構成設定 > 実行ファイル制御

アプリケーション制御 の構成値を拒否リストにするには、このオプションを選択します。ローカル ドライブ上のものはすべて、拒否項目リストに指定されている場合を除き、または信頼できる所有権の確認に不合格になっている場合を除き、許可されます。 構成値を許可リストにするには、このオプションを選択解除します。 ローカル ドライブ上のものはすべて、許可項目リストに指定されている場合を除き、ブロックされます。

許可リスト構成が最もセキュアです。 ただし、このタイプの構成は実践に時間がかかり、指定されていないアプリケーションがすべてブロックされるためクライアントの安定性に影響する可能性があります。

管理者が アプリケーション制御 構成で明示的に cmd.exe を禁止することが予想されます。 cmd.exe が拒否されていて、「バッチ ファイルの cmd.exe を許可する」が無効になっている場合、バッチ ファイルは評価され、アプリケーション制御 ポリシーに照らして不合格となった場合はブロックされます。 このオプションが選択されておらず、cmd.exe が明示的に拒否されていると、バッチ ファイルはすべてブロックされ、評価もされません。 このオプションが選択されていて cmd が明示的に拒否されていると、 cmd.exe はやはりそのままでは実行できませんが、バッチ ファイルは アプリケーション制御 ルールに照らして評価されます。 cmd.exe が明示的に拒否されていなければ、このオプションが選択されているかどうかに関係なく、すべてのバッチ ファイルが実行されます。

ログオン中、コンピュータは多数の必須アプリケーションを実行する場合があります。 これらの実行をブロックすると、コンピュータが正常に機能しなくなる、またはまったく機能しなくなる原因となる可能性があります。 そのため、既定でこのオプションが選択されています。

自己解凍 (展開) ファイルとは、ZIP ファイルと、それを解凍するための小さなプログラムが含まれている実行ファイルです。 MSI ファイルでアプリケーションをインストールする代わりに、これらのファイルが使用される場合があります。 多くの管理者は、MSI ファイルによってのみアプリケーションがインストールされることを好みます。

ZIP 仕様を使用する自己展開型 EXE 形式のみがサポートされます。 詳細は、ZIP 仕様をご参照ください。

[自己解凍 ZIP ファイルを展開する] オプションを使用すると、自己解凍型の ZIP ファイルである拒否された実行ファイルを、ZIP 抽出プログラムで解凍できるようになります。このオプションが選択解除されていると (既定の設定)、ファイルはあたかも実行ファイルであるかのように、通常のルール処理の対象となります。 コンテンツが抽出された後、含まれていた実行可能コンテンツはすべて、依然として通常の信頼できる所有権の確認の対象となり、ユーザが信頼できる所有者でない場合は実行が阻止されます。 これは、自己解凍 ZIP ファイルに非実行可能コンテンツ (ユーザにとって必要な文書など) が含まれている可能性があるシナリオにおいて有益です。 既定では、このオプションは選択解除されていて、自己解凍 ZIP ファイルは標準の実行ファイルとして扱われ通常のルール処理を条件として実行 (したがってコンテンツの抽出) を阻止できます。

既定では、Active Setup 中に実行されるすべてのアプリケーションが アプリケーション制御 ルールの対象となります。 これらのアプリケーションを Active Setup フェーズ中のルール チェックから免除するには、このオプションを選択します。

リムーバブル メディアに対する制限を削除するには、このオプションを選択解除します。 リムーバブル メディアは、GetDriveType の呼び出しによる判定の対象となるものすべてです。 このリムーバブル メディアの性質により、エンドポイントがどのように設定されているかによってドライブ文字が変わる可能性があります。 たとえば、あるコンピュータではリムーバブル メディア ドライブとして E が特定されても、別のコンピュータでは F が特定される場合があります。

システム ユーザによって実行されるすべてのファイルを確認するには、このオプションを選択します。このオプションを選択することは推奨されません。 エンドポイント コンピュータで発生する確認の量が増えて、重大なアプリケーションの実行がブロックされる可能性があるためです。 このオプションを選択するということは、システムによって起動されるすべての実行ファイルが、ルール確認の対象になることを意味します。

このオプションを選択すると、wscript または cscript を使用して実行されたスクリプトのコマンド ラインの内容がルール確認の対象になります。

スクリプトはウイルスや悪意のあるコードを持ち込む可能性があります。 WSH スクリプトを検証することをお勧めします。

MSI ファイルは、Windows アプリケーションの標準的なインストール方法です。 MSI アプリケーションを自由にインストールする権限をユーザに許可しないことをお勧めします。 このオプションを選択するということは、すべての MSI がルール確認の対象になることを意味します。 このオプションを選択解除するということは、アプリケーション制御 ルール処理によって確認されるものが Windows インストーラそのもの (msiexec.exe) になり、Windows インストーラが実行を試行する MSI ファイルは確認されないことを意味します。

regedit.exe および regini.exe に対するルール確認を有効にするには、このオプションを選択します。 このオプションを選択解除するということは、regedit.exe と regini.exe が既定ではブロックされなくなることを意味します。 さらに、.reg スクリプトと、このスクリプトが実行を試行している regedit.exe と regini.exe が アプリケーション制御 ルール処理によって確認されなくなります。

ユーザがレジストリやレジストリ ファイルにアクセスすることを許可するのは推奨されません。

有効にすると、powershell.exe と powershell_ise.exe が拒否されるようになります。 ただし、PowerShell スクリプト (PS1ファイル) がコマンドライン上で検出された場合は、完全なルール チェックの対象となり、昇格、許可、または拒否の対象として構成されているかどうかがチェックされます。

適用される構成に従ってアプリケーションを終了するには、このオプションを選択します。

コンピュータの IP アドレスが変更されたとき、たとえばセキュア環境と非セキュア環境間での移動があったときにアプリケーションを終了する場合は、このオプションを選択します。 例をご参照ください。

拒否されたアプリケーションが閉じられるため作業内容を保存するよう、ユーザに知らせる初期警告メッセージを表示します。 [待ち時間 (秒)..].オプションを使用して、閉じるまでの時間を指定できます。 [アプリケーションを閉じる] および [アプリケーションの終了] オプションとともに使用します。これらのオプションとともに使用しないと、メッセージは表示されますが、拒否されたアプリケーションは閉じません。

初期警告メッセージに続けてアプリケーションを閉じます。ユーザに作業内容を保存する時間が与えられます。

警告メッセージを表示せずに拒否されたアプリケーションを終了します。