公式
ttp://http://support.microsoft.com/kb/2458544/ja wiki(用語解説など)
ttp://http://ja.wikipedia.org/wiki/Enhanced_Mitigation_Experience_Toolkit 最新ver3.0(2012/05/15) βver4.0(2013/4/18) 日本語化無し アプリからのupdate無し
ダウンロード
最新版ver3.0
ttp://http://www.microsoft.com/en-us/download/details.aspx?id=29851 βver4.0
ttp://http://www.microsoft.com/en-us/download/details.aspx?id=38761 ※前スレ
【EMET】enhanced mitigation experience toolkit
ttp://tamae.2ch.net/test/read.cgi/sec/1366984422/ 乙
じゃネタ
ESETとEMET共存運用
で、ESETが新V9になって、SSL/TSLプロトコルフィルタリングがデフォルト有効になって弊害発生
Facebook・Twitter.comにEMETが反応しまくり、ESETは無反応
まぁ、片方止めれば出なくなるんだけどね
どっち止めたらいいのやら？
いちおう入れてるからには網張っておきたいんで
数%？
それとも1%未満？
今は、ブラウザだけじゃなくて他のソフトにも対応できるって意味でEMETにしてるんだけどさ。
EMETとMBAEフリー版て、脆弱性対策の具体的な仕組みに違いはあるのかな？
「MBAE」は防御対象となるアプリケーションがプリセットされており、追加や削除、細かい設定の変更などが一切できないのに対し、「EMET」はより柔軟に運用できる反面、比較的高度なセキュリティ知識を要求される点も異なる。
How is MBAE different from Enhanced Mitigation Experience Toolkit (EMET)?
ttp://https://forums.malwarebytes.org/topic/136424-frequently-asked-questions/#comment-846362 EMETではJavaの脆弱性を保護できない的な記述があるけど・・・
久しぶりに5.5を入れてみたら5.1より遥かに軽いので驚いた
5.5で更に重くなってたら今のPCで使うのを完全に諦めてた
自分だと5.2より5.5の方が重いし、設定を揃えた上で
どうなんだろ…。俺も詳しいことはわからないけれど、
もしかしたら（EMETとの仕組みの違いはあれど）MBAEのような働きでもするのかなぁ？
だとしたら、ありがたいね。今はAVG使ってないから、なんとも言えないけど。
そのまま様子見で使いつづけることにします。
MBAEと違って、（個人的な印象では）若干OS起動時にもたつくけど、任意のソフトが登録できたりはじめから登録されているソフトが多いのは
MBAEとの大きな差別化の要素になると思うんだけどなぁ。
なかなか「使っています」報告がネット上で見られないね。
>OS起動時にもたつく
5.5はデフォルト遅延起動になってるから
管理ツールで自動起動にしてやると真っ先に起動するようになる
EMETが原因でした…orz
Maximum Security Settingにしてるからいつ何が動かなくなっても驚かないが
それ5.5になったときになんでそうしたのかと言われてましたけど、
デジタル署名の日付け見る限り今出てる5.5は最初のと同じですね。
Win7+EMET5.5recom設定なんですが
EAFチェックすると起動しない、けどEAF+は問題ない
謎です
俺も素人だから、具体的にWindows10の標準機能でどこまで保護されるかはわからないけど、
保護するためのツールとしては必ずしも必要ではないみたい。
その記事には、「企業などの法人顧客にとっては、（消費者ほど素早くアップデートなどをしないから）EMETは引き続き必要なソフトであり続けるだろう」とも書いてあったかと。
CNETの記事がただしいとするならば、
・一般的な消費者には、EMETは必ずしも必要ではない、あるいは余分なものだと言える
・Windows10には、すでに優れたセキュリティ対策機能が初めから組み込んである
・アップデートなどの柔軟な対策が直ちに取りにくい法人/ビジネスユーザーにとっては、引き続き重要なセキュリティ対策ツールでありつづける
…ってことじゃないかな？
俺も、今まではEMETを使ってたけど、有料のマルウェア対策ソフトを導入したのにあわせて、EMETをアンインストールしたんだよね。
TechNetの記事ってコレの事？
EMET 5.5 リリースしました
ttp://https://blogs.technet.microsoft.com/jpsecurity/2016/02/03/emet-5-5/ Enhanced Mitigation Experience Toolkit (EMET) version 5.5 is now available
ttp://https://blogs.technet.microsoft.com/srd/2016/02/02/enhanced-mitigation-experience-toolkit-emet-version-5-5-is-now-available/ legacy applicationsと3rd party softwareはわかるけどdown-level systemsとは何のこと？
いくつか緩和策が10には既に実装されているので態々入れなくても良いよって言ってるだけ。
事前にEMET抜いておくべきかな？
IEで何度か警告が出た。
ブロックの設定は残るみたいなんですが
どうやったらインストール前まで戻せるのでしょう
ttp://https://www.microsoft.com/en-us/download/details.aspx?id=53354 EMET 5.51 release includes bug fixes, including:
・EMET 5.5 GUI crashing on startup
・Unexpected BitLocker warning in EMET 5.5 when changing system-wide DEP setting
遅延起動もフェィスブックブロックも何一つ直ってない
のコピペはベータにしか当てはまらない間違いと以前言った気がしたが…
r41p41氏によると
Right now the difference between EMET 5.5 and MBAE 1.7xx is
EMET has EAF/EAF+, MBAE has Return Address validation.
EMET comes out on top because of EAF+.
どっちも突破できるけどEMETの方がムズいらしい
AVGは知らんが主要AVベンダーは大体採り入れて来てるな。
実際の効果はテスト機関がたまにやるexploitテストでもみるしなかないが、かなりベンダー間で差がある模様
10の目玉としてはControl Flaw Guardがあるけど、アプリ側での対応が必要だし、磐石なものでもない。
どちらかってとストアアプリに適用されるAppContainer(sandbox)の方が大きい
2010以前のOfficeや,Edge&Chrome以外のブラウザ、
ストアアプリ以外のメディアプレイヤーやドキュメントビューアは保護する意味がある
レジストリのMitigationoptionsやImage file execution optionsをちまちま直すのが嫌なら、
再インストールしてブロックの設定を直してからアンインストールしたら？
もう有料には戻れない
ちなみに5.51を入れてるけどEAFは切らないとIEが起動しなかったバグって直ってるのかな
色々と面倒なので5.5で採用した設定のまま使ってる
ttp://https://twitter.com/JSECTEAM/status/773413893939064832 EMET 5.51 の日本語版ユーザー ガイドを公開しました。
ttp://https://technet.microsoft.com/ja-jp/security/jj653751 MSは回避策としてEAFを無効にすることを提案。
ttp://https://support.microsoft.com/ja-jp/kb/3175024 KB3175024を入れないよりは、EAFを無効にしたほうがいいってこと？
タスクマネージャーからEMETの優先度をアップしてみた
結果少しだけ起動が早くなった、、、気がする（確証無し）
本体は自動起動するサービスなんだからデスクトップが使える頃にはとっくに起きてるよ
GUIなんて飾りです
正確に
IE11でしかメッセージが出たことないんだが
効いたときってのはexploitを防いだとき？
必ずではない、exploitとmitigationによっては出せない時もある。
EMETの本体はサービスですらない
ユーザーガイドのSCCMで配布する章にはshimを作るためのEMET_Conf以外の実行ファイルは含めていない
適当言ってすまね
てかサービスが何してるかまで書いてあるな
emet.dllさえ読み込まれてりゃ保護されるってことか
まーEMETは入口塞ぐだけだから、入られた後のことまで責任とれんよ
というか侵入前から無効化できるし、Bromiumとかはそこ使って何度かバイパスしてるね
上で言ってるのはマルウェアにdll読込み邪魔されたらoutじゃんとか、
いやそれ以前にexploitから無効化できちゃったりするんだけどという話
参考
ttps://www.offensive-security.com/vulndev/disarming-and-bypassing-emet-5-1/ ttps://www.fireeye.com/blog/threat-research/2016/02/using_emet_to_disabl.html ※最新版では一応は修正されてる
Moveimages!0xffffffffの状態でMitigationOptions!0x5000100111555(ASLR:AlwaysOn)
だとEdgeがクラッシュするが0x5000100111155(OptOut)だとしない
3桁目以外の値が関係あるかとかIFEOで個別指定するとどうかとかは未検証
以前DEPでAlwaysOnとOptOutの挙動が違うってのがあったがASLRもなんかあるっぽい
まぁ入られたら終わりなんだけどねいずれにせよ
９割方の人が入れなかったみたいだけどね
Moveimages!0x01でも同じだった
しかしMitigationOptionsの0x100000000は何なんだ…
これがあるとChromeでIMEが効かなくなるのでIFEOで除外した
ttp://http://fast-uploader.com/file/7032757486939/ IE11なのですがIEの画面を右クリックしてプロパティを展開すると
EMETのASRのアラートが出ますがこれは何なのでしょうか？
画面はヤフーのトップ画面なのでさすがにここが攻撃を受けたともちょっと
考えにくいです
UP画面を見れば分かるとは思いますけど
ttp://http://fast-uploader.com/file/7032758400398/ 他サイトでも出ますのでやはり右クリックの問題かと思います
これは何に反応しているのか分かる方いらっしゃいましたらお教え願います
ASRってのはexploit止めるんじゃなくて指定したモジュールの読込みを防ぐ機能
右クリしたときにvbscript.dllが読み込まれるのをブロックしたか検知したんだよ(設定次第)
邪魔ならiexplorerのASRの設定からvbscript.dllを除外するか、信頼済みゾーンのセキュリティ引き上げた上で右クリしたいサイト追加
いずれにせよセキュリティを僅かに犠牲にするので無視が一番だけどな。手動でAdobe Readerとかにルール追加しまくったらなかなか煩わしかったわ
つか、デフォの証明書ピン止めルールが期限切れした時も言ったがEMET使うならユーザーガイドくらい全部嫁。
全自動のアンチウイルスとは違うぞ
ありがとうございます
私の勉強不足でした Orz・・・
煩わしくないのでそのままで使いたいと思います
基本エッジ使ってますのでIEは補助的にでたまにしか使いませんので
しかしエッジってエメットの保護下にはもうないんですね
相当優秀なブラウザのようで頼もしいです
「設定」でIEが開くところ（たとえばシステム→バッテリー→バッテリーを節約するためのヒント）をクリックしたら
DEPエラーが出てIEが終了するようになって、
この前までそんなことはなかったはずなのにおかしいなと思い、Recommended securityにしたら出ない。
でもう一度Maximum securityにしたらやっぱり出ない。
いったい何が起きたんだろうか。
昔こんなバグがあったな
ttp://tamae.2ch.net/test/read.cgi/sec/1366984422/595 心配ならProcessExplorer辺りで確かめたら？
EMETのサポート期限が2018/01/31まで延長されたよん
ttps://support.microsoft.com/en-us/kb/2458544 もうちょい詳しく書いたページあった
ttp://togetter.com/li/490251 てかお前らEMETのサポ終わったらどーすんの？
当面はそのまま使っても大丈夫だろうけど
Win8.1のIE11がエラーで起動しなくなりました。
EAF+とEAFのチェックを外してもエラーとなります。
EMET5.5に戻してもIE11は起動しなくなってしまいました。
何か対策はないでしょうか。
さげってw
単にエラーと言われてもなぁ
せめてイベントログでそのエラー見つけて貼りつけるとかしようよ
IEのエラーメッセージ詳細をコピーしておけばよかったのですが。
イベントビューアにIEエラーは記録されないみたいです。
とりあえずEMETなしでやっていこうかと思います。
Windows 10 RS2でReturn Flow Guard入るしEMETにあってWindowsに無いのってHeapSprayとASRとEAFぐらいになるんだよなぁ
最新のコンパイラで有効にしたうえでビルドが必要だけれど
>最新のコンパイラで有効にしたうえでビルドが必要だけれど
ここだよね、Win8.1からのCFGも主要サードパーティーソフトで有効にしてんのChormeくらいでしょ？
そういやEMET自体はCFG有効じゃないね、まあこれで守るプロセスはどのみちCFG無効だろうから問題ないけど
EAF(+)のあるなしは結構大きいかと。ASRとCert Pinningもカスタムしてバリバリ使う人には惜しい
突然のサポート終了もやっぱ「お前らさっさと10に移行しろよｺﾞﾙｧ」てことみたいね
ttps://blogs.technet.microsoft.com/srd/2016/11/03/beyond-emet/ MBAMさんに頑張ってもらうしかないな。
MBAEさんやね
EMETってOSの脆弱性を緩和する以外にもソフトウェア(ブラウザやOffice)の脆弱性を緩和する効果もあるよね？
マイクロソフトはWindows10にはEMET以上の機能が付いているから必要ないと言っているけど、
それはWindows10の機能でOSのみならずソフトウェアの脆弱性も緩和できるっていうこと？
それともやはりWindows10の機能ではOSの脆弱性しか緩和できないの？
もし前者ならEMETは本当に必要ないけど、後者ならまだまだEMETは必要だよね？
システム設定も元々OSに備わってる機能でEMETなくても有効にできる
Windows10の機能で緩和うんたらについては、その緩和策が色々あるんで単純な返事はできん
例えばEdgeやストアアプリはAppContainerで保護されるがCFG等はアプリ側で有効にしてコンパイルする必要がある
一方Guard Pageなんかは一般のアプリでも恩恵受けられるだろ
要するに色々ってことｗ
よくわかんなきゃ、の下2行
MBAEは使う気しない。幸いHitmanPro.Alertの永年ライセンスがあるのでメインPCはそれで賄ってるがサブどうすっか
ttp://http://forest.watch.impress.co.jp/docs/news/1028544.html 改善されるのはOSの方。
JunとJulを見間違えたか
完成しつくされたということか？
Windows10に搭載されている防御策と共通するものが多いから
Windows10使えってこと
ぶっちゃけバグはまだあるw
あとMS自身のリンクで認めてるようにEMETはバイパスされやすい
今まではされる毎に対策してたけど、終了後はそれもなくなる
つまり保護が部分的に残されるわけで、問題がなきゃそのままでいいと思うよ
問題出たらレジストリ弄ることになるけど、EMET再インストールして直してもいいし
レジストリ値削除するだけなら大した手間じゃないけど
問題はIFEOにデフォルトで入ってる値まで消してしまう点
変更記憶→ロールバック型のアンインストーラじゃなきゃ厳しいと思うけどね
んなこと聞いてる時点でレジストリのバックアップなんてとってないんだろうし
EMET入れる前まで戻すか、入れてないシステムからIFEOエクスポートするかじゃね
主にバグ修正なのかな？
