Windows 10/8には、 Windowsのブート構成とコンポーネントを保護し、 Early Launch Anti-malware（ELAM）ドライバーをロードするSecureBootと呼ばれる新しいセキュリティ機能が含まれています。このドライバーは、他のブートスタートドライバーよりも先に起動し、それらのドライバーの評価を可能にし、Windowsカーネル^{(Windows kernel)}がそれらを初期化する必要があるかどうかを判断するのに役立ちます。ELAMはカーネルによって最初に起動されるため、他のサードパーティソフトウェアよりも先に起動されることが保証されます。したがって、ブートプロセス自体でマルウェアを検出し、マルウェアのロードや初期化を防ぐことができます。

マルウェア^{(Launch Anti-Malware)}対策の早期リリース

Windows Defenderは、Early-Launch Anti-Malwareを利用しているため、起動プロセスが完了した後ではなく、起動プロセスの早い段階で読み込まれることがわかります。

サードパーティのウイルス対策ソフトウェアも、ELAMテクノロジーを利用できます。そのためには、同じ早期起動マルウェア対策^{(Early Launch Anti-Malware)}（ELAM）機能をソフトウェアに統合する必要があります。セキュリティソフトウェアベンダーの開始を支援するために、Microsoftは、 ^(Microsoft)Windows用のEarly Launch ^(Windows)Anti-Malware（ELAM）ドライバーの 開発に関する情報を提供するホワイトペーパー^(whitepaper)をリリースしました。オペレーティングシステム。これは、マルウェア対策開発者が他のブートスタートドライバーの前に初期化されるマルウェア対策ドライバーを開発し、それらの後続のドライバーにマルウェアが含まれていないことを確認するためのガイドラインを提供します。Windows用^(Windows)の更新されたソリューションをリリースしたいくつかのウイルス対策会社はすでにこのテクノロジーを組み込んでいます。

Early Launch Antimalwareブートスタートドライバーは、ドライバーを次のように分類しました。

1. 良い^(Good)：ドライバーは署名されており、改ざんされていません。
2. 悪い例^(Bad)：ドライバーはマルウェアとして識別されています。既知の不良ドライバーの初期化を許可しないことをお勧めします。
3. 不正ですが、起動に必要です^{(Bad, but required for boot)}：ドライバーはマルウェアとして識別されていますが、このドライバーを読み込まずにコンピューターを正常に起動することはできません。
4. 不明^(Unknown)：このドライバーは、マルウェア検出アプリケーションによって証明されておらず、EarlyLaunchAntimalware^{(Launch Antimalware)}ブートスタートドライバーによって分類されていません。

既定では、Windows 10は、Good、Unknown、およびBad butBootCriticalとして分類されているドライバーを読み込み^{(Boot Critical)}ます。つまり、上記の1、3、4です。不正^(Bad)なドライバはロードされません。

グループポリシーエディター^{(Group Policy Editor)}を使用してブートスタートドライバー初期化ポリシー^{(Boot-Start Driver Initialization Policy)}を構成する

この設定はデフォルト値のままにしておくのが最適ですが、必要に応じて、グループポリシーエディター^{(Group Policy Editor)}を使用してこの設定を変更できます。これを行うには、WinXメニュー> Run > gpedit.msc> Enterキー^{(Hit Enter)}を押します。次のポリシー設定に移動します。^(Navigate)

Computer Configuration > Administrative Templates >  System > Early Launch Antimalware

右側のウィンドウで、[  Boot-Start Driver Initialization Policy ]をダブルクリックして、構成します。

未構成^{(Not Configured)}のデフォルト構成が表示されます。このポリシー設定を無効にするか、構成しない場合、良好、不明^(Unknown)、または不良^(Bad)であると判断されたがブートクリティカル^{(Boot Critical)}であると判断されたブートスタートドライバーは初期化され、不良^(Bad)と判断されたドライバーの初期化はスキップされます。

このポリシー設定を有効^(Enable)にすると、次にコンピューターを起動したときに初期化するブートスタートドライバーを選択できます。

Windows 10/8を使用している場合は、マルウェア対策ソフトウェアに早期起動のマルウェア対策ブートスタートドライバーが含まれているかどうかを確認する必要があります^{(Antimalware)}。そうでない場合、すべてのブートスタートドライバが初期化され、この新しいELAMテクノロジを利用できなくなります。

Early Launch Anti-Malware (ELAM) protection technology in Windows 10

Windowѕ 10/8 inclυdes a new security feature called Secure Boot, which protects the Wіndows boot configurаtion and components, and loads an Early Launch Anti-malware (ELAM) driver. This driver starts before other boot-start drivers and enables the evaluation of those drivers and helps the Windows kernel decide whether they should be initialized. By being launched first by the kernel, ELAM is ensured that it is launched before any other third-party software. It is, therefore, able to detect malware in the boot process itself and prevent it from loading or initializing.

Early Launch Anti-Malware protection

Windows Defender takes advantage of Early-Launch Anti-Malware, and you, therefore, see that it no longer loads after the start-up process is complete, but early on during the boot process.

Third-party antivirus software too, is able to take advantage of the ELAM technology. To do so, they will have to integrate the same Early Launch Anti-Malware (ELAM) capability in their software. To help security software vendors get started, Microsoft has released a whitepaper that provides information about developing Early Launch Anti-Malware (ELAM) drivers for Windows operating systems. It provides guidelines for anti-malware developers to develop anti-malware drivers that are initialized before other boot-start drivers, and ensure that those subsequent drivers do not contain malware. Several antivirus companies, who have released their updated solutions for Windows already incorporate this technology.

The Early Launch Antimalware boot-start driver has classified the drivers as follows:

1. Good: The driver has been signed and has not been tampered with.
2. Bad: The driver has been identified as malware. It is recommended that you do not allow known bad drivers to be initialized.
3. Bad, but required for boot: The driver has been identified as malware, but the computer cannot successfully boot without loading this driver.
4. Unknown: This driver has not been attested to by your malware detection application and has not been classified by the Early Launch Antimalware boot-start driver.

By default, Windows 10 loads those drivers which have been classified as Good, Unknown, and Bad but Boot Critical; ie 1, 3 and 4 above. Bad drivers are not loaded.

Configure Boot-Start Driver Initialization Policy using Group Policy Editor

While this setting is best left at its default value, if you wish, you can change this setting via your Group Policy Editor. To do so, open the WinX menu > Run > gpedit.msc > Hit Enter. Navigate to the following policy setting:

Computer Configuration > Administrative Templates >  System > Early Launch Antimalware

In the right pane, double-click on  Boot-Start Driver Initialization Policy to configure it.

You will see the default configuration of Not Configured. If you disable or do not configure this policy setting, the boot-start drivers determined to be Good, Unknown or Bad but Boot Critical are initialized, and the initialization of drivers determined to be Bad is skipped.

If you Enable this policy setting, you will be able to choose which boot-start drivers to initialize the next time the computer is started.

If you are using Windows 10/8, you want to check if your anti-malware software includes an Early Launch Antimalware boot-start driver. If it doesn’t, all boot-start drivers will be initialized, and you will not be able to take advantage of this new ELAM technology.

Related posts

• Windows 10 Hello Face AuthenticationでEnhanced Anti-Spoofingを有効にします

• Windows 10コンピューターをフォーマットする方法

• Windows 10 v 21H1では、機能が削除されました

• Windows 10の有効化方法またはDisable Automatic Learning

• Windows 10のReliability Monitorの場合はDisable Data Collectionを有効にします

• Windows 10でResource Monitorの使用方法

• Windows 10のKnown Issue Rollback featureとは何ですか

• Analyze Wait Chain：Identify hungまたはWindows 10の凍結プロセス

• PhotosをWindows 10でSlideshowとして表示する方法

• どのように無効にする手順はWindows 10にRecorder

• New Windows 10 v 20H2 v 20H2 October 2020 Update

• Windows 10のタスクバーに対するニュースや利益を有効または無効にする

• Windows 10でFeature Updatesのセーフガードを無効にする方法

• 新しいWindows10PCに不可欠なソフトウェアと機能

• Files and Foldersのための効果的なPermissions Tool.Windows 10

• Windows 10のNews & InterestsのTaskbar Updatesを減らす方法

• Windows 10 Task ManagerのDPI Awareness ModeのDPI Awareness Modeを表示する方法

• Windows 10コンピュータのMyLauncherでファイルを簡単に起動します

• Windows 10でNetwork Sniffer Tool PktMon.exeを使用する方法

• 障害者向けのWindows10アクセシビリティ機能