Windows Server 2022ファイルサーバーで未署名コードが実行されないようにし、Microsoft署名済みおよびContoso署名済みのバイナリ/ドライバーのみを許可し、適用前に1週間監査モードで開始する必要があります。どうすればよいですか？

Windows Defender Application Control (WDAC) は、指定された署名済みバイナリとドライバーのみを許可し、未署名のコードの実行を防ぐための最も堅牢な方法です。複数ポリシー形式でMicrosoftおよびContosoパブリッシャーのルールを許可するベースポリシーを作成し、監査モードで展開することで、システムへの影響を評価できます。検証後、ポリシーを適用モードに切り替えることで、完全に保護されます。AppLockerはドライバーを制御できず、SmartScreenはサーバー環境向けではありません。ソフトウェア制限ポリシーはWDACほど堅牢ではなく、柔軟性も劣ります。