当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
Windowsの初期状態（デフォルト）は利便性が最優先されている。そのため、不要な機能、通信ポート、レガシープロトコルが解放状態のままで危険。サードパーティ製のセキュリティソフトを入れる前に、まずOS標準機能を徹底的に絞り込んで初期攻撃面（アタックサーフェス）を最小化する。予算ゼロで即時実行できる、SOHO端末防衛の第一歩。
実践手順
Windows Defenderの強化（潜伏防止）
- コア分離・メモリ整合性の有効化
- 「Windows セキュリティ」＞「デバイスのセキュリティ」＞「コア分離の詳細」を開く。
- メモリ整合性を「オン」に変更。これでマルウェアによる高権限プロセスへのコード注入を遮断できる。
- 見つかりにくいアプリのブロック（PUA対策）
- 「アプリとブラウザーコントロール」＞「評価ベースの保護の設定」へ進む。
- 「望ましくない可能性のあるアプリのブロック」を「オン」にする。「アプリのダウンロード」と「アプリのブロック」の双方にチェックを入れておく。
不要なレガシー機能の無効化（通信経路の遮断）
- SMBv1の完全無効化（ランサムウェア拡散防止）
- スタートメニューから「Windowsの機能の有効化または無効化」を起動する。
- 「SMB 1.0/CIFS ファイル共有のサポート」のチェックを外して適用。
- コントロールパネル経由での不要プロトコル削除
- 「ネットワーク接続」から使用中のネットワークカード（有線/Wi-Fi）のプロパティを開く。
- 「Microsoft ネットワーク用クライアント」や「Microsoft ネットワーク用ファイルとプリンター共有」が不要な端末（単体運用のノートPCなど）は、チェックを外して通信経路を閉じる。
アカウント・認証の初期設定変更（奪取対策）
- サインインオプションの厳格化
- 「設定」＞「アカウント」＞「サインインオプション」を開く。
- 「セキュリティ向上のため、このデバイスではMicrosoftアカウントのWindows Helloサインインのみを許可する」を「オン」にする。これでパスワード認証をバイパスした攻撃を防げる。
- 席を離れた場合の再サインイン要件は「PCがスリープから復帰したとき」に必ず固定しておく。