Windows Server FSRM(ファイルスクリーン)を活用した社内共有フォルダへの特定拡張子書き込み制限

社内ファイルサーバーの共有フォルダに、業務に関係のない大容量の動画ファイル(.mp4)や、実行ファイル(.exe)、さらにはランサムウェアが生成する特徴的な拡張子のファイルが書き込まれるのを未然に防ぎたいというニーズがあります。

原因と落とし穴

NTFSアクセス権限だけでは「書き込み許可」がある限り、ファイルの種類まで制限することはできません。また、単に禁止するだけでは、正当な理由でファイルを保存しようとしたユーザーにエラーが表示されるだけで、管理者が検知できないことがあります。

切り分け・対処手順

FSRMのインストール: サーバーマネージャーの「役割と機能の追加」で、「ファイルサービスと記憶域サービス」配下の役割サービス「ファイルサーバーリソースマネージャー(FSRM)」を追加します。

ファイルスクリーンの作成: 制限したいフォルダパスを指定し(サブフォルダーにも適用されます)、スクリーンの種類を「アクティブ スクリーン」(保存を止める)にして、禁止するファイルグループ(例: 実行可能ファイル、オーディオ ファイルとビデオ ファイル)を選択します。止めずに検知だけしたい場合は「パッシブ スクリーン」(保存は許可し、通知だけ送る)を選びます。

通知設定: 「電子メール メッセージ」タブで、管理者へのメールと、保存しようとしたユーザー本人へのメールを設定します(ユーザーの画面にポップアップを出す機能ではなく、メールで知らせる仕組みです)。メールを送るには、先にFSRMのオプションでSMTPサーバーを設定しておく必要があります。あわせて「イベント ログ」タブで警告をイベントログに残しておくと、メールが届かなかった場合も後から追えます。

まとめ

FSRMによるファイルスクリーンは、ストレージの私的利用防止に加えて、ランサムウェアが付ける既知の拡張子を検知・ブロックする簡易的な防御壁としても使えます。ただし、ファイルグループに登録した拡張子・名前のパターンにしか反応しないため、未知の拡張子を付ける攻撃は防げません。バックアップや権限設計と組み合わせて使います。

(2026-10-05追記: Microsoft Learn「Create a File Screen」「Create a File Screen Template」に合わせて、通知の仕組みとスクリーンの種類の説明を修正しました)

■ 取引先からセキュリティ対策を問われたときに

SCS評価制度（★3・★4）の評価基準に沿って、自社の対策状況を無料で自己点検できます（非公式）。
▶ SCS評価制度の自己点検（無料）

■ この記事に関連するテンプレート

共有フォルダーにどの拡張子を禁止したか、例外を誰に認めたかは、あとから説明を求められやすい設定です。M365・端末のセキュリティ方針と、その例外の記録をNotionにまとめるためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

▶ 無料版（情シス向けNotionテンプレート3種）を見る
▶ 中小企業向けセキュリティベースライン設計キット（¥2,980）