知識マップ: Windows仮想化の深層(第2回) ── カーネルからも見えないメモリ:VBS・HVCI・Credential Guardの仕組み

記事「Windows仮想化の深層(第2回) ── カーネルからも見えないメモリ:VBS・HVCI・Credential Guardの仕組み」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

VBSはWindowsハイパーバイザーで隔離環境を作り、カーネルが侵害され得る前提でセキュリティ機能を収容する。隔離は仮想セキュアモードが提供する仮想信頼レベルで実現され、その境界はSLATのメモリアクセス保護が支える。HVCI(メモリ整合性)はコード整合性検証をVBSの隔離環境で実行してカーネルへのコード注入を防ぐが、要件に適合しないドライバーの読み込みブロックの原因になることがあり、その記録はCodeIntegrity運用ログで確認できる。VTL1ではセキュアカーネルの上の分離ユーザーモードでトラストレットが動き、システムコールの多くはVTL0のNTカーネルへ依頼される。Credential GuardはVBSを使い、ドメイン資格情報のNTハッシュやTGTを分離LSAプロセスに保管し、保護対象のドメイン資格情報に対するPass-the-Hash攻撃を防ぐ。VBSと各サービスの動作状態はWin32_DeviceGuardクラスで確認できる。

flowchart LR
    accTitle: VBS・HVCI・Credential Guardの知識マップ
    accDescr: VBSがハイパーバイザーと仮想信頼レベルとSLATで隔離を作り、HVCIがカーネルへのコード注入を防ぎつつドライバーブロックの原因にもなり、Credential Guardが分離LSAプロセスで秘密を守る関係図
    vbs["仮想化ベースのセキュリティ"]
    virtual_trust_level["仮想信頼レベル"]
    hvci["メモリ整合性"]
    credential_guard["Credential Guard"]
    windows_hypervisor["Windowsハイパーバイザー"]
    virtual_secure_mode["仮想セキュアモード"]
    slat["SLAT"]
    kernel_code_injection["カーネルへのコード注入"]
    hvci_driver_block["HVCIによるドライバー読み込みブロック"]
    codeintegrity_log["CodeIntegrity - Operationalログ"]
    lsaiso["分離LSAプロセス"]
    pass_the_hash["Pass-the-Hash"]
    win32_deviceguard["Win32_DeviceGuardクラス"]
    secure_kernel["セキュアカーネル"]
    isolated_user_mode["分離ユーザーモード"]
    trustlet["トラストレット"]
    nt_kernel["NTカーネル"]
    tgt["TGT(チケット許可チケット)"]
    nt_hash["NTハッシュ"]
    msinfo32["msinfo32(システム情報)"]
    hvci_compatible_driver["HVCI対応ドライバー"]
    lateral_movement["横展開(ラテラルムーブメント)"]
    vbs -->|"利用する"| windows_hypervisor
    virtual_secure_mode -->|"利用する"| virtual_trust_level
    virtual_trust_level -->|"利用する"| slat
    hvci -->|"利用する"| vbs
    hvci -->|"防止する"| kernel_code_injection
    hvci -.->|"原因になり得る"| hvci_driver_block
    hvci_driver_block -->|"で確認できる"| codeintegrity_log
    credential_guard -->|"利用する"| vbs
    credential_guard -->|"利用する"| lsaiso
    credential_guard -.->|"防止する"| pass_the_hash
    vbs -->|"で確認できる"| win32_deviceguard
    vbs -->|"利用する"| virtual_secure_mode
    secure_kernel -->|"利用する"| virtual_trust_level
    isolated_user_mode -->|"利用する"| secure_kernel
    lsaiso -->|"利用する"| isolated_user_mode
    trustlet -->|"利用する"| nt_kernel
    tgt -.->|"に保存される"| lsaiso
    nt_hash -.->|"に保存される"| lsaiso
    vbs -->|"で確認できる"| msinfo32
    windows_hypervisor -->|"実装を担う"| virtual_secure_mode
    hvci_compatible_driver -->|"推奨される対応"| hvci_driver_block
    pass_the_hash -->|"原因になり得る"| lateral_movement

概念間の関係(全22件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

仮想化ベースのセキュリティはWindowsハイパーバイザーを利用します。VBSはWindowsハイパーバイザーで隔離環境を作り、カーネルが侵害され得る前提でセキュリティ機能を収容する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
仮想セキュアモードは仮想信頼レベルを利用します。仮想セキュアモードは、階層的な特権レベルである仮想信頼レベルによって隔離を実現・維持する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
仮想信頼レベルはSLATを利用します。仮想信頼レベルの隔離はハイパーバイザーとSLATを利用して作られ、VTLごとのメモリアクセス保護はパーティション内のシステムソフトウェアから変更できない。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典出典
メモリ整合性は仮想化ベースのセキュリティを利用します。メモリ整合性はカーネルモードのコード整合性検証をVBSの隔離環境の中で実行する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
メモリ整合性はカーネルへのコード注入を防ぎます。メモリ整合性の下では、カーネルページは検証合格後にのみ実行可能となり実行可能ページは書き込み不可のため、書き換えたメモリを実行に移すコード注入が成立しない。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典出典
メモリ整合性はHVCIによるドライバー読み込みブロックの原因になることがあります。未署名のドライバーや実行可能メモリの書き換えを前提とする古い設計のドライバーは、メモリ整合性の環境で読み込みがブロックされることがある。 / 確度: 条件付きの関係 / 確認日: 2026-08-22 出典
HVCIによるドライバー読み込みブロックはCodeIntegrity - Operationalログで確認できます。ブロックされたドライバーはCodeIntegrity運用ログ(イベントID 3087が代表)で特定できる。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
Credential Guardは仮想化ベースのセキュリティを利用します。Credential GuardはVBSを使って秘密を隔離し、特権を持つシステムソフトウェアだけがアクセスできるようにする。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
Credential Guardは分離LSAプロセスを利用します。Credential Guard有効時、NTLMハッシュやチケット供与チケットなど保護対象の秘密は分離LSAプロセスが保管し、lsassとはRPCで通信する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
Credential GuardはPass-the-Hashを防ぎます。保護対象のドメイン資格情報については、VBSでの隔離により管理者権限のマルウェアでも秘密を抽出できず、Pass-the-Hashなどの資格情報窃取攻撃が阻まれる。ローカルアカウントなど保護対象外の資格情報には保護が及ばない。 / 確度: 条件付きの関係 / 確認日: 2026-08-22 出典
仮想化ベースのセキュリティはWin32_DeviceGuardクラスで確認できます。VBSの動作状態はWin32_DeviceGuardクラスで確認でき、SecurityServicesRunningに1が含まれればCredential Guard、2が含まれればメモリ整合性が動作中である。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
仮想化ベースのセキュリティは仮想セキュアモードを利用します。VBSの隔離環境は、ハイパーバイザーの機能群である仮想セキュアモードの上に成り立つ。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典出典
セキュアカーネルは仮想信頼レベルを利用します。セキュアカーネルはVTL1で動き、通常のNTカーネルから隔離された実行環境を提供する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
分離ユーザーモードはセキュアカーネルを利用します。VTL1ではセキュアカーネルの上に分離ユーザーモードがあり、そこでトラストレットが動く。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
分離LSAプロセスは分離ユーザーモードを利用します。分離LSAプロセスは、VTL1の分離ユーザーモードで動くトラストレットである。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典出典
トラストレットはNTカーネルを利用します。トラストレットはシステムコールの多くを自前で処理せず、VTL0のNTカーネルへマーシャリングして処理を依頼する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
TGT(チケット許可チケット)は分離LSAプロセスに保存されます。Credential Guard有効時、Kerberosのチケット供与チケットは分離LSAプロセスに保管され、VTL0からはアクセスできない。 / 確度: 条件付きの関係 / 確認日: 2026-08-22 出典
NTハッシュは分離LSAプロセスに保存されます。Credential Guard有効時、ドメイン資格情報のNTLMパスワードハッシュは分離LSAプロセスに保管され、VTL0からはアクセスできない。ローカルアカウントのハッシュは対象外。 / 確度: 条件付きの関係 / 確認日: 2026-08-22 出典出典
仮想化ベースのセキュリティはmsinfo32(システム情報)で確認できます。VBSの状態は、msinfo32のシステムの要約にある「仮想化ベースのセキュリティ」欄で確認できる。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
Windowsハイパーバイザーは仮想セキュアモードの実装を担います。仮想セキュアモードはハイパーバイザーが提供する機能群であり、その実装はWindowsハイパーバイザーが担う。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
HVCI対応ドライバーはHVCIによるドライバー読み込みブロックに対する本記事の推奨です。ドライバーの読み込みブロックへの本筋の対処はHVCI対応版ドライバーへの更新であり、メモリ整合性の無効化は保護を手放す最終手段に位置づける。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
Pass-the-Hashは横展開(ラテラルムーブメント)の原因になることがあります。窃取したハッシュによる認証が通ると、別のマシンへの横展開に悪用される。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典

主要概念の定義

仮想化ベースのセキュリティ: ハードウェア仮想化とWindowsハイパーバイザーで隔離環境を作り、カーネルが侵害され得る前提でセキュリティ機能を収容する仕組み。
仮想信頼レベル: 仮想セキュアモードが提供する階層的な特権レベル。番号が大きいほど特権が高く、現在はVTL0とVTL1の2レベルが実装されている。
メモリ整合性: カーネルモードのコード整合性検証をVBSの隔離環境で実行するVBSの機能。カーネルページは検証合格後にのみ実行可能となり、実行可能ページは書き込み可能にならない。
Credential Guard: 資格情報のハッシュ処理をカーネルからアクセスできない分離メモリ領域で行う機能。TPMを使ってその領域の鍵を測定値で保護する。
仮想セキュアモード: OSソフトウェアの内側に新しいセキュリティ境界を作るためのハイパーバイザーの機能群。Device Guard・Credential Guard・仮想TPMなどの土台。
HVCIによるドライバー読み込みブロック: メモリ整合性の要件に適合しないドライバーの読み込みがブロックされる事象。
セキュアカーネル: VTL1で動く小さなカーネル。通常のNTカーネルから隔離された実行環境を提供する。
分離ユーザーモード: VTL1のユーザーモード。トラストレットと呼ばれる信頼されたプロセスが動く。
分離LSAプロセス: VTL1で動く分離LSAプロセス(LSAIso.exe)。Credential Guard有効時に資格情報の秘密を保管し、lsassとはRPCで通信する。デバイスドライバーをホストしない。
トラストレット: 分離ユーザーモードで動く信頼されたプロセス。システムコールの多くをVTL0のNTカーネルへマーシャリングして処理を依頼する。
TGT(チケット許可チケット): AS交換でKDCが発行する、krbtgtアカウントの長期鍵で暗号化されたチケット。クライアントは中身を読めず、TGS交換でサービスチケットを要求する際に提示する。
NTハッシュ: MD4(UNICODE(パスワード))として計算される、パスワードの一方向ハッシュ。NTLM認証の資格情報の出発点で、NTLMv2の応答鍵もここから導出される。
Windowsハイパーバイザー: ハードウェアの直上で動き、パーティションと呼ばれる隔離実行環境を作って物理CPUとメモリへのアクセスを調停するType 1のハイパーバイザー。Hyper-Vを有効にすると、ホストのWindows自身もその上のルートパーティションで動く。
HVCI対応ドライバー: メモリ整合性の実行可能ページ規則に適合し、コード整合性検証に合格するドライバー。
Pass-the-Hash: 盗んだパスワードのハッシュ(NTハッシュ)を使って、平文パスワードを知らないままNTLM認証を通過する攻撃。

機械可読データ

JSON-LD / Turtle ── この記事の知識グラフ全体
概念一覧 / 語彙(述語)の定義

このデータセットについて

作成: 合同会社小村ソフト
ライセンス: CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます
最終確認日: 2026-08-22 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。