仮想化ベースのセキュリティ
type: Concept
definition: ハードウェア仮想化とWindowsハイパーバイザーで隔離環境を作り、カーネルが侵害され得る前提でセキュリティ機能を収容する仕組み。
alternative label: VBS
alternative label: Virtualization-based Security
uses: Windowsハイパーバイザー
verified by: Win32_DeviceGuardクラス
uses: 仮想セキュアモード
verified by: msinfo32(システム情報)

仮想信頼レベル
type: Concept
definition: 仮想セキュアモードが提供する階層的な特権レベル。番号が大きいほど特権が高く、現在はVTL0とVTL1の2レベルが実装されている。
alternative label: VTL
uses: SLAT

メモリ整合性
type: Concept
definition: カーネルモードのコード整合性検証をVBSの隔離環境で実行するVBSの機能。カーネルページは検証合格後にのみ実行可能となり、実行可能ページは書き込み可能にならない。
alternative label: HVCI
alternative label: ハイパーバイザーで保護されたコード整合性
uses: 仮想化ベースのセキュリティ
prevents: カーネルへのコード注入

Credential Guard
type: Concept
definition: 資格情報のハッシュ処理をカーネルからアクセスできない分離メモリ領域で行う機能。TPMを使ってその領域の鍵を測定値で保護する。
uses: 仮想化ベースのセキュリティ
uses: 分離LSAプロセス

Windowsハイパーバイザー
type: Concept
definition: ハードウェアの直上で動き、パーティションと呼ばれる隔離実行環境を作って物理CPUとメモリへのアクセスを調停するType 1のハイパーバイザー。Hyper-Vを有効にすると、ホストのWindows自身もその上のルートパーティションで動く。
alternative label: Hyper-Vハイパーバイザー
alternative label: Microsoftハイパーバイザー
implements: 仮想セキュアモード

仮想セキュアモード
type: Concept
definition: OSソフトウェアの内側に新しいセキュリティ境界を作るためのハイパーバイザーの機能群。Device Guard・Credential Guard・仮想TPMなどの土台。
alternative label: VSM
uses: 仮想信頼レベル

SLAT
type: Concept
definition: ゲスト物理アドレスからシステム物理アドレスへの二段目のアドレス変換をCPUのハードウェアで行う仕組み。Intel EPTやAMD RVIが該当し、現行のHyper-VとVBSの必須要件。
alternative label: Second Level Address Translation
alternative label: 二段階アドレス変換

カーネルへのコード注入
type: Concept
definition: 脆弱性を悪用してカーネルモードで不正なコードを実行させる攻撃手法。

HVCIによるドライバー読み込みブロック
type: Concept
definition: メモリ整合性の要件に適合しないドライバーの読み込みがブロックされる事象。
verified by: CodeIntegrity - Operationalログ

CodeIntegrity - Operationalログ
type: Concept
definition: コード整合性のイベントが記録される、イベントビューアーのApplications and Services Logs配下の運用ログ。App Controlによるexe・DLL・ドライバーのブロック(イベント3077・3076・3089が中心)に加え、メモリ整合性(HVCI)によるドライバーの読み込みブロック(イベントID 3087が代表)もここに記録される。

分離LSAプロセス
type: Concept
definition: VTL1で動く分離LSAプロセス(LSAIso.exe)。Credential Guard有効時に資格情報の秘密を保管し、lsassとはRPCで通信する。デバイスドライバーをホストしない。
alternative label: LSAIso.exe
uses: 分離ユーザーモード

Pass-the-Hash
type: Concept
definition: 盗んだパスワードのハッシュ(NTハッシュ)を使って、平文パスワードを知らないままNTLM認証を通過する攻撃。
alternative label: Pass-the-Hash攻撃
may cause: 横展開(ラテラルムーブメント)

Win32_DeviceGuardクラス
type: Concept
definition: root/Microsoft/Windows/DeviceGuard名前空間のWMIクラス。VBSの状態と、Credential Guardやメモリ整合性など各サービスの構成・動作状態を返す。

セキュアカーネル
type: Concept
definition: VTL1で動く小さなカーネル。通常のNTカーネルから隔離された実行環境を提供する。
uses: 仮想信頼レベル

分離ユーザーモード
type: Concept
definition: VTL1のユーザーモード。トラストレットと呼ばれる信頼されたプロセスが動く。
alternative label: IUM
uses: セキュアカーネル

トラストレット
type: Concept
definition: 分離ユーザーモードで動く信頼されたプロセス。システムコールの多くをVTL0のNTカーネルへマーシャリングして処理を依頼する。
alternative label: 信頼されたプロセス
uses: NTカーネル

NTカーネル
type: Concept
definition: Windowsの通常のカーネル。VTL0のリング0で動き、ドライバーを収容する。仮想化ベースのセキュリティの文脈ではセキュアカーネルと対比される。

TGT(チケット許可チケット)
type: Concept
definition: AS交換でKDCが発行する、krbtgtアカウントの長期鍵で暗号化されたチケット。クライアントは中身を読めず、TGS交換でサービスチケットを要求する際に提示する。
alternative label: Ticket Granting Ticket
broader: kerberos

NTハッシュ
type: Concept
definition: MD4(UNICODE(パスワード))として計算される、パスワードの一方向ハッシュ。NTLM認証の資格情報の出発点で、NTLMv2の応答鍵もここから導出される。
alternative label: NTOWF
alternative label: MD4ハッシュ

msinfo32(システム情報)
type: Concept
definition: デバイスの暗号化の前提条件を満たしているかを「デバイスの暗号化のサポート」行で確認できるツール。
alternative label: システム情報

HVCI対応ドライバー
type: Concept
definition: メモリ整合性の実行可能ページ規則に適合し、コード整合性検証に合格するドライバー。
recommended for: HVCIによるドライバー読み込みブロック

横展開(ラテラルムーブメント)
type: Concept
definition: 侵害した1台を足がかりに、同じネットワーク内の他の端末やサーバーへ侵害を広げる攻撃の段階。
alternative label: ラテラルムーブメント
alternative label: lateral movement

subject: 仮想化ベースのセキュリティ
predicate: uses
object: Windowsハイパーバイザー
description: VBSはWindowsハイパーバイザーで隔離環境を作り、カーネルが侵害され得る前提でセキュリティ機能を収容する。
evidence: oem-vbs
verified at: 2026-08-22
certainty: established

subject: 仮想セキュアモード
predicate: uses
object: 仮想信頼レベル
description: 仮想セキュアモードは、階層的な特権レベルである仮想信頼レベルによって隔離を実現・維持する。
evidence: vsm
verified at: 2026-08-22
certainty: established

subject: 仮想信頼レベル
predicate: uses
object: SLAT
description: 仮想信頼レベルの隔離はハイパーバイザーとSLATを利用して作られ、VTLごとのメモリアクセス保護はパーティション内のシステムソフトウェアから変更できない。
evidence: isolated-user-mode--ium--processes
evidence: vsm
verified at: 2026-08-22
certainty: established

subject: メモリ整合性
predicate: uses
object: 仮想化ベースのセキュリティ
description: メモリ整合性はカーネルモードのコード整合性検証をVBSの隔離環境の中で実行する。
evidence: device-guard-and-credential-guard
verified at: 2026-08-22
certainty: established

subject: メモリ整合性
predicate: prevents
object: カーネルへのコード注入
description: メモリ整合性の下では、カーネルページは検証合格後にのみ実行可能となり実行可能ページは書き込み不可のため、書き換えたメモリを実行に移すコード注入が成立しない。
evidence: device-guard-and-credential-guard
evidence: hardware-security-silicon-assisted-security
verified at: 2026-08-22
certainty: established

subject: メモリ整合性
predicate: mayCause
object: HVCIによるドライバー読み込みブロック
description: 未署名のドライバーや実行可能メモリの書き換えを前提とする古い設計のドライバーは、メモリ整合性の環境で読み込みがブロックされることがある。
evidence: oem-hvci-enablement
verified at: 2026-08-22
certainty: context-dependent

subject: HVCIによるドライバー読み込みブロック
predicate: verifiedBy
object: CodeIntegrity - Operationalログ
description: ブロックされたドライバーはCodeIntegrity運用ログ(イベントID 3087が代表)で特定できる。
evidence: oem-hvci-enablement
verified at: 2026-08-22
certainty: established

subject: Credential Guard
predicate: uses
object: 仮想化ベースのセキュリティ
description: Credential GuardはVBSを使って秘密を隔離し、特権を持つシステムソフトウェアだけがアクセスできるようにする。
evidence: credential-guard
verified at: 2026-08-22
certainty: established

subject: Credential Guard
predicate: uses
object: 分離LSAプロセス
description: Credential Guard有効時、NTLMハッシュやチケット供与チケットなど保護対象の秘密は分離LSAプロセスが保管し、lsassとはRPCで通信する。
evidence: how-it-works
verified at: 2026-08-22
certainty: established

subject: Credential Guard
predicate: prevents
object: Pass-the-Hash
description: 保護対象のドメイン資格情報については、VBSでの隔離により管理者権限のマルウェアでも秘密を抽出できず、Pass-the-Hashなどの資格情報窃取攻撃が阻まれる。ローカルアカウントなど保護対象外の資格情報には保護が及ばない。
evidence: credential-guard
verified at: 2026-08-22
certainty: context-dependent

subject: 仮想化ベースのセキュリティ
predicate: verifiedBy
object: Win32_DeviceGuardクラス
description: VBSの動作状態はWin32_DeviceGuardクラスで確認でき、SecurityServicesRunningに1が含まれればCredential Guard、2が含まれればメモリ整合性が動作中である。
evidence: enable-virtualization-based-protection-of-code-integrity
verified at: 2026-08-22
certainty: established

subject: 仮想化ベースのセキュリティ
predicate: uses
object: 仮想セキュアモード
description: VBSの隔離環境は、ハイパーバイザーの機能群である仮想セキュアモードの上に成り立つ。
evidence: vsm
evidence: oem-vbs
verified at: 2026-08-22
certainty: established

subject: セキュアカーネル
predicate: uses
object: 仮想信頼レベル
description: セキュアカーネルはVTL1で動き、通常のNTカーネルから隔離された実行環境を提供する。
evidence: isolated-user-mode--ium--processes
verified at: 2026-08-22
certainty: established

subject: 分離ユーザーモード
predicate: uses
object: セキュアカーネル
description: VTL1ではセキュアカーネルの上に分離ユーザーモードがあり、そこでトラストレットが動く。
evidence: isolated-user-mode--ium--processes
verified at: 2026-08-22
certainty: established

subject: 分離LSAプロセス
predicate: uses
object: 分離ユーザーモード
description: 分離LSAプロセスは、VTL1の分離ユーザーモードで動くトラストレットである。
evidence: isolated-user-mode--ium--processes
evidence: how-it-works
verified at: 2026-08-22
certainty: established

subject: トラストレット
predicate: uses
object: NTカーネル
description: トラストレットはシステムコールの多くを自前で処理せず、VTL0のNTカーネルへマーシャリングして処理を依頼する。
evidence: isolated-user-mode--ium--processes
verified at: 2026-08-22
certainty: established

subject: TGT(チケット許可チケット)
predicate: storedIn
object: 分離LSAプロセス
description: Credential Guard有効時、Kerberosのチケット供与チケットは分離LSAプロセスに保管され、VTL0からはアクセスできない。
evidence: how-it-works
verified at: 2026-08-22
certainty: context-dependent

subject: NTハッシュ
predicate: storedIn
object: 分離LSAプロセス
description: Credential Guard有効時、ドメイン資格情報のNTLMパスワードハッシュは分離LSAプロセスに保管され、VTL0からはアクセスできない。ローカルアカウントのハッシュは対象外。
evidence: how-it-works
evidence: credential-guard
verified at: 2026-08-22
certainty: context-dependent

subject: 仮想化ベースのセキュリティ
predicate: verifiedBy
object: msinfo32(システム情報)
description: VBSの状態は、msinfo32のシステムの要約にある「仮想化ベースのセキュリティ」欄で確認できる。
evidence: oem-hvci-enablement
verified at: 2026-08-22
certainty: established

subject: Windowsハイパーバイザー
predicate: implements
object: 仮想セキュアモード
description: 仮想セキュアモードはハイパーバイザーが提供する機能群であり、その実装はWindowsハイパーバイザーが担う。
evidence: vsm
verified at: 2026-08-22
certainty: established

subject: HVCI対応ドライバー
predicate: recommendedFor
object: HVCIによるドライバー読み込みブロック
description: ドライバーの読み込みブロックへの本筋の対処はHVCI対応版ドライバーへの更新であり、メモリ整合性の無効化は保護を手放す最終手段に位置づける。
evidence: oem-hvci-enablement
verified at: 2026-08-22
certainty: established

subject: Pass-the-Hash
predicate: mayCause
object: 横展開(ラテラルムーブメント)
description: 窃取したハッシュによる認証が通ると、別のマシンへの横展開に悪用される。
evidence: credential-guard
verified at: 2026-08-22
certainty: established