昨今のサイバー攻撃において、ランサムウェアは最も警戒すべき脅威の一つとして広く認識されています。
Windows 10やWindows 11には、標準のセキュリティ機能として「Windows Defender（Windows セキュリティ）」が搭載されています。
この標準機能の中には、ランサムウェアから大切なデータを守るための専用機能である「コントロールされたフォルダーへのアクセス」が含まれています。
本記事では、このランサムウェア防止機能を有効にするための具体的な手順と、業務に支障が出ないようにするための除外設定について詳しく解説します。
Windows Defenderのランサムウェア防止機能とは
ランサムウェア防止機能は、Windowsセキュリティの「コントロールされたフォルダーへのアクセス」という名称で提供されています。
この機能の主な役割は、信頼されていないアプリケーションが、特定のフォルダー内にあるファイルに変更を加えることを阻止することです。
ランサムウェアはファイルを暗号化することでユーザーに身代金を要求しますが、この機能が有効であれば暗号化プロセスの書き込み自体をブロックできます。
OSのカーネルレベルで動作を監視しているため、非常に強力な保護レイヤーとして機能します。
初期設定ではオフになっていることが多いため、ユーザーが手動で設定を確認し、必要に応じて有効化する必要があります。
保護の仕組みと重要性
従来のアンチウイルスソフトは、既知のウイルス定義ファイルに基づいて脅威を検知していました。
しかし、次々と新しい亜種が登場するランサムウェアに対しては、動作そのものを制限する振る舞い検知が有効です。
コントロールされたフォルダーへのアクセスは、あらかじめ指定された「保護されたフォルダー」へのアクセス権を厳格に管理します。
許可されていないプログラムがファイルにアクセスしようとすると、システムが即座にそれを遮断し、ユーザーに通知を送ります。
これにより、万が一マルウェアがシステムに侵入したとしても、重要なドキュメントや写真が破壊されるリスクを最小限に抑えることが可能です。
ランサムウェア防止機能を有効にする設定手順
ランサムウェア防止機能を有効にするための手順は、Windowsの標準設定メニューから簡単に行うことができます。
設定を反映させるためには、管理者権限を持つユーザーアカウントでログインしている必要があります。
設定画面へのアクセス方法
まず、Windowsのスタートボタンをクリックし、「設定」（歯車アイコン）を開きます。
設定メニューの中から「プライバシーとセキュリティ」を選択し、次に「Windows セキュリティ」をクリックしてください。
「Windows セキュリティを開く」というボタンが表示されるので、それをクリックしてメインの管理画面を立ち上げます。
画面左側のメニュー、あるいは中央の保護領域一覧から「ウイルスと脅威の防止」を選択します。
ランサムウェアの防止設定の有効化
「ウイルスと脅威の防止」画面を下にスクロールすると、「ランサムウェアの防止」という項目が見つかります。
その下にある「ランサムウェア防止の管理」というリンクをクリックしてください。
「コントロールされたフォルダーへのアクセス」という項目のスイッチが表示されるので、これをオンに切り替えます。
ユーザーアカウント制御（UAC）のダイアログが表示された場合は、「はい」をクリックして変更を許可してください。
これで、Windows Defenderによる基本的なランサムウェア保護が有効な状態になりました。
保護されたフォルダーの管理と追加方法
機能を有効にすると、Windowsが標準で用意している主要なフォルダーが自動的に保護対象となります。
しかし、独自のデータ保存場所や外付けハードディスクを使用している場合は、手動でフォルダーを追加する必要があります。
デフォルトで保護される場所
システムが自動的に保護する場所には、ユーザープロファイル内の主要なディレクトリが含まれます。
具体的には、ドキュメント、ピクチャ、ビデオ、ミュージック、デスクトップなどのフォルダーです。
これらの場所は、多くのユーザーが最も重要なファイルを保存する場所であるため、標準で強力にガードされます。
独自のフォルダーを保護対象に加える手順
標準以外の場所に仕事用のデータを保存している場合は、以下の手順で保護対象に追加してください。
「ランサムウェア防止の管理」画面にある「保護されたフォルダー」をクリックします。
「保護されたフォルダーを追加する」ボタンをクリックし、エクスプローラーから対象のフォルダーを選択します。
ネットワークドライブやクラウドストレージの同期フォルダーも指定可能ですが、環境によっては同期ソフトの動作に影響が出る場合があります。
特に機密性の高い業務データや、代替の利かないバックアップファイルの保存先を追加しておくことを推奨します。
アプリの許可（除外設定）の方法
ランサムウェア防止機能を有効にすると、安全なソフトウェアであっても、ファイルの保存ができなくなることがあります。
これは、Windowsがそのアプリを「信頼されていない未知のアプリ」と判断してブロックしてしまうためです。
正常な業務を継続するためには、信頼できる特定のアプリをホワイトリストに追加する作業が必要になります。
ブロックされたアプリを確認する方法
アプリがブロックされると、デスクトップの通知領域に「アクションセンター」からの通知が表示されます。
通知には、どのアプリがどのフォルダーへのアクセスを拒否されたかが詳細に記されています。
もし意図した保存操作が失敗した場合は、まずこの通知履歴を確認してください。
特定のアプリを許可する詳細手順
「ランサムウェア防止の管理」画面から、「アプリをコントロールされたフォルダーへのアクセスで許可する」を選択します。
「許可されたアプリを追加する」ボタンをクリックします。
「最近ブロックされたアプリ」を選択すると、直近でアクセスが拒否された実行ファイルの一覧が表示されます。
一覧から該当するアプリを選択し、追加ボタンを押すだけで除外設定が完了します。
もし一覧に表示されない場合は、「すべてのアプリを参照」から対象の.exeファイルを直接指定してください。
PowerShellを使用した高度な管理方法
企業内の複数のPCに対して同じ設定を適用する場合や、コマンドラインで素早く設定を確認したい場合にはPowerShellが便利です。
管理者は以下のコマンドを使用することで、GUIを介さずに状態を確認したり変更したりできます。
現在の設定状態を確認する
まず、管理者権限でPowerShellを起動してください。
以下のコマンドを入力することで、コントロールされたフォルダーへのアクセスの現在のステータスを確認できます。
# Windows Defenderの設定情報を取得し、ControlledFolderAccessの状態を表示
Get-MpPreference | Select-Object EnableControlledFolderAccess実行結果として表示される数値が「1」であれば有効、「0」であれば無効を意味します。
EnableControlledFolderAccess
----------------------------
1コマンドで機能を有効化する
手動でオンにする代わりに、以下のコマンドを実行して機能を有効にすることも可能です。
# コントロールされたフォルダーへのアクセスを有効(1)に設定
Set-MpPreference -EnableControlledFolderAccess Enabledこのコマンドを使用すれば、バッチファイルやスクリプトを通じて、複数の端末に対して一括でセキュリティポリシーを適用できます。
ランサムウェア防止機能のメリットと注意点
この機能を導入するにあたっては、優れた防御性能が得られる一方で、運用上の注意点も存在します。
メリットとデメリットを正しく理解し、自分の環境に合わせた調整を行うことが重要です。
導入による主なメリット
最大のメリットは、追加費用なしで最高クラスのエンドポイント保護が手に入る点です。
Windows OSに密接に統合されているため、サードパーティ製のソフトに比べてシステム負荷が比較的軽い傾向にあります。
また、未知のランサムウェア（ゼロデイ攻撃）に対しても、ファイル変更の振る舞いそのものを制限するため、高い防御率を誇ります。
運用上の注意点とトラブルシューティング
一方で、利便性が低下する可能性があるという点には注意が必要です。
例えば、古い画像編集ソフトや、マイナーなフリーソフトなどは、頻繁にブロック対象となります。
また、ゲームのセーブデータが保存できなくなるといったトラブルも報告されています。
機能を有効にした直後は、普段使用しているアプリケーションが正しく動作するか、一通りチェックすることをお勧めします。
もしブロックが多発して業務に支障が出る場合は、重要なデータのみを特定のフォルダーに集約し、そのフォルダーだけを保護対象にする運用も検討してください。
その他の推奨されるセキュリティ対策
Windows Defenderのランサムウェア防止機能は非常に強力ですが、これだけで万全というわけではありません。
多層防御の観点から、他の対策と組み合わせることで、より強固な保護環境を構築できます。
オフラインバックアップの重要性
どれほど優れた保護機能であっても、100%の防御を保証することは困難です。
最悪の事態に備え、ネットワークから切り離された物理的な外付けHDDや、バージョン管理機能を持つクラウドストレージへのバックアップは必須です。
ランサムウェアは接続されているドライブすべてを暗号化しようとするため、物理的に切り離せるメディアが最も信頼できます。
OneDriveとの連携による復元機能
Windows Defenderは、Microsoft 365（OneDrive）と密接に連携しています。
ランサムウェアの攻撃を検知した際、OneDrive上のファイルが被害を受けていても、過去の正常なバージョンへ一括復元する機能が備わっています。
「ランサムウェアの防止」画面には、OneDriveの設定状況を確認するリンクも含まれているため、併せて設定を確認しておくと良いでしょう。
よくある質問（FAQ）
設定時によくある疑問をまとめました。
| 質問 | 回答 |
|---|---|
| 他社のセキュリティソフトを使っていても設定できますか？ | 通常、他社ソフトが導入されているとWindows Defenderは無効化されるため、この機能は使用できません。 |
| 設定をオンにした後、PCが重くなることはありますか？ | ファイル書き込み時の監視が発生するため、極端に古いPCでは若干の影響を感じる場合がありますが、現代のPCではほぼ無視できるレベルです。 |
| 特定の拡張子だけを保護することはできますか？ | いいえ、この機能はフォルダー単位での指定となります。 |
まとめ
Windows Defenderのランサムウェア防止機能は、現代のサイバー脅威から身を守るための非常に強力なツールです。
「コントロールされたフォルダーへのアクセス」を有効にすることで、たとえ未知のウイルスであっても重要なデータの破壊を防ぐことができます。
最初はアプリのブロック通知に驚くかもしれませんが、適切に許可リスト（除外設定）を管理することで、高い安全性と利便性を両立させることが可能です。
設定手順は数分で完了するため、まだ設定していない方は、今すぐにWindowsセキュリティの画面を確認してみてください。
大切な資産であるデータを守るために、OS標準の機能を最大限に活用し、堅牢なセキュリティ環境を整えましょう。
