Microsoft Defender のセキュアスコアの100%を目指して推奨事項を設定していく話で、初回の今回は推奨事項「Block untrusted and unsigned processes that run from USB（USB から実行される信頼されていない署名のないプロセスをブロックする）」を設定する話です。
目次
どうしてセキュアスコアで 100% を目指すのか？
2026年9月からのサイバー攻撃の激化を目の当たりにする中、漏洩した自分の個人情報をもとに巧妙なフィッシングが行われ、Windows デバイスに攻撃者の侵入を許してしまうのはでないかと危機感を覚えています。 それでデバイスのセキュリティでやるべきことは沢山ありすぎるのとその内容は日々変わっていく中でゴールというか目標として Microsoft Defender のセキュアスコアの 100% を置くことにしました。 このゴールが適切だったのか、有効だったのかは実際やってみてから判断することにします。
なお、このDefender のセキュアスコアは有償のDefender for Endpoint がないと使えません。自宅の Windows PC では Microsoft Defender for Endpoint P2 を利用しています。
推奨事項は100個以上あるので100個の記事になるかもしれませんがスコアが高いものを優先して設定を進めていきます。
Block untrusted and unsigned processes that run from USB について
推奨事項「Block untrusted and unsigned processes that run from USB（USB から実行される信頼されていない署名のないプロセスをブロックする）」は、「悪意のある USB メモリ経由のマルウェア感染」および「未許可・改ざんされた実行ファイルによる内部攻撃」というリスクを解消・低減するためのセキュリティ設定です。
この設定を適用すればスコアを1.04%改善することが出来ます。
もう少し具体的な利用シーンで説明すれば、PCにUSBメモリを差し込んで、USBメモリの中にあるアプリケーションについて、危険なものは実行させない、という状態です。
このルールがブロック対象とするのは、主に以下のようなファイルです。
- デジタル署名が一切ない実行可能ファイル（
.exe、.scr、.vbsなど） - 発行元が信頼された証明機関（CA）によって検証されていない、または自己署名証明書で作られたプログラム
- 署名があっても、OS や組織の信頼リストに含まれていない発行元によるもの
うちは自宅のPCですし、USBメモリでファイルを持ち込むことも持ち出しことも基本無いのでこの設定を行っても問題は無いのですが、社内独自でビルドした署名なしの内製ツールや、一部のポータブル版フリーソフトを USB から直接起動して作業している運用がある場合などはそれらもブロック対象になります。 そのような場合は最初から制限するのではなく「監査モード（Audit）」で検知状況を確認すると良いと思います。
設定
設定方法は色々ありますが、自宅の管理対象の Windows 11 は2台あるので Intune から設定することにします。
Intune の管理画面からエンドポイントセキュリティ > 攻撃面の減少で ”ポリシーの作成”からポリシーを作成します。
プラットフォームは”Windows”、プロファイルは”攻撃の回避規則”でプロファイルを作成します。
ここではポリシーの名前を指定します。
“USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする”の挙動を”ブロック”にします。
スコープタグを使う場合はここで指定します。 スコープ タグは、管理者を拠点別や部署別（例:「東京支社管理者」「大阪支社管理者」など）に分けて、ポリシーの編集・閲覧権限を細かく制限したい場合に使う機能です。
今回は自宅で自分が利用するPCなので使用しません。
ここでは対象となるグループを指定します。 すべてのデバイスを指定します。 限定したい場合はそういうグループを別途準備して指定してあげると良いと思います。
最後に作成するポリシーの全体を確認し、問題なければ”Create”を実行します。
仕事だったら、このあと実際の動作するのか、どれくらいの間隔で反映するのか（ブロックを有効化したり、一時的に解除したあとに）、除外の設定なども一通り確認することになりますが試すための環境の準備も大変ですし、Microsoftを信用してテストは省略します（本当はあまり信用していないけど・・。 Intuneはあくまで設定を配布するだけで本当にWindows 11上でその設定が有効化どうかを保証するわけではないし）
以上
