Windows 11 の「カーネルモードハードウェア強制スタック保護」とは

2023年4月28日2025年2月15日

このページでは、「カーネルモードハードウェア強制スタック保護」の機能と使用するための条件、および「オン」にした場合のデメリットを紹介します。

「カーネルモードハードウェア強制スタック保護」とは

「カーネルモードハードウェア強制スタック保護」は、Windows 11の「コア分離」というセキュリティ機能の一部であり、カーネルモードでのバッファオーバーフロー攻撃を防ぐための強力なセキュリティ機能です。

コア分離には、いくつかの機能が含まれており、その一つに「メモリ整合性」があります。

「カーネルモードハードウェア強制スタック保護」は、このメモリ整合性の一部として提供されています。

アプリケーションやゲームがローカル CPU のハードウェアを使用してコードを保護することを可能にし、その目的は、プログラム実行時にアプリケーションコードが格納されるメモリスタックを保護することです。

カーネルモードで実行されているコードの場合、CPUは、要求されたリターンアドレスを、シャドウスタックに格納されているアドレスの2番目のコピーを使用して確認し、攻撃者によって悪意のあるコードを実行するアドレスとして代用されるのを防ぎます。
Microsoft

メモリスタックとは、プログラムの実行中に一時的にデータを保存するために使用されるメモリ領域のことです。
カーネルモードとは、オペレーティングシステム (OS) の中核部分であるカーネルが動作する、最も特権的な実行モードのことです。
シャドウスタックとは、通常のスタックとは別に、プログラムの実行フローを記録するための専用のスタックです。
カーネルとは、オペレーティングシステム (OS) の中核部分であり、ハードウェアとソフトウェア間の橋渡し役を務める、最も重要なプログラムの一つです。
バッファオーバーフロー攻撃とは、プログラムの脆弱性を利用したサイバー攻撃の一種です。

プログラムがデータを一時的に保存するために使用する「バッファ」と呼ばれる領域があります。このバッファに、プログラムが想定しているよりも多くのデータを送り込むと、バッファ領域からデータが溢れ出し、他のメモリ領域を上書きしてしまうことがあります。

この現象を「バッファオーバーフロー」と呼びます。攻撃者は、このバッファオーバーフローを利用して、悪意のあるコードをメモリに書き込み、プログラムを乗っ取ったり、システムを破壊したりすることができます。

「ローカルセキュリティ機関の保護」と合わせて使用するとセキュリティが強化されますので、企業などでは「オン」にしておくことをおすすめします。

注意！ Win11「ローカルセキュリティ機関の保護」が有効かどうかを確認する方法

「カーネルモードハードウェア強制スタック保護」機能を使用するための条件

「カーネルモードハードウェア強制スタック保護」は、BIOS での設定が必要な場合があり、サポートされていない CPU では使用することができません。

前提条件
Windows 11 2022 更新プログラム以降
Windows セキュリティアプリバージョン 1000.25330.0.9000 以降
Intel Control-Flow Enforcement Technology (CET) または AMD Shadow Stacks をサポートするハードウェア。
Intel の場合、第 11 世代 Intel Core Mobile プロセッサと AMD Zen 3 Core (以降)。
仮想化ベースのセキュリティ (VBS) とハイパーバイザーによって適用されるコード整合性 (HVCI) が有効になります。
Microsoft

「カーネルモードハードウェア強制スタック保護」の機能を使用するためには、比較的新しい CPU が必要であり、次のような場合は設定で「オン」にすることができません。