Windows 11 25H2 を実際のランサムウェアに対してテストしてみた - 何が起こったのか

テストの設定方法

Windows 11 に対するランサムウェア テストは、実際には 1 つのウイルス対策ではなく、4 つの個別の層のテストです。ビデオでは、テストは完全に隔離されたラボ内の Windows 11 25H2 上で、後で消去される使い捨てマシン上で実行されます。このようなテストを行うことができる唯一の安全な方法です。答えられている質問は、単に「ウイルス対策ソフトがウイルスを捕らえたのか?」ということではなく、実際の暗号化機能が解放されたときに各組み込みレイヤーが順番にどのように動作するかということです。

レイヤー 1 - SmartScreen がドアでファイルを判断します

ほとんどのランサムウェアは魔法によって到達するものではありません。それは、ダウンロード、電子メールの添付ファイル、または USB ドライブからコピーされたファイルとして届きますが、通常は、請求書、履歴書、ソフトウェア クラック、請求書など、別のもののふりをします。 SmartScreen はそのドアのチェックポイントです。インターネットから取得したファイルを実行すると、Windows はそのレピュテーションをチェックします。何百万もの PC が安全に実行してきたファイルは静かに通過します。新しいファイルや未知のファイルを使用すると、青い警告画面が表示され、多くの人が読まずにクリックしてしまいます。

この警告は飾りではありません。これはレイヤーが設計どおりに動作しており、このファイルに実績がないことを示しています。正直な限界: SmartScreen は意図ではなく評判を判断します。新しいが無害なファイルは警告され、誰かが報告する前に広く拡散したファイルは通過する可能性があります。これは強力な最初のフィルターであり、判定ではありません。

レイヤー 2 - 舞台裏での評判とクラウドのチェック

Defender は、PC に保存されている署名データベースだけに依存するわけではありません。 クラウド配信による保護 をオンにすると、疑わしいファイルは Microsoft の常に更新されるクラウド インテリジェンスと照合され、自動サンプル送信 によって疑わしいファイルを送信して詳細な分析を行うことができます。これは、1 時間前に世界のどこかで出現した脅威が、次のデータベース更新後ではなく、今日あなたの PC 上で認識される仕組みです。

これら 2 つの切り替えは、[Windows セキュリティ] > [ウイルスと脅威の保護] > [ウイルスと脅威の保護の設定] > [設定の管理] にあります。多くの PC ではデフォルトでオンになっていますが、誰かが Windows を「最適化」したり、Defender 機能を無効にしたりした PC では、静かにオフになっています。この 1 つの違いが、一見同一に見える 2 台のマシンで同じテストが異なる結果で終了する理由を説明しています。

レイヤー 3 - 防御者はファイルだけでなく動作も監視します

古典的なウイルス対策の仕事は、既知の不正な署名とファイルを照合することです。どのキャンペーンでも、誰も見たことのない新しくパックされたファイルが使用される可能性があるため、ランサムウェアはその仕事を簡単に打ち負かします。そのため、Defender は動作も監視します。突然、何百ものドキュメント、写真、スプレッドシートを開いたり、数秒で書き換えたりし始めるプログラムは、ファイル名が何であれ、ランサムウェアのように動作します。動作監視とリアルタイム保護は、まさにそのパターンを遮断するために存在します。

行動監視は強力ですが、完璧ではありません。パターンが否定できなくなるまでに、いくつかのファイルに相当するアクティビティが必要ですが、高速 SSD 上の高速暗号化は高速です。これが、ウイルス対策だけでは安全だと正直な専門家が約束しない本当の理由であり、次の層が存在する理由でもあります。

レイヤー 4 - フォルダー アクセスの制御によりファイル自体を保護します

フォルダー アクセスの制御では、質問が変わります。 「このプログラムは悪いものですか?」と尋ねるのではなく、「このプログラムは重要なフォルダーへのアクセスを許可するリストに含まれていますか?」と尋ねます。ドキュメント、画像、ビデオ、音楽、デスクトップはデフォルトで保護されており、独自の作業フォルダーを追加できます。信頼されておらず、これらのフォルダー内のファイルを変更しようとするプログラムはすべてブロックされます。これには、レイヤー 1 ～ 3 が見たことのない新しい暗号化プログラムも含まれます。

現実世界のほとんどの結果を決定する落とし穴は次のとおりです。通常の Windows インストールでは、フォルダー アクセスの制御はデフォルトでオフになっています。これは、厳しすぎるガードによって正当なプログラムがブロックされる場合があるためです。この機能は、[Windows セキュリティ] > [ウイルスと脅威の保護] > [ランサムウェア保護] > [ランサムウェア保護の管理] でオンにします。このガイドのすべての設定の中で、これはほとんどの家庭用 PC に欠けている設定です。

タンパープロテクション - 警備員の中の警備員

上のすべてのレイヤーは、その設定が維持されるかどうかに依存します。最新のマルウェアはこのことを認識しており、多くの場合、その最初の行動の 1 つは、静かに Defender をオフにします。 タンパー プロテクション はまさにそれを阻止するために存在します。これがオンになっている間は、アプリやスクリプトによって Defender の主要な設定を変更することはできません。Windows セキュリティ アプリでユーザーのみが変更できます。これは、ステップ 3 でクラウドを切り替えるのと同じ設定の管理 ページにあります。

テストにおいて、そして実際の事件においては、これが反撃する防御策と、戦いが始まる前に黙って取り除かれた防御策との違いです。オンになっていることを確認してください。 10 秒かかります。

Windows の外側のレイヤー - オフライン バックアップ

上のすべての層が攻撃を阻止しようとします。バックアップ層は攻撃が成功したものとみなし、それを問題にしないようにします。ランサムウェアは到達できないコピーを暗号化できないため、1 つのバックアップ コピーは感染した PC が書き込めない場所、つまりバックアップ後に取り外された外部ドライブ、または適切なバージョン履歴のあるクラウド ストレージに存在する必要があります。

評決 - スコアではなくチェックリスト

ラボ テストでは、その日にこれらの設定で選択したサンプルに対してこれらのレイヤーがどのように動作するかを示します。永遠に勝者が決まるわけではありません。攻撃者はパッキングやトリックを絶えず変更し、マイクロソフトはインテリジェンスを絶えず更新します。 Windows 11 25H2 は、同じ階層化モデルを置き換えるのではなく、継続します。ほとんどのユーザーにとって実質的な違いは、最新のインテリジェンスとデフォルトであり、真新しいシールドではありません。

つまり、テストから得られる正直なところは、スコアではなくチェックリストです。これら 5 つを正しく理解すれば、テスト結果の最も強力な部分を自分の PC で再現できます。(1) SmartScreen 警告を遵守し、(2) クラウド配信保護がオン、(3) タンパー プロテクションがオン、(4) 制御されたフォルダー アクセスが有効、(5) 1 つのバックアップ コピーがオフラインに保たれます。上のビデオ全体を見てテスト自体を確認し、設定を適用してください。