【Windows11】セキュアブートとメモリ整合性は、どこが違うのか

Windowsの「デバイスセキュリティ」画面には、「セキュアブート」と「メモリ整合性」が近い場所に並んでいます。

両方ともマルウェア対策の機能で、説明文も似ています。
そのせいで、「メモリ整合性をオンにできないと、セキュアブート証明書の更新も止まるのでは」という相談がありました。

先に答えを書くと、その直接の因果関係はありません。
メモリ整合性がオフであること自体が、セキュアブート証明書の更新を止めるわけではありません。
ただし、古いハードウェアやファームウェアといった共通の原因によって、「メモリ整合性が有効にできない」と「証明書更新が進まない」が同じPCで同時に起きることはあります¹。

なぜそう言えるのか。
それを理解するには、Windowsが電源投入からアプリ実行まで、どの段階で何を検証しているかを順番に見るのが早道です。

1. 起動から実行までの検証の流れ

Windows 11は、1つの機能でマルウェアを止めているわけではありません。
電源を入れてからアプリが動くまでの各段階に、別々の検証が置かれています。

電源が入ると、まずUEFI（Unified Extensible Firmware Interface：OSより先に動くPCの基本制御プログラム）が動きます。
ここでセキュアブートが、これから起動するコードの署名を確認します。
確認を通ったブートローダーが「Windows Boot Manager」を起動し、続いてTrusted Bootが、カーネルや起動ドライバーの改ざんを確認します。
そのあとELAM（Early Launch Anti-Malware：早期起動マルウェア対策）が、他のドライバーより先に動いてマルウェア用ドライバーを評価します²。

ここまでが「Windowsが立ち上がるまで」です。
カーネルが動き出すと、今度はVBS（Virtualization-based Security：仮想化ベースのセキュリティ）とメモリ整合性が、カーネル内のコード実行を監視し続けます。

1.1. セキュアブートが見ているもの

セキュアブートは、この流れの入口、つまりWindowsへ制御が渡る前を担当します。
メモリ整合性は、制御が渡ったあとのカーネル内部を担当します。
担当する時点が違う、というのが両者を分ける一番大きな点です³。

セキュアブートは、UEFIの機能です。
PCの電源を入れてからWindowsが動き出すまでの間に、ファームウェア、UEFIドライバー、ブートローダーの署名を確認し、信頼された証明書で署名されたものだけを起動させます。
狙う相手は、OSが起動する前に潜り込むブートキット（bootkit：OS起動前に入り込むマルウェア）です。

この判断に使われるのが、UEFIの中に保存された信頼情報です。
DB（Allowed Signature Database：許可リスト）にある署名は通し、DBX（Disallowed Signature Database：拒否リスト）にある署名ははねます。
KEK（Key Exchange Key：DBやDBXを更新するための鍵）が、これらの更新を承認します⁴。

セキュアブート証明書の更新とは、このUEFI内の信頼情報を書き換える作業です。
2011年発行のMicrosoft系証明書が2026年6月以降に順次失効するため、新しい証明書をDBやKEKへ反映させる必要があります。
古い証明書のままでもPCは通常どおり起動しますが、将来の起動前防御の更新が届かなくなります⁵。

1.2. メモリ整合性が見ているもの

メモリ整合性は、別名をHVCI（Hypervisor-protected Code Integrity：ハイパーバイザーで保護されたコード整合性）といい、VBSの一部です。
VBSは、Windowsハイパーバイザーを使って、通常のカーネルとは別の隔離された実行環境を作ります。
Microsoftは、カーネル自体も侵害されうるという前提で、検証の処理をこの隔離環境に置く設計だと説明しています⁶。

メモリ整合性の仕事は、カーネルで動こうとするコードの署名と整合性を、この隔離環境で検証することです。
署名確認を通る前のコードはカーネルで実行できず、書き換え可能なメモリページがそのまま実行可能にならないようにします⁷。
狙う相手は、脆弱な、あるいは悪意あるカーネルドライバーと、カーネルメモリの改ざんです。

ドライバーはカーネルと同じ高い権限で動くため、1本でも悪用されるとOS全体が乗っ取られます。
そのため64ビット版のカーネルモードドライバーには署名が必須で、メモリ整合性が有効ならその検証がさらに強化されます⁸。

注意したいのは、メモリ整合性が「起動時だけ」働くのではない点です。
Windowsが立ち上がったあとも、カーネルがコードを実行しようとするたびに検証は続きます。
起動時に一度だけチェックする仕組みではありません。

2. 同じ思想、違う担当

両者は、「署名された信頼できるコードだけを実行する」という同じ考え方に立っています。
どちらもデジタル署名を重視し、どちらもカーネルレベルのマルウェアを相手にします。ただし、守る時点と階層が違います⁹。

観点	セキュアブート	メモリ整合性
働く時点	Windows起動前	Windows起動後・カーネル動作中
主体	UEFIファームウェア	Windowsハイパーバイザー、VBS
守る対象	ブートローダー、UEFIドライバー、起動前コード	カーネル、カーネルドライバー、実行可能メモリ
主な相手	ブートキット、起動前ルートキット	脆弱・悪意あるドライバー、カーネル改ざん
判断材料	UEFI内の証明書、DB、DBX、KEK	コード整合性、ドライバー署名、HVCI互換性
失敗時の見え方	起動拒否、証明書更新の不調、セキュアブート無効表示	ドライバー読み込み拒否、メモリ整合性をオンにできない

2.1. なぜ直接の因果がないのか

ここまでをふまえると、最初の疑問に答えられます。

メモリ整合性は、起動後のカーネルを保護する仕組みです。
セキュアブート証明書の更新は、起動前のUEFI内の信頼情報を書き換える作業です。
動く時点も、扱うデータの置き場所も別々なので、メモリ整合性をオフにしたからといって証明書更新の経路が塞がれることはありません。

依存の方向はむしろ逆です。
メモリ整合性を有効にするには、セキュアブートが有効である必要があります。
土台としてセキュアブートがあり、その上にメモリ整合性が乗る関係です。
「メモリ整合性がオフ → セキュアブート更新が止まる」という向きの依存は、設計上存在しません¹⁰。

それでも両方の問題が同時に出ることはあります。
原因が共通しているからです。
セキュアブートが無効、UEFI/BIOSが古い、CPUの仮想化支援機能が無効、メーカーのファームウェアが新しい証明書に未対応、互換性のないドライバーが残っている。
こうした基盤の不備があるPCでは、メモリ整合性の有効化経路と証明書更新の経路が、同じ理由でふさがれます。
同時に起きているように見えても、犯人はメモリ整合性ではなく、その下にある共通の不備です。

3. 症状の見分け方

トラブルがどちら側のものかは、エラーの出方で切り分けられます。

ドライバーが読み込めないという警告、たとえば「vmdrv.sys」のようなドライバーが弾かれるケースは、カーネルドライバー側の問題です¹¹。
メモリ整合性、コード整合性、脆弱ドライバーブロックリストの領域に属します。
Microsoftの脆弱ドライバーブロックリストは、既知の脆弱性を持つ非Microsoft製ドライバーなどを対象にしていて、HVCIが有効なときに強制されます¹²。
対処は、不要なら該当ドライバーをアンインストールし、使うなら最新版へ更新することです。

一方、セキュアブートが無効と表示される、証明書がいつまでも古いまま更新されない、といった症状は、UEFI側の問題です。
証明書やDB、DBX、KEKの更新が届いていない状態を疑います。

症状	属する領域	主な対処
特定ドライバーが読み込めない	メモリ整合性・HVCI・脆弱ドライバーブロックリスト	ドライバーの削除または更新
メモリ整合性をオンにできない	HVCI互換性、仮想化支援、ドライバー互換性	互換性のないドライバーの整理、仮想化の有効化
証明書が更新されない、セキュアブート無効	UEFI、セキュアブート、ファームウェア	セキュアブート有効化、ファームウェア更新

3.1. 確認しておく項目

証明書更新が進まないとき、まず見るのはメモリ整合性ではありません。
次の点を順に確認します。

セキュアブートがUEFIで有効になっているか。
UEFI/BIOSのバージョンが新しいか、メーカーから更新が出ていないか。
Windows Updateが止まらず適用されているか。
互換性のないドライバーが残っていないか。これらが整っていれば、証明書更新は通常のWindows Update経由で進みます¹³。
メモリ整合性の状態は、この更新の可否とは別の話として切り離して考えれば、画面が近くにあっても混乱しません。

多くのデバイスでは、セキュアブートが有効でWindows Updateが届いていれば、新しい2023年版の証明書が自動で適用されます。 – Windows Secure Boot certificate expiration and CA updates – Microsoft Support
ELAMは、すべてのブートドライバーを起動前に検査し、信頼リストにないドライバーの読み込みを止めます。 – Secure the Windows boot process – Microsoft Learn
起動段階にはMeasured Bootもあり、ファームウェアが起動過程の記録をTPMに残して、後から健全性を検証できるようにします。 – Secure Boot and Trusted Boot – Microsoft Learn
DB、DBX、KEKはUEFIファームウェアの不揮発性メモリに保存され、同じ署名がDBとDBXの両方にあれば、拒否側のDBXが優先されます。 – Secure boot – Microsoft Learn
失効はKEK CA 2011とUEFI CA 2011が2026年6月、Windows Production PCA 2011が10月で、更新先はいずれも2023年版の証明書です。 – Windows Secure Boot certificate expiration and CA updates – Microsoft Support
VBSはWindowsハイパーバイザーで隔離した仮想環境を作り、これをOSの信頼の起点とします。 – Memory Integrity and Virtualization-Based Security (VBS) – Microsoft Learn
カーネルのメモリページはコード整合性の検証を通った後でのみ実行可能になり、実行可能なページが書き込み可能になることはありません。 – Memory Integrity and Virtualization-Based Security (VBS) – Microsoft Learn
64ビット版Windowsでは、カーネルモードドライバーに有効なデジタル署名が必要です。 – Driver Signing With Digital Signatures – Microsoft Learn
Microsoftは、セキュアブート、Trusted Boot、Measured Bootが起動の各段階でマルウェアを止めると説明しています。 – Secure the Windows boot process – Microsoft Learn
メモリ整合性の有効化には、セキュアブート対応をはじめとする前提条件を満たす必要があります。依存の向きは、セキュアブートが土台でメモリ整合性がその上に乗る関係です。 – Memory integrity enablement – Microsoft Learn
vmdrv.sysはVoicemodの仮想オーディオ機器に関係するドライバーで、Windows 11 24H2更新後にメモリ整合性が有効だと、脆弱なドライバーと判定されて読み込めなくなる事例が報告されています。 – ［Windows 11］vmdrv.sysというドライバーが読み込めない？ – スマホ教室ちいラボ
脆弱ドライバーブロックリストは、メモリ整合性（HVCI）、Smart App Control、Sモードのいずれかが有効なときに強制されます。 – Microsoft recommended driver block rules – Microsoft Learn
多くのデバイスはWindows Update経由で自動更新されますが、古いPCではメーカーのファームウェア更新が必要になる場合があります。 – Secure Boot playbook for certificates expiring in 2026 – Microsoft Tech Community