今回は、Windows 11のコア分離に含まれるメモリ整合性について、機能のしくみ、設定の確認方法、オンにできないときの対処法を紹介します。
Windows 11のコア分離とは
コア分離は、Windowsの中心部分で動くプロセスを、ほかの領域から切り離して守るためのセキュリティ機能です。ハードウェアの仮想化機能を利用して、通常のWindowsとは別に保護された領域を用意し、その中で重要な処理を行います。
マルウェアがWindowsの奥深くに入り込もうとしても、保護された領域には手を出しにくくなるため、乗っ取りのリスクを抑えることにつながります。
コア分離の画面には、パソコンの構成やWindowsのバージョンに応じて、次のような項目が表示されます。
- メモリ整合性（ハイパーバイザーで保護されたコード整合性、HVCIとも呼ばれます）
- カーネルモードのハードウェア強制スタック保護
- メモリアクセス保護（カーネルDMA保護）
- ローカルセキュリティ機関（LSA）の保護
- Microsoftの脆弱なドライバーのブロックリスト
表示される項目はパソコンによって異なるため、ほかの人の画面と違っていても問題ありません。
メモリ整合性のしくみ
メモリ整合性は、ドライバーなどの低いレベルで動くプログラムを悪用した攻撃を防ぐための機能です。
ドライバーは、キーボードやWebカメラといった機器とWindowsの間で、やり取りを仲介するソフトウェアです。Windowsの深い部分で動作するため、悪意のあるコードがドライバーの形で入り込むと、パソコン全体を操られるおそれがあります。
メモリ整合性がオンになっていると、カーネルで動かそうとするコードは、仮想化で隔離された領域にいる「チェック役」に一度渡されます。チェック役が問題ないと判断したコードだけがWindowsに戻され、実行を許可されます。チェック役自体が隔離されているので、攻撃者がチェックのしくみそのものを書き換えることも難しくなります。
身近な例に置き換えると、建物の入口に鍵付きの受付ブースがあり、出入りする人を係員が確認しているような状態です。係員がブースの外にいると買収や妨害を受けやすくなりますが、ブースの中にいれば守られた状態で確認を続けられます。
メモリ整合性の状態を確認・設定する手順
Windows セキュリティアプリから開く
メモリ整合性の設定は、Windows セキュリティアプリの中にあります。次の手順で開けます。
- [スタート]から[設定]を開きます。
- [プライバシーとセキュリティ]→[Windows セキュリティ]を選択します。
- [デバイス セキュリティ]を選択し、Windows セキュリティアプリを開きます。
- [コア分離]の下にある[コア分離の詳細]を選択します。
- [メモリ整合性]のスイッチでオン・オフを切り替えます。
切り替えたあとは、変更を反映するためにパソコンの再起動を求められます。作業中のファイルを保存してから操作しておくと安心です。
検索から素早く開くコツ
タスクバーの検索ボックスに「コア分離」と入力すると、候補にコア分離の画面が表示され、設定アプリを経由せずに開けます。何度か状態を確認したい場合に便利です。
デバイス セキュリティ画面の表示もあわせて確認する
[デバイス セキュリティ]画面の下のほうには、パソコンのハードウェアのセキュリティ状態がメッセージで表示されます。
- 「標準ハードウェア セキュリティの要件を満たしています」と表示されている場合は、メモリ整合性とコア分離に対応したハードウェアであることを示しています。
- 「拡張ハードウェア セキュリティの要件を満たしています」と表示されている場合は、標準の要件に加えて、メモリ整合性が有効になっている状態です。
メモリ整合性をオンにして再起動したあと、この表示が変わっているかを見ると、設定が反映されたかどうかの確認になります。
メモリ整合性をオンにできないときの対処法
ハードウェアの仮想化機能が無効になっている
メモリ整合性は仮想化のしくみを使うため、UEFI（BIOS）でハードウェア仮想化が有効になっていることが前提です。スイッチが操作できない、または項目が表示されない場合は、UEFIの設定で仮想化機能（Intel VT-xやAMD-Vなど、メーカーによって名称が異なります）が無効になっている可能性があります。
UEFIの画面の開き方や項目の場所は機種ごとに違うため、パソコンメーカーのサポート情報やマニュアルを確認してから操作してください。
互換性のないドライバーがある
メモリ整合性をオンにしようとしたときに、互換性のないドライバーがあるというメッセージが出ることがあります。この場合は、次の順番で対応すると進めやすくなります。
- メッセージに表示されたドライバー名やファイル名をメモし、どの機器やアプリに関係するものかを調べます。
- Windows Updateやデバイス マネージャーで、新しいドライバーが配信されていないか確認します。
- 見つからない場合は、機器やアプリの製造元のサイトで更新版のドライバーが公開されていないか確認します。
- 更新版がなく、その機器やアプリを使っていないのであれば、アンインストールや取り外しを検討します。
古い周辺機器や、以前使っていたユーティリティソフトのドライバーが残っているだけ、ということもあります。使っていないソフトを整理すると、そのままオンにできる場合があります。
オンにしたあとで機器が使えなくなった場合
メモリ整合性を有効にしたあとで、互換性のないドライバーを使う機器やアプリを新しく入れようとすると、同じようなメッセージが表示されることがあります。また、ドライバーを読み込めないことを知らせる「プログラム互換性アシスタント」のバナーが出る場合もあります。
このようなときは、まず更新されたドライバーがないかを確認し、対応版が出るまでその機器の導入を見送るのがおすすめです。どうしても今すぐ使う必要がある場合に限り、一時的にメモリ整合性をオフにするという選択肢もありますが、保護が弱まることを理解したうえで判断してください。
あわせて知っておきたいポイント
- メモリ整合性、スマートアプリコントロール、SモードのWindowsのいずれかが有効になっていると、脆弱なドライバーのブロックリストもオンになります。既知の問題があるドライバーの読み込みを防ぐしくみです。
- カーネルモードのハードウェア強制スタック保護を使うには、メモリ整合性が有効になっていることに加え、対応するCPUが必要です。
- セキュリティ設定を変更する前に、重要なファイルのバックアップを取っておくと、万一の不具合にも落ち着いて対応できます。
- 会社や学校から支給されたパソコンは、管理者が設定を管理していることがあります。自分で変更せず、担当部署に相談するのが安全です。
まとめ
Windows 11のコア分離に含まれるメモリ整合性は、ドライバーなどWindowsの深い部分を狙う攻撃から守るための機能です。仮想化で隔離した領域でコードを確認することで、悪意のあるプログラムが入り込みにくい状態を保ちます。
- 設定は[設定]→[プライバシーとセキュリティ]→[Windows セキュリティ]→[デバイス セキュリティ]→[コア分離の詳細]から変更できます。
- 切り替えたあとは再起動が必要です。
- オンにできない場合は、UEFIの仮想化設定と互換性のないドライバーの2点を確認します。
- ドライバーの問題は、更新版への入れ替えや不要なソフトの整理で解決することがあります。
一度オンにすれば普段の操作で意識することはほとんどありません。まずは自分のパソコンでメモリ整合性がどの状態になっているかを確認するところから始めてみてください。