Credential Guard（クレデンシャルガード）
概要
Credential Guardの基本概念と動作原理
Credential Guard（資格情報ガード）は、Microsoft Windows 10およびWindows 11に搭載されている高度なセキュリティ機能であり、OSの核心部分である「資格情報（パスワードハッシュやKerberosチケットなど）」を、通常のOS領域から切り離して保護することを目的としています。
従来のWindowsでは、ユーザーの認証情報を管理する「LSA（Local Security Authority：ローカルセキュリティ権限）」というプロセスが、メインのメモリ空間（カーネルモード）で動作していました。しかし、この構造には致命的な弱点がありました。管理権限を持つ攻撃者がシステムに侵入した場合、「Mimikatz」などのツールを用いてメモリ上のLSAからパスワードハッシュを直接抽出でき、「Pass-the-Hash」攻撃と呼ばれる手法で他のサーバーやPCへなりすましアクセスすることが可能だったのです。
Credential Guardはこの問題を解決するため、「仮想化ベースのセキュリティ（VBS: Virtualization-Based Security）」を採用しています。具体的には、Windowsのハイパーバイザー（Hyper-V）を利用して、OS本体とは完全に独立した「隔離された仮想コンテナ（Isolated User Mode）」をメモリ上に構築します。
この隔離領域に「LSA Iso（LSA Isolated）」という軽量なプロセスを配置し、実際の機密情報はここでのみ管理されます。メインのWindows OS（ホストOS）側にあるLSAは、単なる「プロキシ（仲介役）」として機能し、機密データへの直接的なアクセス権を持ちません。これにより、万が一Windowsカーネルが侵害されたとしても、攻撃者は仮想化の壁に阻まれ、隔離領域に保存された資格情報を盗み出すことができなくなります。
動作に必要なハードウェア要件と自作PCへの影響
Credential Guardを完全に動作させるには、単なるソフトウェアの設定だけでなく、CPUおよびマザーボードレベルでのハードウェア支援が不可欠です。自作PCを構築する際、これらの設定を誤ると機能が有効にならず、セキュリティレベルが低下します。
必須となるハードウェア機能
- CPUの仮想化支援機能: Intelの「VT-x」および「EPT」、AMDの「AMD-V」および「RVI/NPT」が必要です。
- TPM 2.0 (Trusted Platform Module): 資格情報の暗号化キーを安全に保管するために必須です。
- UEFI Secure Boot: 起動時に不正なブートローダーが読み込まれ、ハイパーバイザーが書き換えられるのを防ぐために必要です。
- 64ビットアーキテクチャ: 32ビット環境では動作しません。
推奨されるパーツ構成例とスペック
Credential GuardおよびVBSを有効にした環境で、パフォーマンス低下を感じることなく快適に動作させるためには、十分なリソースが必要です。特にVBSはメモリの一部を隔離領域として確保するため、メモリ容量に余裕を持たせることが重要です。
- CPU: Intel Core i9-14900K や AMD Ryzen 9 7950X のような最新世代のハイエンドCPUを推奨します。これらのCPUは、4nmや5nmといった微細化プロセス（例：Intel 7プロセスやTSMC 5nm）で製造されており、仮想化オーバーヘッドを最小限に抑える処理能力を持っています。
- メモリ: Corsair Dominator Titanium DDR5-6000 のような高速メモリを推奨します。VBS有効化時はメモリレイテンシがわずかに増加するため、6000MHz以上の高クロックかつ低レイテンシなメモリを選択することで、体感速度への影響を軽減できます。容量は最低でも16GB、クリエイティブ用途やゲーミング用途であれば32GB以上の搭載が望ましいです。
- ストレージ: Samsung 990 Pro のようなPCIe 4.0 NVMe SSDを推奨します。VBS環境下ではシステム起動時の整合性チェックに時間がかかる場合がありますが、リード速度 7,450MB/s クラスの高速ストレージであれば、起動時間の増加をほぼ感じさせません。
ハードウェアスペック要件まとめ
| 項目 | 最小要件 | 推奨スペック (ハイエンド自作PC) | 備考 |
|---|---|---|---|
| CPU | 64-bit CPU w/ Virtualization | AMD Ryzen 9 9950X 等 (Zen 5) | VT-x/AMD-V必須 |
| メモリ容量 | 4GB (OS最小) | 32GB 以上 | VBSによるメモリ確保分を考慮 |
| メモリ規格 | DDR4 | DDR5-6000 (1.2V) | 低レイテンシモデルを推奨 |
| ストレージ | HDD/SSD | NVMe Gen4/Gen5 SSD | ページファイルへのアクセス速度が影響 |
| セキュリティチップ | TPM 2.0 | fTPM / dTPM 2.0 | CPU内蔵(fTPM)で十分 |
| 電源容量 | システム依存 | 850W 〜 1200W (ATX 3.0/3.1) | 12VHPWR対応電源を推奨 |
VBS（仮想化ベースのセキュリティ）によるパフォーマンスへの影響
Credential Guardの基盤となるVBS（Virtualization-Based Security）は、非常に強力なセキュリティを提供しますが、一方でシステムリソースへの影響（オーバーヘッド）が議論の的となります。
パフォーマンス低下のメカニズム
VBSを有効にすると、CPUは「特権レベル」をさらに細分化して管理します。通常、OSカーネルは最高権限で動作しますが、VBS環境下ではハイパーバイザーがその上に君臨し、メモリへのアクセスを厳格に制御します。この「階層の追加」により、メモリ参照時にわずかな遅延が発生します。
特に影響が出やすいのは以下のケースです。
- ゲーミング: 一部のタイトルにおいて、CPU負荷が高いシーンで数%〜10%程度のフレームレート（FPS）低下が見られることがあります。
- 低スペックPC: メモリが8GB以下の環境では、隔離領域へのメモリ割り当てにより、スワップ（仮想メモリへの書き出し）が発生しやすくなり、システム全体のレスポンスが低下します。
- 古いCPU: 仮想化支援機能が未熟な古い世代のCPUでは、コンテキストスイッチ（処理の切り替え）のコストが高く、体感できるレベルの遅延が発生することがあります。
パフォーマンスを維持するための対策
最新のハードウェアであれば、この影響は極めて軽微です。例えば、Intel Core Ultra 200Sシリーズ (Arrow Lake) や Ryzen 9000シリーズ のような次世代アーキテクチャでは、ハードウェアレベルで仮想化効率が向上しており、VBS有効化によるパフォーマンス損失はほぼ無視できるレベルにまで抑えられています。
また、以下の設定を確認することで、セキュリティと速度のバランスを最適化できます。
- XMP/EXPOの有効化: メモリ速度を最大化（例：5600MHz $\rightarrow$ 6000MHz）することで、VBSによるメモリ遅延を相殺します。
- 最新のチップセットドライバ導入: マザーボードの最新ドライバを適用し、CPUの省電力機能と仮想化機能の連携を最適化します。
- 高速スタートアップの最適化: NVMe SSDの性能を最大限に引き出し、VBS起動時のオーバーヘッドを短縮します。
Credential Guardの有効化手順と設定方法
Credential Guardは、Windows 11 Pro/Enterpriseエディションではデフォルトで有効になっていることが多いですが、自作PCでクリーンインストールした直後や、特定の構成では手動での確認・設定が必要です。
1. BIOS/UEFIでの事前設定
OS側で設定を有効にする前に、マザーボードのBIOSで以下の項目を「Enabled」にする必要があります。
- Intel Virtualization Technology (VT-x) / AMD-V: 必須。
- VT-d / AMD IOMMU: 仮想化デバイスのメモリ管理を最適化するため推奨。
- TPM 2.0 / fTPM: 必須。
- Secure Boot: 必須。
2. Windows上での有効化確認
「Windows セキュリティ」アプリを開き、「デバイス セキュリティ」 $\rightarrow$ 「コア分離」を確認してください。「メモリ整合性（HVCI）」がオンになっていれば、VBS基盤が動作しており、Credential Guardが機能する準備が整っています。
3. グループポリシーによる制御（上級者向け）
企業環境や高度な管理を行いたい場合は、グループポリシーエディター（gpedit.msc）から詳細な設定が可能です。
- パス:
コンピューターの構成$\rightarrow$管理用テンプレート$\rightarrow$システム$\rightarrow$Device Guard$\rightarrow$仮想化ベースのセキュリティの有効化 - ここで「有効」に設定し、Credential Guardを有効にすることで、OSレベルで強制的に隔離環境を構築します。
導入時の注意点
- ドライバの互換性: 非常に古いハードウェアのドライバ（例：10年以上前の周辺機器）を使用している場合、VBS/HVCIが有効だと「互換性のないドライバ」としてブロックされ、デバイスが動作しないことがあります。この場合は、最新ドライバへの更新が必要です。
- サードパーティ製ハイパーバイザー: VMware WorkstationやVirtualBoxなどの仮想化ソフトを併用する場合、VBSが有効であることで動作モードが変更（Hyper-V API経由に移行）され、パフォーマンスが低下することがあります。
2025年から2026年にかけてのセキュリティ展望と次世代ハードウェア
PCセキュリティのトレンドは、ソフトウェアによる防御から「ハードウェアに深く統合されたセキュリティ」へと移行しています。Credential Guardもその流れの中にあります。
Microsoft Plutonの普及
2025年、2026年にかけて普及が加速するのが「Microsoft Pluton」です。これは従来のTPMをCPUダイの中に直接統合したセキュリティプロセッサです。 従来のTPMはCPUと外部バスで通信していたため、物理的なプローブ攻撃（バスを傍受してキーを盗む手法）のリスクがわずかに存在していましたが、PlutonはCPU内部で完結しているため、Credential Guardが利用する秘密鍵の漏洩リスクを極限まで低減します。
AI PC (Copilot+ PC) との統合
次世代の「AI PC」では、NPU（Neural Processing Unit）が搭載されています。今後のアップデートでは、AIを用いてメモリ上の異常なアクセスパターンをリアルタイムで検知し、Credential Guardの隔離領域への不正アクセスを未然に防ぐ「AI駆動型セキュリティ」の導入が期待されています。
ARMアーキテクチャへのシフト
Qualcomm Snapdragon X EliteなどのARMベースのWindows PCが普及することで、Credential Guardの仕組みも進化しています。ARM CPUはもともと仮想化効率が高く、電力消費を抑えつつ強力な隔離環境を構築できるため、ノートPCにおけるVBSのオーバーヘッド問題は解消に向かっています。
今後の自作PCユーザーへのアドバイス
2025年以降にPCを新調する場合、以下のスペックを基準に選定することをお勧めします。
- CPU: Pluton搭載モデル、または最新の仮想化命令セットを持つIntel Core Ultra / Ryzen 9000以降。
- メモリ: DDR5-6400MHz以上の高速メモリ（VBSのオーバーヘッドを完全に解消するため）。
- OS: Windows 11の最新バージョン（VBSの最適化が進んでいるため）。
Credential Guardは、もはや「オプション」ではなく、現代のサイバー攻撃から身を守るための「必須インフラ」となりました。ハードウェアの性能向上により、セキュリティとパフォーマンスのトレードオフは解消されつつあります。
FAQ
Q1: Credential Guardを有効にすると、ゲームのFPSが大幅に下がりますか？ A1: 現代のハイエンドCPU（例：Core i9-14900KやRyzen 9 7950X）を使用している場合、影響は数%程度であり、体感できる差はほとんどありません。ただし、メモリ容量が少ないPCでは、VBSがメモリを占有するため、スタッタリング（カクつき）が発生する可能性があります。32GB以上のメモリを搭載することを推奨します。
Q2: 外付けのTPMモジュールを購入して取り付ける必要がありますか？ A2: いいえ、必要ありません。最近のほとんどのCPU（Intel Core 8世代以降、AMD Ryzen 2000シリーズ以降）には、「fTPM」や「PTT」と呼ばれるファームウェアベースのTPM機能が内蔵されています。BIOS設定でこれを有効にするだけで、Credential Guardの要件を満たすことができます。
Q3: Credential Guardを無効にすることは可能ですか？ A3: はい、可能です。グループポリシーやレジストリ、またはWindowsセキュリティの「コア分離」設定からオフにできます。ただし、これにより「Pass-the-Hash」などの攻撃に対する脆弱性が高まるため、セキュリティリスクを許容できる環境（完全にオフラインの検証機など）以外では、有効にしておくことを強く推奨します。