【CrowdStrike】MicrosoftのArtifact Signing要件に対するWindowsセンサーの対応について｜Nextmode Blog

はじめに

こんにちは、 ネクストモード株式会社 の sobar です。

今回は、Microsoft社から発表された新しい署名要件「Artifact Signing」とCrowdStrike Falcon  への影響、そして私たちが実施すべき対応について解説します。

対応が漏れると今後のセキュリティアップデートが停止してしまう可能性がある重要なアップデートとなりますので、ぜひ最後までご確認ください。

そもそもMicrosoftのArtifact Signingとはなにか？

Artifact Signing（アーティファクト署名）とは？

Microsoftが提供する新しいコード署名サービスです。アプリケーションが改ざんされていないこと（整合性）と、作成者の身元（信頼できる発行元）を保証し、マルウェアの脅威からWindows OSを保護する役割を持っています。

なぜ必要なのか？

Microsoftはセキュリティ強化の一環として、Windows上で動作するサードパーティ製のアンチマルウェア（ユーザーモードバイナリ）に対し、このArtifact Signingによる署名を必須化しました。

どうやって検証されるのか？

今回の仕様変更により、新バージョンのセンサーをインストール（展開・実行）するタイミングで、Windows OSがこのデジタル署名を自動的に検証します。もしOSがArtifact Signingに非対応だったり、検証に必要な「証明書」が不足していたりすると、「信頼できないファイル」と判定され、インストールの処理がOSによってブロックされてしまいます。
これに伴い、これまでFalcon Sensorのカーネルバイナリで使用されていた「WHQL（Windows Hardware Quality Labs）」のみを利用した従来のクロス署名方式は廃止されることになりました。

詳細内容については以下のMicrosoft社のドキュメントをご確認ください。

• Artifact Signing のドキュメント（トップページ）
• Artifact Signing とは（概要）

CrowdStrike Falcon への影響と注意すべき点

このMicrosoftの要件に準拠するため、Falcon Sensor for Windows version 8.14以降では、Artifact Signingサービスを使用して署名が行われます。
最大の注意点として、Artifact Signingをサポートしていない、あるいは必要な証明書がインストールされていないWindows OS上では、v8.14以降のFalcon Sensorを新規インストールしたりアップグレードしたりすることができなくなります。今後のFalcon Sensorを円滑に導入・更新するため、対象ホストへできるだけ早い段階で事前準備を行うことが強く推奨されています。

前提知識（知っておくべき内容）

Artifact Signing をサポートする Windows OS（標準対応および Windows Update による対応を含む）では、Artifact Signing されたモジュールを検証するために Microsoft Identity Verification Root Certificate Authority 2020 証明機関（CA）が必要です。ただし、このルート CA は Windows の標準構成には含まれておらず、Artifact Signing をサポートするための KB 更新プログラムを適用しても自動的にはインストールされません。代わりに、Artifact Signing されたアプリケーションが初めてインストールされた際に、Windows が必要なルート CA のインストールを自動的に試みます。

※Falconではじめて Artifact Signing が利用される環境の場合、ルートCAを明示的に「ローカル コンピューター」の 「信頼されたルート証明機関」証明書ストアへインストールしていない場合はダウンロードの試行が実施されます。Falcon Sensor 8.14 以降などの Artifact Signing 対応アプリケーションをインストールすると、以下の条件を満たしている場合に Windows が自動的に ルートCA を取得・インストールします。

• インターネットへ接続可能であること
• Microsoft CTL Updater サイトへアクセス可能であること

• グループポリシー「ルート証明書の自動更新をオフにする（Turn off automatic root certificates update）」が無効または未構成であること
  

上記アクセスの失敗の可能性を考慮すると、Falcon Sensor for Windows 8.14 以降を展開する前に、Microsoft Identity Verification Root Certificate Authority 2020 を「ローカル コンピューター」の 「信頼されたルート証明機関」証明書ストアへインストールすることが推奨されます。

また、MicrosoftルートCAがすでに導入済みの場合（または「導入されている場合」）、明示的にインストールを行っていない場合は他のアプリケーションでWindows が必要なルート CA のインストールを自動実行されていることが想定されます。

Falcon Sensor v8.14への更新が成功する条件とイメージ

以下条件とv8.13からv8.14のアップデートの成功イメージになります。以下の条件のうちどれか一つでも欠けるとFalcon Sensor v813以下のバージョンから v814への更新が失敗します。

【v8.14への更新が成功する条件】

• OSが Artifact Signing 対応していること
• Windows Updateの必須パッチが適用されていること
  

• MS ID Root CA Auth2020（Microsoft Identity Verification Root Certificate Authority 2020）が信頼されたルート認証局ストアに存在すること
  

WindowsOSのArtifact Signing対応状況について

Ⅱ. Falcon がサポートする Windows OS は、Windows Update で提供されるパッチにより Artifact Signing に対応

（※Artifact Signing を有効化するには、「Microsoft Identity Verification Root Certificate Authority 2020」認証局（CA）のインストールが必要。）

Ⅲ. Falconがサポート対象外としているWindows デスクトップOSバージョン

これらの Windows バージョンは、Microsoft によるサポート終了（EOL: End of Life）および Falcon によるサポート終了（EOS: End of Support）の両方に該当します。ベンダーサポートが終了した OS では、セキュリティ更新プログラムや不具合修正が提供されないため、セキュリティリスクが高まります。そのため、これらの Windows バージョンを利用しているホストについては、Windows 11 バージョン 23H2 以降へのアップグレードを強く推奨します。

※2026年3月のSSL証明書ローテーション後、ホストとFalconクラウドとの通信をサポートするために最低限必要な要件を下回っています。

情シス担当が実施すべきOSごとの対応手順

管理しているWindows端末が以下のどの「カテゴリ」に該当するかを把握し、v8.14が展開される前に以下のいずれかの対応を実施する必要があります。

※1. 不足しているWindows Updateパッチのインストールが保留中です
※2. 不足している Windows Update パッチをインストールできない、またはインストールしないことを選択
※3. デスクトップOSはベンダーのサポート終了（EOL）であり、Falconもサポート終了（EOL）です。

以下、カテゴリごとの対応内容となります。

カテゴリ1（対応不要）

• Artifact Signingをサポートしており、必要なルートCA（証明書）もインストール済みの状態です。
• 追加の対応は不要で、そのままv8.14以降のセンサーへアップデート可能です。

カテゴリ2（ルートCAのインストールが必要）

• OS自体は対応していますが、証明書が不足している状態です。
• 対応手順：Falcon Sensor v8.14を展開する前に、「Microsoft Identity Verification Root Certificate Authority 2020」をローカルコンピューターの「信頼されたルート証明機関」ストアへインストールします。
• 展開方法：Fusion SOARを利用した自動配布、独自の資産管理ツール（MDM）やスクリプトによる展開、または既存の証明書配布システムを利用してインストールを実施してください。
• ※対象PCがインターネットおよび「Microsoft CTL Updater」にアクセス可能で、グループポリシーの「ルート証明書の自動更新をオフにする」が無効（または未構成）であれば、v8.14インストール時に自動で取得・インストールさせることも可能です。

カテゴリ3（Windows UpdateとルートCAの両方が必要）

• OSは要件を満たせますが、Artifact Signingを利用するためのWindows Updateパッチが未適用の状態です。
• 対応手順：まず対象OSに必要なWindows Update（または最新の累積更新プログラム）をインストールします。その後、カテゴリ2の手順に従ってルートCAを導入してください。

カテゴリ3A（OSの要件を満たすためのパッチの適用ができない場合。）

• OSの要件を満たすためのパッチの適用ができない場合。
• 対応手順：Falconコンソールの「Sensor Update Policies」を開き、対象ホスト用のポリシーを作成します。センサーバージョンを2026年12月リリース予定の「v8.13 LTS」に固定し、「Auto」ビルドは選択しないように設定してください。※詳細は以下ブログ参考
  • 【CrowdStrike】MicrosoftのArtifact Signing要件に対するセンサー更新ポリシーの対応について

カテゴリ4（Artifact Signing非対応・アップデート不可）

• Windows 10 1809/1607のGACライセンス版など、必要なWindows Updateを適用できない環境です。
• 対応手順：Falconコンソールの「Sensor Update Policies」を開き、対象ホスト用のポリシーを作成します。センサーバージョンを2026年12月リリース予定の「v8.13 LTS」に固定し、「Auto」ビルドは選択しないように設定してください。※詳細は以下ブログ参考
  • 【CrowdStrike】MicrosoftのArtifact Signing要件に対するセンサー更新ポリシーの対応について

カテゴリ5（Falconサポート終了OS）

• ベンダーのサポート終了（EOL）およびFalconのサポート終了（EOS）を迎えているOSです。
• 対応手順: セキュリティ更新プログラムが提供されないため、Windows 11 バージョン 23H2以降へのアップグレードを強く推奨します。アップグレード後、必要に応じてルートCAを導入してください。

カテゴリ6（対応の対象外）

• これらの環境は今回の Artifact Signing 対応の影響を受けないため対応は不要
  • Windows 7、Windows Server 2008 R2、Falcon for Legacy Systems を利用している旧 OS

カテゴリ3A・4 のセンサー更新ポリシーの設定タイミング（時期）・内容について

カテゴリ3A・4 の対象端末に対してのセンサー更新ポリシーの設定タイミング（時期）については、2026年の12月にFalcon Sensor for Windows 8.13 LTSがリリースを予定されていますのでそのリリース後、Artifact非対応端末用に対してセンサーを引き続き利用する場合にはセンサー更新ポリシーの設定（8.13への固定設定）を実施いただく必要がございます。設定内容については以下のブログもご参照ください。

• 【CrowdStrike】MicrosoftのArtifact Signing要件に対するセンサー更新ポリシーの対応について

Falcon Sensor for Windows 8.14 以降を展開する前に検討・確認しておくポイントについて

以下の確認を行っていただくことをお勧めいたします。

• ①利用端末すべてに対して情シス担当が実施すべきOSごとの対応手順のどのカテゴリに該当するかを把握する。そのうえでArtifact Signing の利用を満たすための条件（3つ）が満たない場合はその対応可否確認・最終的な対応方針を整理する。
• ②事前にワークフロー等を活用して、Microsoft Identity Verification Root Certificate Authority 2020 を「ローカル コンピューター」の 「信頼されたルート証明機関」証明書ストアへインストールすること、それが可能かを検討する。
• ③カテゴリ3A・4 に該当する端末が存在する場合は自社での対応方法（設定方法）を事前に検討・整理する。設定内容については参考情報として、以下のブログもご参照ください。

  • 【CrowdStrike】MicrosoftのArtifact Signing要件に対するセンサー更新ポリシーの対応について

①②の実施に関して

Microsoft IntuneなどのMDMツールを利用して、「Microsoft Identity Verification Root Certificate Authority 2020」を対象のWindows端末へ自動配布すること、必要なルートCAのインストール確認（レジストリキーが存在するかどうかを確認）することも可能ですので、必要に応じてご確認をお願いいたします。

また、CrowdStrikeが提供する支援ツールを利用することで以下実施が可能となるようですが、こちらは対応方法整理後に別途ご紹介させていただければと思っています。

• Next-Gen SIEM ダッシュボード：ダッシュボードを利用することで、対応が必要なホストの一覧や、必要な対応内容（カテゴリ分類）を可視化・追跡することができます。
  
• Fusion SOAR ワークフロー：RTR（Real Time Response）を利用して、ホストごとの必要な証明書の有無を自動確認したり、不足しているルートCAを事前にインストールしたりするワークフローがメーカーから提供されています。

関連技術用語まとめ

最後に、今回の対応で使用した用語について簡単にまとめました。

• Artifact Signing：MicrosoftがWindows向けのサードパーティ製アンチマルウェア（ユーザーモードバイナリ）に対して必須化した署名サービスです。
• WHQL：これまでFalcon Sensorのカーネルバイナリで使用されていた従来のクロス署名方式。今回の変更に伴い廃止（※1）
  されます。
  • ※1. MicrosoftがWHQL（クロス署名）を廃止する具体的な日付は明記されていないが、2026年12月にリリース予定の「v8.13 LTS」が、従来のWHQLのみを利用したクロス署名方式でインストールできる最後のセンサーバージョンとなり、それ以降のバージョン（v8.14以降）からは新しいArtifact Signingでの署名に完全移行するため、Falcon環境においては実質的に従来の方式が利用できなくなる。
• Microsoft Identity Verification Root Certificate Authority 2020：今回の署名（※Artifact Signingサービスによって署名されたモジュール（バイナリ） のこと）を検証するために、各Windows端末の「信頼されたルート証明機関」へインストールする必要があるルートCA（大元の電子証明書）です。
• Microsoft CTL Updater：Windowsがルート証明書を自動的にダウンロードするためにアクセスするMicrosoftのサイト（ctldl.windowsupdate.com）です。※ここへアクセスできない環境では証明書の手動インストールが必要です。
• OOTB (Out-Of-The-Box)：標準機能のことです。Windows 11やServer 2025などは、特別なWindows Updateを当てなくても標準（OOTB）でArtifact Signingをサポートしています。
• LTS (Long-Term Servicing)：新しい要件を満たせない端末向けに、特例として1年間サポートが継続されるセンサーリリース（v8.13 LTS）のことです。
• LTSC / GAC：Windowsの提供形態の違いです。古いWindows 10（1809や1607）の場合、LTSCライセンス版はWindows Updateで対応可能ですが、GACライセンス版はサポート対象外（カテゴリ4）となります。
• RTR (Real Time Response)：Falconの機能で、管理者が対象ホストにリモートアクセスし、直接コマンド実行やファイル操作を行える仕組みです。
• Fusion SOAR：Falconプラットフォーム上で、一連の作業（ワークフロー）を自動化する機能です。

さいごに

今回の仕様変更は環境全体に影響を及ぼす可能性があります。まずはFalcon Sensor for Windows 8.14 以降を展開する前に検討・確認しておくポイントについて > 「①利用端末がどのカテゴリに該当するかを把握する」から確認を行っていただけますと幸いです。

本記事が、皆様のCrowdStrike Falconの運用の一助となれば幸いです。

CrowdStrike Falconについてのお問い合わせ

ネクストモードでは、CrowdStrike Falconをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！