Thunderbolt等の高速インターフェース経由のDMA攻撃を防ぐセキュリティ機能
Kernel DMA Protection（カーネルDMA保護）は、Thunderboltなどの高速外部インターフェースを通じたDMA（Direct Memory Access）攻撃からシステムを保護するハードウェアベースのセキュリティ機能です。
# Windows 10/11での確認
msinfo32
# 「Kernel DMA保護」の項目を確認
# PowerShellでの詳細確認
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\\Microsoft\\Windows\\DeviceGuard
Intel Platform:
- VT-d: Enabled
- Thunderbolt Security: User Authorization
- Pre-boot DMA Protection: Enabled
AMD Platform:
- IOMMU: Enabled
- SVM Mode: Enabled
Windows:
Linux:
# カーネルパラメータ
intel_iommu=on iommu=pt
# Thunderboltポリシー
echo 2 > /sys/bus/thunderbolt/devices/domain0/security
| レベル | 説明 | セキュリティ | |--------|------|-------------| | なし | すべて許可 | 低 | | ユーザー承認 | 手動承認必要 | 中 | | セキュア接続 | 事前承認デバイスのみ | 高 | | DP only | DisplayPortのみ | 最高 |
# デバイス承認（Windows）
Get-PnpDevice | Where-Object {$_.Class -eq "Thunderbolt"}
# Linux での承認
echo 1 > /sys/bus/thunderbolt/devices/0-1/authorized
### ポリシー管理
- **MDM統合**: Intune等で一元管理
- **承認リスト**: 組織承認デバイスの事前登録
- **監査ログ**: 接続履歴の記録
### ベストプラクティス
1. **定期的な確認**: ファームウェア更新
2. **最小権限の原則**: 必要なデバイスのみ承認
3. **物理セキュリティ**: 併用が重要
4. **ユーザー教育**: 承認プロセスの周知
- **USB4統合**: より広範な保護
- **AI連携**: 異常なDMAパターン検知
- **クラウド認証**: デバイスの信頼性確認