Windows 10は、Windows Hello生体認証、オンラインに特化した補完的な認証プロトコルであるPassport、そしてWindows 10 OSとは独立した安全な実行環境であるDevice Guardなど、既に多くの興味深いセキュリティ機能を搭載する見込みです。しかし、MicrosoftがWindows 10をより安全なOSにするために、セキュリティ面で他に重要な改善を行う余地はあります。
ユーザーアカウント制御 (UAC)
マイクロソフトがWindows Vistaにユーザーアカウント制御（UAC）を導入した際、それはおそらく最も嫌われた機能だったと言えるでしょう。同時に、Vista以降のWindowsをWindows XPよりも大幅にセキュリティ強化した機能でもありました。
Windows XPでは、ほぼすべてのアプリがほぼすべての操作を実行できました。これは、Windowsのデフォルトアカウントが現在でも管理者権限を持っているためです。UAC（ユーザーアカウント制御）を導入すると、ユーザーは管理者権限を維持できますが、アプリの権限は標準モードに制限されます。
UACは確かに万能ではありません。システムは、バックグラウンドで密かにダメージを与えるアプリから保護されています。しかし、ユーザー自身がマルウェアに感染したアプリケーションをインストールし、UACのプロンプトをクリックした場合、当然ながら感染は避けられません。
毎年、UAC を回避できる事例がいくつかあるという事実もあります。こうした弱点があるにもかかわらず、UAC は Windows 上に存在するマルウェアの数を大幅に削減することに成功しました。
UAC、あるいはそれに代わる機能は、Windowsのセキュリティをさらに強化する可能性があります。現在、誰かのコンピュータに感染させる最も効果的な方法は、アプリをインストールさせることです。人為的なミスや騙されやすさは、依然として最も容易な攻撃経路です。
UAC は、管理者権限でインストールされたアプリであっても、アプリが勝手に操作できないようにアップグレードする必要があります。ほとんどのアプリは適切にサンドボックス化されるべきであり、実際に危険な権限を必要とするアプリには、異なる種類の警告が表示されるべきです。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
実際、Microsoftは「基本的な」UACプロンプト／アラートを、ユーザーがより危険に見えるものをクリックしてしまうことのないよう、もっと控えめにすべきです。より強力な権限を必要とする警告は、基本的なものより1段階か2段階上のレベルに設定し、表示頻度を大幅に減らすべきです。
理想的には、アプリのサンドボックス化が極めて高度になり、「基本的な警告」すら不要になり、UAC が現状よりもさらに煩わしくなくなるはずです。そうなれば、強力な警告がより目立ち、ユーザーはアプリが要求する権限にさらに注意を払うようになるはずです。Microsoft は、一般のコンピューターユーザーが理解しやすいように警告をできるだけ分かりやすく表示すべきだと、私は強く主張します。
iOSとAndroidはどちらも強力なサンドボックスシステムを採用しています。Androidマルウェアに関するニュースは数多く報じられていますが、実際には存在するマルウェアは大多数のユーザーに影響を与えるものではありません。さらに良いことに、その「マルウェア」はオペレーティングシステム自体や他のアプリに大きな損害を与えることはほとんどありません。最も危険なのは、ユーザーがルートアクセス権を持っている場合です。つまり、マルウェアもルートアクセス権を持っているため、サンドボックスシステムを回避できるのです。
Microsoftは、UACに代わる、暗号署名されたアプリを利用する代替手段の開発に取り組んでいます。これをWindowsストアの審査プロセスと組み合わせることで、ユーザーがインストールするアプリの安全性が（ほぼ）保証されるはずです。
この解決策の問題点は、Windowsストアのアプリにのみ適用されるため、現時点では適用範囲がかなり限定されていることです。MicrosoftがWindows 10ですべてのアプリがデフォルトで署名（および検証）されることを義務付けない限り、この解決策によって大きな改善は期待できません。そのため、MicrosoftはWindowsストア以外のアプリにも十分な保護を提供する補完的な解決策を考案する必要があります。
強化された緩和エクスペリエンスツールキット（EMET）
Enhanced Mitigation Experience Toolkit (EMET) は、Microsoft が近年開発した最も強力なセキュリティアプリケーションの一つです。残念ながら、Microsoft が長年提供してきた無料ツールであるにもかかわらず、その存在を十分に認知していないため、普及率は低いままです。
EMETは、不適切に記述されたコード（特に安全でないC++コードでは容易に発生する可能性があります）によって発生する可能性のある、幅広い種類のゼロデイ脆弱性から保護します。EMETは、アドレス空間レイアウトのランダム化（ASLR）、データ実行防止（DEP）、構造化例外ハンドラ上書き防止（SEHOP）、証明書ピンニング、Nullページ保護など、一連の緩和技術で構成されています。
デフォルトでは、このツールは主にMicrosoftアプリを保護する「推奨設定」に設定されていますが、「最大保護」に設定することで、すべてのアプリにデフォルトですべての保護が適用されます。ただし、これにより一部のアプリが読み込まれなくなる可能性があることにご注意ください。ただし、これは通常非常にまれであり、非常に古いアプリで発生します。
ウイルス対策ツールやその他のマルウェア対策ツールは通常、既知のマルウェアデータベースを維持することで機能します。つまり、ウイルス対策メーカーがバグを発見し、それに応じてソフトウェアを更新する前に、まずいくつかのPCが感染している必要があるということです。
対照的に、EMETは、エクスプロイトやハッキングがどのようなものか事前に「知る」必要もなく、それらから保護することができます。ゼロデイ脆弱性を利用してコンピュータに侵入するには、攻撃者はEMETを回避する必要があり、これは通常非常に困難です。
例えば、昨年のブラウザハッキングコンテスト「Pwn2Own」では、研究者たちはInternet Explorer 11へのハッキングに成功しましたが、EMETが有効になっている状態では成功しませんでした。実際、ハッキング不可能であることが証明されたブラウザ構成は、IE11+EMETのみでした。つい最近まで、EMETはWindows XP（現在はサポート終了）を使っているユーザーにとって、セキュリティを大幅に強化する有効な手段でもありました。
EMETの良い点は、初期設定が簡単で、その後はそれほど技術的な専門知識を必要としないことです。「一度設定したら、あとは放っておく」タイプのソフトウェアで、この点ではアンチウイルスソフトと似ています。つまり、Windows 10への統合も比較的容易です。
特に、現在アプリが記述されている方法に支障が出るため、特定の緩和テクノロジを実装したくない開発者は、これを好まないかもしれません。しかし、これは Microsoft が正当な理由のためにリーダーシップを発揮する必要があるものの 1 つです。
Microsoft Security Essentials（Windows Defender）
かつて「Microsoft Security Essentials」は、間違いなく最高かつ最も使いやすい無料アンチウイルスソフトでした。しかし、Windows 8が登場し、MicrosoftがMSEを新しいOSに統合することを決定したのです。それ以来、Windows 8に組み込まれたアンチウイルスソフト（現在はWindows Defender）は年々質が下がり、アンチウイルスソフトの競争において順位を落としているようです。
なぜこのようなことが起きているのかは正確には分かっていませんが、Microsoftがウイルス対策部門の優先度を下げたか、あるいはほとんどの攻撃者が既にウイルス対策の回避方法を習得しているためと考えられます。あるいは、その両方が原因となっている可能性もあります。
かつてはMSE/Windows Defenderの使用のみを推奨していましたが、今ではそうすることにあまり抵抗を感じています。実際、最近はWindows Defenderを無効にして、Aviraなどの無料のアンチウイルスソフトをインストールすることをお勧めしています（競合やリソースの無駄を避けるためです）。
BitLocker と暗号化ファイルシステム (EFS)
Windows Vistaでは、ドライブ全体の暗号化を可能にするBitLockerソフトウェアという、さらに優れたセキュリティ機能が導入されました。MicrosoftはWindows 2000以降、ファイルとフォルダを暗号化するEFS（暗号化ファイルシステム）機能も提供しています。しかし、これらのツールには大きな問題が1つあります。それは、どちらもProおよびEnterpriseユーザーのみが利用できるため、一般ユーザーの多くはその恩恵を受けられないということです。
ローカルデータの暗号化は最も基本的なセキュリティ対策であり、MicrosoftはスマートフォンでもPCでも、すべてのWindows 10ユーザーにこれを提供すべきです。さらに、可能な限り、暗号化は自動的に行われるべきです。
ARMv8チップを搭載したすべてのスマートフォンは高速暗号化命令をサポートしているはずであり、IntelとAMDのチップは以前からハードウェア暗号化をサポートしてきました。Microsoftにとって、Windows 10を搭載したすべての新デバイスにデフォルトで暗号化を義務付けることは、それほど大胆な動きではないでしょう。AppleとGoogleは既にローカルストレージの暗号化をデフォルトに移行しており、Microsoftもそれに追随すべきです。
Windows 10：絶好の機会
Windows 10は、Microsoftにとって10年に一度の、OSを刷新する絶好の機会となるでしょう。同社が初年度にWindows 10を無償でインストールできるようにする理由の一つは、できるだけ多くのユーザーに、古くて安全性の低いOSから移行し、より安全なプラットフォームに移行してもらうためです。
Windows 10は、セキュリティ機能の面で既にかなり大幅なアップグレードとなっています。しかし、上記の機能が追加されることで、一部のユーザー（特に企業や団体）にとってWindows 7やWindows 8からの移行が容易ではないとしても、このOSは必須のOSになる可能性があります。
堅牢なサンドボックス/特権システム、ゼロデイ保護の EMET スイート、大幅に改善されたウイルス対策、デフォルトの暗号化により、Windows 10 はこれまでで最も安全な Windows バージョンになるだけでなく、市場で最も安全なオペレーティング システムの 1 つになる可能性があります。
@tomshardware 、 Facebook 、 Google+でフォローしてください 。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
