AppLocker: Windows でアプリケーション制限ポリシーを構成する

James Mitchell included in Group Policies Windows 11 Windows Server 2022

2025-11-20 516 words 3 minutes

Contents

<本文>

AppLocker セキュリティポリシーを使用すると、管理者は Windows 上での特定のアプリケーションの実行をブロックまたは許可できます。 Applocker を使用すると、特定のユーザーグループに対してプログラムの実行を制限し、管理者などの他のユーザーにはプログラムの実行を許可することができます。このガイドでは、GPO を使用して AppLocker アプリケーションアクセスポリシーを作成および展開する方法について説明します。

AppLocker アプリケーション制御機能は当初、Windows の Enterprise エディションでのみ利用可能でした。ただし、Windows 10 バージョン 2004 およびすべての Windows 11 バージョン以降では、これらのエディションの制限が削除され、AppLocker ポリシーを Pro エディションにも適用できるようになりました。

以前は、ソフトウェア制限ポリシー (SRP) を通じて Windows にアプリケーションの起動制限を実装できました。ただし、SRP 機能は、Windows 10 バージョン 1803 および Windows Server 2019 のリリース以降、非推奨になりました。

ドメイングループポリシー管理スナップイン gpmc.msc を使用して、AppLocker コントロール設定を含む新しいドメイン GPO を作成しましょう (ローカルグループポリシーエディターを使用してスタンドアロンマシンで Applocker 設定を構成できるのと同じ方法です)。

新しい GPO を作成し、編集モードに切り替えます。
AppLocker ポリシーをクライアントに適用するには、Application Identity サービスを有効にして実行する必要があります (Windows では、「AppIDSvc」サービスはデフォルトで無効になっています)。
コンピュータの構成 -> Windows の設定 -> セキュリティ設定 -> システムサービスに移動します。 Application Identity サービスのプロパティを開き、自動起動を有効にします。
次に、コンピューターの構成 -> ポリシー -> Windows の設定 -> セキュリティの設定 -> アプリケーション制御ポリシー -> AppLocker を展開します。ここで 4 つのソフトウェアカテゴリのルールを作成できます。

実行可能ルール – 実行可能ファイル (.EXE および .COM)。

Windows インストーラールール – Windows インストーラーファイル (.MSI、.MSP、.MST)。

スクリプトルール – スクリプトファイル (.BAT、.CMD、.JS、.PS1、および .VBS)。

パッケージ化されたアプリのルール – APPX および MSIX Microsoft Store アプリ。

この例では、実行可能ファイルのソフトウェア制御ルールを作成します。そこで、「実行可能ルール」を右クリックし、「デフォルトルールの作成」を選択します
いくつかの事前定義ルールが作成されます。

すべてのユーザーを許可 (Program Files フォルダーにあるすべてのファイル) – このルールにより、ユーザーは「Program Files」ディレクトリからファイルを実行できます。

すべてのユーザーを許可 (Windows フォルダーにあるすべてのファイル) – ユーザーが「Windows」ディレクトリから任意のファイルを実行できるようにします。

BUILTIN\Administrators (すべてのファイル) を許可 – のメンバー

– このルールにより、ユーザーはディレクトリからファイルを実行できます。 – ユーザーはディレクトリから任意のファイルを実行できます。 – ローカル管理者グループのメンバーは任意のファイルを実行できます。

たとえば、バージョンやディスク上の場所に関係なく、管理者以外のユーザーに特定のアプリケーションの実行を許可したい場合があります。
新しい AppLocker ルールを作成します。実行可能ファイルの実行を許可するか拒否するかを選択します。このポリシーを適用するユーザーグループを選択します (デフォルトではEveryone)。
次に、AppLocker ルールの条件を選択します。次の 3 つのオプションが利用可能です。

発行者 – 署名付きファイル (特定の発行者からのファイル) のルールを作成できます。このルールでは、発行者名、製品名、実行可能ファイル名、またはファイルバージョンのオプションから選択できます。

パス - ルールが適用されるディレクトリまたはファイルへのパスを指定します。 EXE ファイルへの絶対パスを指定するか、ワイルドカード文字 (*) を使用できます。たとえば、ルール「 C:\MyAppFolder* 」は、指定されたディレクトリ内のすべての実行可能ファイルに適用されます。

ファイルハッシュ – ルールを使用して、SHA-256 ハッシュに基づいて未署名のファイルを識別できます。このルールは、ファイルの名前やディスク上の場所に関係なく、ファイルの実行を許可または拒否します。ただし、ファイルバージョンが変更された場合 (ソフトウェアアップデート後など)、新しいファイルハッシュに対してルールを再作成する必要があります。

Windows ディレクトリまたはドライブ |

AppLocker パス変数 —|—Windows ディレクトリ |

%WINDIR%

System32 と sysWOW64 |

%SYSTEM32%

Windows インストールドライブ |

%OSDRIVE%

プログラムファイル |

%PROGRAMFILES%

リムーバブルメディア (CD または DVD) |

%リムーバブル%

リムーバブルストレージデバイス (USB フラッシュドライブ) |

%HOT%

ルールでパスを指定する場合は、次の AppLocker 固有の環境変数を使用できます。

発行者ごとに特定のアプリの AppLocker ルールを作成します。対象の実行ファイルを選択します。 AppLocker ルールが作成されるドメインコントローラーにターゲットファイルが存在しない可能性があるため、UNC パスを使用して、ネットワーク上のクライアントコンピューターからファイルを選択できます (たとえば、Windows 管理共有パス形式 \\computer123\c$\tools\tcpview64.exe を使用します)。
バージョンに関係なく、このファイルが名前に基づいて実行できるようにしたいと考えています。スライダーをファイル名に移動する必要があります。または、カスタム値を使用オプションを使用して、より柔軟な条件を構成します。
例外セクションでは、パス、発行者、またはファイルハッシュごとにルールの例外を作成できます。たとえば、古いバージョンの脆弱なアプリの実行を禁止したり、アプリを特定のフォルダーに制限したりできます。
新しい AppLocker ルール名を設定します。

次に、ユーザーが AnyDesk.exe アプリを実行できないようにするルールを作成しましょう。

新しい AppLocker ルールを追加します
ルールにより、誰もがアプリを実行できないようにする必要があります。「アクション: 拒否」、ユーザーまたはグループ: 「全員」を選択します。
Publisher ルールを作成し、AnyDesk 実行可能ファイルを参照します。
このルールは、ファイルのバージョンや場所に関係なく適用されます。発行者 O=ANYDESK SOFTWARE GMBH によって署名されたファイルの起動を完全に拒否することも、製品名によって制限することもできます。
このようなルールは、実行可能ファイルが存在するディレクトリや実際のファイル名に関係なく、プログラムの起動をブロックします。

ローカル管理者はローカル実行可能ファイルを実行できますが、拒否ルールが常に優先され、実行がブロックされます。

作成した AppLocker ルールをクライアントコンピューターに適用するには、GPO コンソールで AppLocker プロパティを開きます。ここで使用できるルールは 4 種類あります。

実行可能ルール – 従来の Win32 実行可能 (Exe) ファイルのルール
Windows インストーラールール – MSI インストーラールール
スクリプトルール – スクリプトの実行ルール
すべてのルールをパッケージ化 - Microsoft Store AppX/MSIX パッケージのルール

デフォルトでは、AppLocker ルールは適用されません。クライアントにルールを適用するには、「構成済み」オプションを有効にし、ルールを「監査のみ」モードで適用するか、「ルール適用」モードで適用するかを選択する必要があります。

実際にアプリの実行をブロックせずに、クライアントへの影響をテストするために、最初に監査モードでルールを適用することをお勧めします。

AppLocker 設定を含む GPO をターゲット OU にリンクします (最初にテストコンピューター/OU でソフトウェア制限ルールをテストすることを強くお勧めします)。

クライアントに新しいグループポリシー設定を適用した後、AppLocker ルールがクライアントでどのように機能するかを確認します。 AppLocker ルールは現在監査モードで適用されているため、アプリケーションの起動は実際にはブロックされません。

イベントビューアーログを使用して、特定の実行可能ファイルが起動されたときに AppLocker ポリシーがどのようにトリガーされるかを判断できます。イベントビューアコンソール (eventvwr.msc) を開き、アプリケーションとサービスログ -> Microsoft -> Windows -> AppLocker -> EXE および DLL に移動します。

AppLocker は、ブロックされた実行可能ファイルを実行しようとする試みを検出すると、ブロックされたアプリの名前を含むイベント ID 8003 の警告をログに記録します。


%OSDRIVE%\TOOLS\ANYDESK.EXE was allowed to run but would have been prevented from running if the AppLocker policy were enforced.

アプリケーションの実行が許可されると、イベント ID 8002 が追加されます。

デフォルトのルールでは管理者がすべてのアプリケーションを制限なく実行できるため、非管理者ユーザーアカウントで AppLocker ルールをテストします。ユーザーはセッション内で作業し、必要なプログラムを起動し、標準的な日常タスクを実行する必要があります。

監査イベントに従って、実行がブロックされているアプリを確認します。 PowerShell を使用してイベントビューアーログをクエリし、コンピューター上の AppLocker ルールによってブロックされているアプリのリストを取得できます。

` $TimeSpan=(Get-Date).AddHours(-24)

Get-WinEvent-FilterHashtable @{LogName=“Microsoft-Windows-AppLocker/EXE および DLL”; ID=8003; StartTime=$TimeSpan } |フォーマット - テーブル TimeCreated、メッセージ - AutoSize `

現在のアプリケーション制御ポリシーが必要な実行可能ファイルをブロックしている場合は、AppLocker GPO を編集して、そのアプリの実行を許可するルールを追加します。

AppLocker ルールを監査モードでデバッグした後、それらを強制モードで適用できます。これを行うには、AppLocker ポリシーの監査設定を「ルールを強制する」に変更します。

AppLocker は、承認されていないプログラム、または明示的に拒否されたプログラムの起動をブロックするようになりました。


This app has been blocked by your administrator

ID 8004 のイベントがイベントビューアに追加され、ブロックされた実行可能ファイルの名前が含まれます。


%OSDRIVE%\TOOLS\ANYDESK.EXE was prevented from running.

AppLocker で許可またはブロックされたアプリごとに個別のルールを手動で作成するのは、時間がかかり面倒です。 AppLocker ルールの作成と実装のプロセスを高速化し、改善できるツールがいくつかあります。

GPO コンソールの AppLocker 構成エディターには、自動ルール生成機能があります。管理者は、ルールを自動的に生成オプションを選択し、参照マシン上のターゲットフォルダーを指定できます。次に、AppLocker は、コンピューター上で見つかったすべてのソフトウェアのルールのリストを生成します。

AppLocker ルールを個々のコンピューターからインポートして作成することもできます。たとえば、PowerShell を使用して、イベントビューアーのログからブロックされた実行可能ファイルのリストを取得できます。

Get-ApplockerFileinformation-Eventlog-EventType Audited|fl

この情報に基づいて、ローカルの AppLocker ポリシーにルールを自動的に追加できます。

Get-ApplockerFileinformation-Eventlog-EventType 監査済み | New-ApplockerPolicy-RuleType ハッシュ、発行者-ユーザー jsmith-RuleNamePrefix AuditBased | Set-ApplockerPolicy –Merge

新しいルールは、コンピューターのローカル AppLocker ポリシーに追加されます。そこから、ドメイン GPO にエクスポートおよびインポートできます。

ブロックされた実行可能ファイルのみをリストします (各ファイルの実行試行回数を含む)。

Get-AppLockerFileInformation-EventLog-EventType Denied-Statistics

AppLocker ルールを作成するときは、次の点に留意してください。

AppLocker の拒否ルールは許可ルールよりも優先されます。
デフォルトでは、明示的に許可されない限り、すべてが禁止されます。つまり、実行可能ファイルは、ルールによって明示的に許可され、他のルールによって明示的に拒否されていない場合にのみ実行を許可されます。

※各ルールには例外がある場合があります。たとえば、これにより、特定のルールを一部のユーザーグループに適用し、他のユーザーには例外を適用することができます。このスクリーンショットは、例外を使用して管理者に対して PowerShell の実行を許可し、管理者以外のユーザーに対してはブロックする方法を示しています (コンピューター上で PowerShell を無効にすることに関する記事は、そのようなルールを実装する例です)。

ルールを作成するときは、「Everyone」や「Domain Users」などのグループには管理者も含まれる可能性があることに注意してください。

コンピューター上の AppLocker を一時的に停止する可能性についてはどうですか? Application Identity サービスを停止すると、AppLocker ルールが適用されなくなると思われるかもしれません。しかし、これは真実ではありません。

コンピューター上で AppLocker を一時的に無効にするには、まず AppIDSvc サービスを停止し、次に AppCache.dat、Exe.AppLocker、および Dll.AppLocker ファイルを C:\Windows\System32\AppLocker\ フォルダーから削除します。

最新バージョンの Windows には、Windows Defender Application Control (WDAC) と呼ばれる、実行可能ファイルの起動を制御するための追加メカニズムが含まれています。 AppLocker よりも構成が若干複雑ですが、柔軟性、拡張性、セキュリティが強化されているため、より良い選択肢となります。ユーザーモードでのみ動作する AppLocker とは異なり、WDAC はカーネルレベル (ドライバーなど) とユーザーモードの両方でコードの実行をブロックできます。

*️⃣ 出典リンク:

ドメイングループポリシー管理スナップイン、ローカル管理者グループ、Windows 管理共有、Microsoft Store AppX/MSIX パッケージ、新しいグループポリシー設定の適用、PowerShell を使用したイベントビューアーログのクエリ、