Windows DefenderでWindowsを強化する完全ガイド...

Windows Defender Application Control（WDAC）でWindowsを強化する

注意事項:

Windows Server 2016/2019またはバージョン1903以前は、同時に1つのレガシーポリシーのみをサポートします。
Windows Server Coreエディションは WDAC をサポートしますが、AppLockerに依存する一部のコンポーネントは動作しません。
実装やテストの前に必ず推奨読書をお読みください。

このコレクションで使用されるスクリプトとツールの一覧:

追加で検討された設定:

説明:

XMLとBINの違い:

簡単に言うと、**「XML」ポリシーはローカルマシンに適用するためのもので、「BIN」**ファイルはグループポリシーや Microsoft Intune で適用するためのものです。ローカル展開ではXML、BIN、CIPポリシーのいずれも使用可能ですが、一般的には監査やトラブルシューティング時に特にXMLを使用することを推奨します。

ポリシーの説明:

デフォルトポリシー:
- 「デフォルト」ポリシーはWDAC-Toolkitのデフォルト機能のみを使用します。
推奨ポリシー:
- 「推奨」ポリシーはデフォルト機能に加え、Microsoftの推奨するブロックおよびドライバーブロックルールを使用します。
監査ポリシー:
- 「監査」ポリシーはルールの例外をログに記録するだけです。これは環境でのテスト用で、環境のニーズに合わせてポリシーを自由に変更できます。
強制ポリシー:
- 「強制」ポリシーはルールの例外を許可しません。準拠しないアプリケーション、ドライバー、dllなどはブロックされます。

利用可能なポリシー:

XML:
- 監査のみ:
  - WDAC_V1_Default_Audit_{version}.xml
  - WDAC_V1_Recommended_Audit_{version}.xml
- 強制:
  - WDAC_V1_Default_Enforced_{version}.xml
  - WDAC_V1_Recommended_Enforced_{version}.xml
BIN:
- 監査のみ:
  - WDAC_V1_Default_Audit_{version}.bin
  - WDAC_V1_Recommended_Audit_{version}.bin
- 強制:
  - WDAC_V1_Default_Enforced_{version}.bin
  - WDAC_V1_Recommended_Enforced_{version}.bin
CIP:
- 監査のみ:
  - WDAC_V1_Default_Audit\{uid}.cip
  - WDAC_V1_Recommended_Audit\{uid}.cip
- 強制:
  - WDAC_V1_Default_Enforced\{uid}.cip
  - WDAC_V1_Recommended_Enforced\{uid}.cip

スクリプト内の次の行を更新して、ローカルで使用したいポリシーを指定してください:

$PolicyPath = "C:\temp\Windows Defender\CIP\WDAC_V1_Recommended_Enforced\*.cip"
#https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/deployment/deploy-wdac-policies-with-script
ForEach ($Policy in (Get-ChildItem -Recurse $PolicyPath).Fullname) {
  $PolicyBinary = "$Policy"
  $DestinationFolder = $env:windir+"\System32\CodeIntegrity\CIPolicies\Active\"
  $RefreshPolicyTool = "./Files/EXECUTABLES/RefreshPolicy(AMD64).exe"
  Copy-Item -Path $PolicyBinary -Destination $DestinationFolder -Force
  & $RefreshPolicyTool
}

または、グループポリシーや Microsoft Intune を使用してWDACポリシーを適用することもできます。

監査:

WDACのイベントログはイベントビューアーの以下の場所で確認できます:

Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational

推奨読書:

スクリプトの実行方法:

手動インストール:

手動でダウンロードした場合、スクリプトは GitHubリポジトリからすべてのファイルがあるディレクトリ内の管理者権限のPowerShellから起動する必要があります。

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force
Get-ChildItem -Recurse *.ps1 | Unblock-File
.\sos-wdachardening.ps1

Windows DefenderでWindowsを強化する完全ガイド…

Table of Contents