Enhanced Mitigation Experience Toolkit（EMET）とはマイクロソフトが提供する脆弱性緩和ツールである。OSに実装されている緩和策の設定のほか、OSやコンパイラでは提供されていない緩和策をアプリケーション単位で設定することができる。

使用に当たってはアプリケーションが意図的にEMETが防御する手法を使用している可能性があるリスクや、EMETを使用するだけで全ての攻撃を防げるわけではない事に留意する必要がある。

EMETが提供するのは主にメモリ関係の保護機能である。それ以外にもSSL/TLSの正当性確認などの補助機能が追加されている。一部の機能は確率（運）に影響される防御システムのためマイクロソフトは「緩和」と表現している。各機能はアプリケーションごとにオンオフが可能である。

EMETは主にメモリの防御機能のみであるためパターン解析型または動作監視型であるアンチウイルスソフトとは異なる防御システムであり、EMETとアンチウイルスを組み合わせることでより強力なセキュリティを発揮できる。特にゼロデイ攻撃を防ぐ手段の一つとして有効である。アンチウイルスソフトの中にはEMETのような保護機能を持つものがいくつか存在するものの、EMETほど多機能で詳細な動作設定が出来る物はない。

ほとんどのアプリケーションでは、プログラマの設計ミスによりメモリ処理のバグ（セキュリティホール）が日常的に発生する。このようなメモリバグを突き、システムに侵入しようとするマルウェアからシステムを保護する機能を提供する。例えば、セキュリティホールのある画像閲覧ソフトが悪意のある画像を読み込むとマルウェアに侵入されてしまう。メモリに不正なアクセスが行われると、EMETは対象のプログラムを停止させてアラートを表示しイベントログに記録する。

悪意のないプログラムであってもセキュリティホールが存在する事があり、EMETがプログラムの動作を中断してしまう事がある。EMETが提供する機能のうち、どれがプログラムに悪影響を及ぼすかはユーザ側が判断する必要がある。特にシステムファイルを保護する場合、システムごとフリーズしてしまう可能性がある。また、EMETより先に起動するようなプログラムは保護できない。Google Chromeなど自前でメモリ保護機能を持っているソフトウェアは、EMETで保護指定すると競合し、不具合を起こす恐れがある。

インストール時に「推奨設定」にすると、Internet Explorerなど一部のマイクロソフト製品やJava、Adobe Readerなどのいくつかのアプリケーションが保護設定に追加される。

パス（フォルダ名）の一部にワイルドカードを指定する事が出来る。ただし、ファイル名の一部には指定できない。

OK: *\java.exe

OK: *Java*\java.exe

NG: *\java*.exe

EMETは、2018年7月31日でサポートを終了した。Windows 10 ver.1703の場合には一部の機能はOSに取り込まれているため、これらの設定についてはPower Shellで実行するProcessMitigations Moduleを導入すれば継続して設定可能である。Windows 10 ver.1709以降では、Windows Defender Exploit Guard(およびそのサブセットであるWindows Defender Exploit protection)として後継機能が提供されている。

以下の脆弱性緩和策を設定することができる。この内システム全体に設定出来るのはDEP、SEHOP、ASLRのみである。また一部のシステム設定は互換性の問題から規定では選択できないようになっている。

DEP(Data Execute Prevention)

データ実行防止を参照。システム設定は全ての対応Windowsにて任意の設定が可能。

SEHOP(Structured Exception Handler Overwrite Protection)

SEHハンドラーチェーンの上書きを検出しハンドラーを実行せずにプロセスを終了させる。Windows Vista Service Pack 1にて実装された機能^[3]でもあるが、EMETではそれとは別の実装を提供するため以下の2点の違いがある。

• Windows 7/2008 R2より前のWindowsでもアプリケーション単位でOpt-Inできる。^[4]
• Windows Server 2003でも利用可能。

EMETによるSEHOP実装にはWindowsのそれと比べて脆弱な部分が指摘されている。^[5][6]

NullPage(Null Page pre-allocation)

ヌルポインタ付近のメモリアドレスへのメモリ割り当てを拒否することでヌルポインタをdereferenceしてしまう脆弱性を利用した攻撃を防ぐ。Windows 8、Windows Server 2012にも実装されており、既定で有効である。^[7]

HeapSpray(Common heap spray address pre-allocation)

Heap spraying（英語版）で利用されやすいアドレスを予め使えなくしておくことで攻撃の成功率を下げる。

EAF(Export Address Table Access Filtering)

kernel32.dllとntdll.dllのExport Address Tableの読み込み元を限定することで攻撃を防ぐ。この防御により同様の手法を利用した攻撃は99.9%防げるとしている。^[8]

EAF+

EAFの防御に追加でスタックメモリとスタックレジスタのチェックを行う。また、アプリケーションごとにExport Address Tableの読み込み元として（EAFのルールでは許可されるがEAF+有効時は）許可しないDLLの指定も行う。

MandatoryASLR(Enforces Address Space Layout Randomization on loaded binaries)

詳細はアドレス空間配置のランダム化を参照。WindowsではASLRの適用はDLL単位でのOpt-Inであり対応になっていないDLLは通常再配置されないが、EMETにより再配置を強制する。アプリケーション単位での強制ASLRはWindows 7以降にも実装された機能^[9]であるがEMETはその実装を利用していない。

システム全体に設定可能な項目	Windows Vista、Server 2008	Windows 7、Server 2008 R2	Windows 8、Server 2012 およびそれ以降
Disabled	設定可能	設定可能	設定可能
Application Opt In （ASLRをサポートするすべてのWindowsの規定値）	設定可能	設定可能	設定可能
Application Opt Out （既定では非表示）	設定不可能	設定不可能	設定可能
Always On （既定では非表示）	設定可能	設定可能	設定可能

BottomUpASLR(Bottom-Up virtual memory randomization)

DLL読み込み以外の低位アドレスから割り当てていくタイプ（ヒープやスタック、メモリマップドファイルが該当する）のメモリ確保をランダム化する。

LoadLib(Check and prevent Loadlibrary calls against UNC paths)

ネットワークパスからのDLL読み込みを拒否する。

MemProt(Special check on memory protection APIs)

スタックメモリに実行可能属性を付加しようとするAPI呼び出しを拒否する。スタックに書き込まれた攻撃コードを実行しようとした際にDEPにより実行が拒否される。

Caller(ROP mitigation that checks if critical function was called and not returned into)

攻撃コードにおいて用いられやすい幾つかのAPIが正しい命令で呼び出されたのかをチェックする。

StackPivot(Check if stack pointer was pivotted)

スタックメモリがすり替えられていないか（OSがスタックに割り当てたメモリをスタックレジスタが指しているか）をチェックする。

SimExecFlow(Simulate the execution flow after thr return address to detect subsequent ROP gadgets)

攻撃コードにおいて用いられやすい幾つかのAPIの呼び出し元アドレスの命令をシミュレート実行しReturn-oriented programmingで用いられる手法が使われていないかをチェックする。

ASR(Attack Surface Reduction)

指定したDLLの読み込みを拒否する。任意のプラグインを追加できるアプリケーションの防御に使用する。Internet Explorerではセキュリティーゾーンと連携してDLLの読み込みを許可するゾーンを設定できる。

Block Untrusted Fonts

Webフォントや文書に埋め込まれたフォントなどシステムにインストールされたフォント以外のフォント読み込みを拒否する。Windows 10でのみ利用可能。

Certificate Trust

特定のSSL/TLS証明書を検証する際に指定したルート証明機関から発行されたルート証明書であるかなどをチェックする。既定ではデスクトップ版Internet Explorerのみ対応する。

以下はEMETを適用したアプリケーションすべてに適用される。

Deep hooks

チェックを公開APIだけでなく公開APIが呼び出す内部非公開APIでも行う。

Anti detours

API入口のコードをあらかじめ別の場所にコピーしておき、コピーしてある方のコードを実行したのち途中から元のAPIに処理を戻す手法（こうすることで本物のAPIの入口にEMETが追加したチェックを回避しようとする）のAPIフックを検出する。なおDetoursとはマイクロソフトが提供している同様の手法を用いるAPIフックライブラリの名前である。

Banned functions

一般的なアプリケーションでは正当な利用方法が無い特定のシステム用APIの使用を拒否する。

表 話 編 歴 Windows コンポーネント
管理ツール	アプリインストーラ コマンドプロンプト コントロールパネル アプレット デバイスマネージャ ディスク クリーンアップ デフラグ Driver Verifier DxDiag イベントビューア IExpress 管理コンソール Netsh パフォーマンスモニタ リソースモニタ 設定 Sysprep システム構成 システム ファイル チェッカー システム情報 システムポリシーエディター システムの復元 タスクマネージャ Windows エラー報告 Windows Ink Windowsインストーラ PowerShell Windows Update Windows Insider WinRE WMI スキャンディスク CHKDSK 問題の報告と解決
アプリ	3Dビューアー アラーム & クロック 電卓 カメラ 外字エディタ Clipchamp Copilot Edge FAX とスキャン フィードバック Hub サポートに問い合わせる 拡大鏡 メール/カレンダー 地図 メッセージング 映画&テレビ モビリティセンター ナレーター メモ帳 OneDrive OneNote ペイント アドレス帳 People フォト フォト ビューアー クイック アシスト スマホ同期 Snipping Tool 音声認識 Sticky Notes Microsoft Store メディア プレーヤー Windows Media Player Legacy サウンド レコーダー WinSAT 文字コード表 リモート アシスタンス Windows DVD プレイヤー
シェル	Aero ClearType エクスプローラ Windows サーチ スタートメニュー タスクバー 特殊フォルダ 関連付け シェル名前空間（英語版）
サービス	サービス コントロール マネージャー CLFS BITS Wireless Zero Configuration シャドウ コピー 自動再生 タスク スケジューラ マルチメディア クラス スケジューラ
ファイルシステム	CDFS DFS exFAT FAT12 FAT16 FAT32 IFS NTFS ジャンクション マウント ポイント リパース ポイント シンボリック リンク TxF EFS ReFS UDF
サーバ	Active Directory DFS レプリケーション DNS IIS MSDTC NAP AD RMS SharePoint Windows Media Services WSUS 移動ユーザー プロファイル グループ ポリシー ドメイン リモート デスクトップ サービス (Remote Desktop Protocol)
アーキテクチャ	NT系のアーキテクチャ スタートアップ プロセス (Vista) CSRSS DLL EXE HAL I/O Ntoskrnl.exe Svchost.exe WinPE NTLDR/ブート マネージャー アイドル プロセス カーネル パッチ保護 レジストリ IRP KTM LSASS SMSS Windows リソース保護 オブジェクト マネージャー Win32コンソール Winlogon セキュリティアカウントマネージャー（SAM）（英語版） 論理ディスク マネージャー
セキュリティ	Defender ファイアウォール 悪意のあるソフトウェアの削除ツール Safety Scanner DEP MIC UAC UIPI KPP セキュリティとメンテナンス BitLocker
互換性	互換モード COMMAND.COM 仮想DOSマシン WOW WOW64 Windows Subsystem for Linux
API	.NET Framework COM OLE OLE オートメーション（英語版） DCOM ActiveX 構造化ストレージ MTS DirectX DWM GDI Protected Media Path（英語版） PlayReady Windows Imaging Component Windows Imaging Format Windows Script Host VBScript JScript
開発終了	ゲーム リバーシ ピンボール インクボール Chess Titans Mahjong Titans Purble Place スパイダ ソリティア ソリティア ハーツ フリーセル マインスイーパ アプリ Windowsアドレス帳 Anytime Upgrade Windows Calendar(Vista) CardSpace DVD メーカー Grooveミュージック Internet Explorer Windows Journal 画像とFAXビューア(XP) Windows Mail(Vista) Media Center Messenger Microsoft ActiveSync Windows Mobile デバイス センター NetMeeting Outlook Express ペイント3D Cortana Pay Skype WinHelp Write Security Essentials 切り取り & スケッチ デスクトップ ガジェット ハイパーターミナル バックアップと復元センター ファイルマネージャー フォト ギャラリー プログラムマネージャ ミーティング スペース ムービー メーカー リソースメーター ワードパッド その他 UNIX サブシステム Interix Video for Windows
カテゴリ

• コンピュータセキュリティ
• Microsoft Windows