こんにちは！インフラやセキュリティの世界へようこそ。
システム開発やインフラの構築に携わっていると、「セキュリティを強固にしましょう！」とよく言われますよね。でも、専門用語ばかりで何から手をつければいいか途方に暮れてしまうことはありませんか？
今回は、WindowsのサーバーやPCをガチガチに守る要塞化（ハーデニング）の中でも、特に強力な機能である「Credential Guard（クレデンシャルガード）」について、一緒に優しく紐解いていきたいと思います。一歩ずつ、泥棒から大事な鍵を守る方法を学んでいきましょう！
—
1. 泥棒はどこを狙う？パス・ザ・ハッシュ攻撃の恐怖
まずは、攻撃者が私たちのパソコンやサーバーをどうやって乗っ取るのか、身近な例えでお話しますね。
皆さんは、自分の家の合鍵をどう管理していますか？普通は引き出しの奥やキーケースにしまっておき、他人が簡単に見られないようにしますよね。
ところが、Windowsのシステム（特に古い設定のままのOS）では、私たちが一度ログインするときに使った「パスワードの代わりになる文字列（ハッシュ値）」が、メモリという作業机の上の、しかも誰でも手を伸ばせば届くような場所にポツンと置かれてしまう仕組みになっていました。
攻撃者はこの仕組みを悪用します。パソコンの中にこっそり侵入し、作業机の上（メモリ）を漁ってその「ハッシュ値」を盗み出すのです。そして、その盗んだハッシュ値を使って、まるで本人の顔パスであるかのように、社内の他のサーバーやPCへ次々と侵入していきます。
これが、セキュリティ業界で恐れられている「パス・ザ・ハッシュ（Pass-the-Hash）攻撃」です。パスワードそのものではなく、パスワードの「身分証のコピー」を盗まれて悪用されるイメージですね。
—
2. 仮想化の金庫「Credential Guard」とは？
「作業机の上にハッシュ値を置きっぱなしにするのがいけないなら、絶対に開かない頑丈な金庫の中にしまえばいいじゃない！」
それを実現したのが、今回主役の「Credential Guard」です。
Credential Guardは、Windowsが持っているVBS（仮想化ベースのセキュリティ）という技術を利用します。これは、OSが動いている通常の世界とは別に、完全に隔離された「仮想的な金庫ルーム」をパソコンの中にこっそり作る技術です。
この金庫ルームの中には、管理者であっても（いや、たとえ最高権限を持つ管理者であっても）、通常のルートからは絶対にアクセスできません。ここに大切な資格情報（ハッシュ値）を閉じ込めてしまうことで、万が一パソコンがマルウェアに感染して悪意あるプログラムに荒らされたとしても、金庫の中身だけは絶対に守り抜くことができるのです。
まさに、大切なへそくりを、自宅の床下の秘密の耐火金庫に隠すようなものですね。これなら泥棒も手が出せません！
—
3. 導入に向けて：設定と確認のステップ
それでは、実際にこのCredential Guardを有効にするための手順を見ていきましょう。
「難しそう…」と思うかもしれませんが、インフラ担当者が現場で設定する手順は、実はとってもシンプルです。一緒に確認していきましょう！
ステップ1：前提条件の確認
Credential Guardを動かすには、お使いのハードウェアが以下の条件を満たしている必要があります。
- CPUの仮想化支援機能（Intel VT-x または AMD-V）が有効になっていること
- 2次アドレス変換（SLAT）に対応していること
- セキュアブート（Secure Boot）が有効になっていること
最近のPCやサーバーであれば大体クリアしていますが、仮想マシン（VM）環境の場合は、ハイパーバイザー側の設定で「入れ子された仮想化（Nested Virtualization）」を有効にする必要がある点に注意してくださいね。
ステップ2：グループポリシーまたはレジストリでの有効化
実務では、Active Directoryの「グループポリシー（GPO）」を使って組織全体のPCに一括設定することが多いです。設定のイメージを見てみましょう。
設定するパス：
コンピューターの構成 ＞ 管理用テンプレート ＞ システム ＞ デバイス ガード ＞ 仮想化ベースのセキュリティを有効にする
ここで「有効」を選択し、オプションで「Credential Guard の有効化」を選びます。
また、PowerShellを使って手動で状態を確認・設定することもできます。現場でよく使うコマンドをいくつかご紹介しますね。
# 現在のCredential Guardの稼働状態を確認するコマンド
# 実行結果の「VirtualBasedSecurityStatus」や「CredentialGuardStatus」が「Running」になっていればOKです！
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuardもし新しく設定を投入する場合は、管理者権限でPowerShellを開き、以下のようなレジストリ設定やスクリプトを適用します（※OSのバージョンによって必要なパッケージや手順が異なるため、必ずテスト環境で動作確認を行ってくださいね）。
# 例：レジストリ経由でVBSとCredential Guardを有効化するサンプル
# （※実際の適用時は組織のセキュリティポリシーやMicrosoftの公式ドキュメントを必ずご参照ください）
# VBSを有効化する
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "EnableVirtualizationBasedSecurity" -Value 1
# Credential Guardを有効化する（セキュアブート必須）
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "RequireSecurityFeatures" -Value 1設定が終わったら、パソコンを再起動（コールドブート）させます。これで、OSの起動と同時に「秘密の金庫ルーム」が立ち上がり、資格情報が安全に隔離されます。
—
4. 現場のエンジニアからひとこと：導入時の注意点
最後に、私たちホワイトハッカーやインフラエンジニアが現場でハマりがちな「注意点」をこっそりシェアしておきますね。
Credential Guardはセキュリティを飛躍的に高めてくれる最高の機能ですが、「一部の古いレガシーな認証フィルター（LSAパッケージ等）と相性が悪い」という特徴があります。導入した途端に、社内の特殊な業務アプリがログインできなくなったり、シングルサインオン（SSO）の一部が動かなくなったりするトラブルが稀に起きます。
そのため、実務で導入する際は以下のステップを必ず踏んでください。
1. いきなり本番環境へ入れず、必ず検証（Staging）環境でパイロット導入する。
2. 業務アプリやリモート接続が正常に動くかテストする。
3. 問題がないことを確認してから、本番のサーバーやクライアントへ展開する。
「石橋を叩いて渡る」ことこそが、私たちエンジニアの最大の武器です。
—
まとめ
いかがでしたでしょうか？
今回は、Windowsの「Credential Guard」について、身近な例えを交えながら解説しました。
- パス・ザ・ハッシュ攻撃は、作業机（メモリ）に放置されたハッシュ値を狙う悪質な手口。
- Credential Guardは、仮想化技術を使って資格情報を「絶対に開かない金庫」に閉じ込める防御策。
- 導入時はハードウェアの要件を確認し、テスト環境でしっかり動作検証を行うことが大切。
セキュリティ対策は難しく感じてしまうものですが、一つひとつの技術が「なぜ必要なのか」「どこを守っているのか」が分かると、とても面白くなりますよね。
ぜひ、ご自身の環境でもインフラの要塞化にチャレンジしてみてください。一歩ずつ、安全で強いシステムを作っていきましょう！
コメント