ ソリューションです。このソリューションには Least Privilege Manager が含まれており、ユーザーが重要な業務機能を実行するために必要な権限を除くすべての権限をロックダウンします。PolicyPak Least Privilege Manager により、標準ユーザーはローカル管理者権限を持たなくても自分の仕事を行えます。さらに、PolicyPak は生産性を犠牲にすることなく Windows コンピューターをマルウェアから保護します。AppLocker とは対照的に、PolicyPak はホワイトリスト化（許可リスト化）のプロセスを加速するように設計されています。つまり、Windows 管理者は重要なインフラ タスクに取り組む時間を大幅に確保できます。AppLocker とは異なり、PolicyPak は Windows 7 以降の Windows Professional エディションで動作します。ホワイトリスト化の利点は、特定の限られたオペレーティング システムにだけ当てはまるものではありません。

AppLocker vs. PolicyPak

PolicyPak Least Privilege Manager は、いくつかの点で AppLocker とは異なります。まず PolicyPak は、標準ユーザーが何かを必要とするときに、そのユーザーの権限を昇格させます。たとえば、グラフィックデザイナーが新しいユーザーインターフェースのモックアップ用アプリケーションをインストールする必要がある場合があります。この場合、PolicyPak Least Privilege Manager はインストールの実行を許可します。もう 1 つの例として、プリンターを追加する必要があるリモートの従業員を考えてみてください。PolicyPak Least Privilege により、UAC プロンプトをバイパスしたり、指定されたコントロール パネル（Control Panel）アプレットへのアクセスを付与したりできます。次に PolicyPak には SecureRun™ が含まれており、「適切にインストールされている、または管理者によって承認（sanctioned）された」場合に限り、ユーザーがアプリケーションを実行できるようになります。AppLocker と同様に、PolicyPak は Group Policy と統合され、ポリシーの作成、割り当て、配布（デプロイ）を可能にします。以下に、ポリシー作成プロセスの例を示します。

SecureRun™ の考え方はシンプルです。すべてのアプリケーション、ファイルの実行ファイル、MSI、スクリプト、または Java JAR ファイルには所有者が存在します。ユーザーがインターネットからファイルをダウンロードしたり、共有ドライブからコピーしたりすると、そのユーザーがそのファイルの所有者になります。以下は例です。

SecureRun™ は、ユーザーがこれらのファイルを開こうとしたときに、そのファイルの所有者が誰であるかを確認します。その後、これはユーザーが定義した所有者リストと照合されます。既定のリストの例は以下の通りです：

つまり、管理者またはテクニカル サポート担当者が正しくインストールしたアプリケーションは、いつも通り問題なく実行されます。一方、標準ユーザーがダウンロードしてから実行したアプリケーションは、以下に示す拒否メッセージが表示されます。

PolicyPak Least Privilege Manager の最もエレガントで便利な点の 1 つは、承認済みアプリケーションのリストを定期的に更新する必要がないことです。AppLocker とは対照的に、PolicyPak はアプリケーションそのものに依存しません。代わりに、アプリケーションへのアクセスを許可する Administrator ロールを活用します。まとめると、アプリケーションは入れ替わる可能性があっても、管理者グループはいつまでも一貫した状態に保たれます。こちらで SecureRun™ のプロセスと、それがデスクトップをどのように保護するのかを示す短い動画をご覧ください。

AppLocker の最終まとめと次のステップ

Applockerとは異なり、PolicyPak Least Privilege Manager はアプリケーションをホワイトリストに登録するだけではありません。標準ユーザーが UAC プロンプトを先に進む必要があるあらゆる状況で機能します。さらに、権限を上げるのは「人」ではなく「状況」です。

アプリケーションであれ、コントロール パネルのアプレットであれ、分散された PowerShell スクリプトであれ、標準ユーザーは必要に応じて実行し、昇格（権限昇格）できます。これらの権限を委任することで、標準ユーザーがあなたの業務を妨げることなく自分の仕事を進められるようになります。つまり、UAC プロンプトに遭遇するたびに、呼び出しやヘルプデスクのチケット発行を繰り返す事態を止められるということです。権限の昇格に加え、PolicyPak SecureRun™ によるホワイトリスト化を組み合わせることが、PolicyPak Least Privilege Manager を AppLocker や他の標準的な AWL ソリューションと分けるポイントです。