最小限の特権管理を定義する

Contoso では IT セキュリティ専門家の会社が稼働しています。 取締役会向けのレポートが生成されました。 レポートでは、Contoso で最近発生したセキュリティ違反やデータ損失インシデントの原因のほとんどがヒューマン エラー、悪意のあるアクティビティ、またはその両方であることが特定されています。

このレポートには、管理者特権を使用したサインインや、標準ユーザー タスクの実行など、多数の例が示されていました。 一例として、ユーザーが Enterprise Admins 権限でサインインし、悪意のあるコードを実行する電子メールの添付ファイルを開きました。 そのコードを実行したユーザーは完全な管理者権限を持っていたため、Contoso 社全体にわたる完全な管理者権限が取得されました。

概要

最小限の特権とは、アクセス権を特定のタスクや担当業務を実行するために必要な権限のみに制限するという概念です。 この原則は、次のものに適用できます。

• ユーザー アカウント。
• サービス アカウント。
• コンピューティング プロセス。

この原則は簡単に理解できますが、実装が複雑になる可能性があります。 結果的に、多くのケースにおいて最小限の特権が遵守されていません。

この原則では、すべてのユーザーが、現在のタスクを完了するために必要な最小限のアクセス許可を持つユーザー アカウントを使用してサインインする必要があることが示されています。 この原則では、数ある攻撃の中でも、特に悪意のあるコードに対する保護が提供されます。 コンピューターとそれらのコンピューターのユーザーに適用されます。

もちろん、管理者は一般に、日常業務で標準ユーザー アカウントを使用してサインインしたら、ユーザーのパスワードをリセットする必要があっても管理者としてサインインしないという問題があります。 時間も手間もかかります。 この問題を解決するには、一般的なセキュリティ リスクを特定する方法を見つける必要があります。 次に、あまり押し付けがましくない最小限の特権の原則を計画する必要があります。

セキュリティ プリンシパルを特定する

オンプレミス環境では、どのセキュリティ プリンシパル (ユーザーとグループ) が管理グループに属しているかを特定する必要があります。 Active Directory Domain Services (AD DS) には、機密性の高い管理グループがいくつかあります。 次の表で、これらについて説明します。

セキュリティ特権を持つその他の組み込みグループは、次のとおりです。

• Account Operators。
• Server Operators。
• Key Admins。
• Enterprise Key Admins。

グループ メンバーシップを変更する

どのユーザーとグループが管理グループに属しているかを特定したら、必要な変更を行うことができます。 AD DS 環境内でグループ ポリシー オブジェクト (GPO) を使用すると、このプロセスを迅速に実行できます。 制限されたグループ機能を使用して、GPO による影響を受けるすべてのコンピューターでグループのメンバーシップを制御します。 次の手順に従います。

1. グループ ポリシー管理を開き、GPO を作成してドメイン オブジェクトにリンクします。
2. GPO を編集するために開きます。
3. [コンピューターの構成]、[ポリシー]、[Windows の設定]、[セキュリティ設定]、[制限されたグループ] を見つけます。
4. [制限されたグループ] のコンテキスト メニューを右クリックまたはアクティブ化し、[グループの追加] を選択します。
5. [グループの追加] ダイアログボックスで、必要なグループを追加します。
6. メンバーをグループに追加するか、グループをメンバーとして別のグループに追加します。
7. [OK] を選択して処理を完了します。

現在割り当てられている権限を確認する

環境内のセキュリティ プリンシパルを変更したら、既にプリンシパルを持っている権限を確認する必要があります。 ユーザーが Administrators などの機密性の高い管理グループに属している場合は、そのユーザーが任意のタスクを実行し、グループが存在するコンピューターまたはドメインで任意の権限を行使できることは明確です。

ただし、権限または特権が割り当てられているその他のグループにユーザーが属している場合があります。 ユーザーに直接権限が割り当てられている場合もあります。

[ローカル セキュリティ ポリシー] コンソールを使用すると、割り当てられている権限を特定できます。 次の手順に従います。

1. [スタート] を選択し、[Windows 管理ツール] を選択します。
2. [ローカル セキュリティ ポリシー] を選択します。
3. [ローカル セキュリティ ポリシー] で、[ローカル ポリシー]、[ユーザー権利の割り当て] の順に展開します。
4. 一覧表示される [ポリシー] ごとに [セキュリティ設定] の値を確認し、必要に応じて編集します。

ユーザー アカウント制御を実装する

ユーザー アカウント制御 (UAC) は、ユーザーが管理者アカウントの状態を標準ユーザー アカウントの状態に制限する方法を提供するセキュリティ機能です。 ただし、管理機能が必要な (昇格と呼ばれる) タスクを実行すると、その昇格を確認するように求めるプロンプトがユーザーに表示されます。 既定では、昇格を試みると、次のように UAC からユーザーにプロンプトが表示されます。

• ユーザーが管理者である場合は、特権の昇格を確認するプロンプトが表示されます。
• ユーザーが標準ユーザーである場合は、管理資格情報を入力するプロンプトが表示されます。

GPO を使用すると、UAC のプロンプトと動作を制御できます。

1. 適切にリンクされた GPO を編集するために開き、[コンピューターの構成]、[ポリシー]、[Windows の設定]、[セキュリティの設定]、[ローカル ポリシー]、[セキュリティ オプション] の順に移動します。
2. 管理者アカウントの場合は、[ユーザー アカウント制御: 管理者承認モードでの管理者に対する昇格時のプロンプトの動作] の設定を開き、[このポリシーの設定を定義する] を選択して、必要な設定を選択します。
3. 標準ユーザーの場合は、[ユーザー アカウント制御: 管理者承認モードでの管理者に対する昇格時のプロンプトの動作] の設定を開き、[このポリシーの設定を定義する] を選択して、必要な設定を選択します。

Just Enough Administration を実装する

Just Enough Administration (JEA) は、Windows PowerShell リモート セッションを使用してロールベースのアクセス制御 (RBAC) の原則を適用できる管理テクノロジです。 JEA を使用すると、作業要件に直接関連しないタスクを頻繁に実行できる一般的なロールをユーザーに許可する代わりに、特定のタスクを実行するために必要な機能を提供する特別な Windows PowerShell エンドポイントを構成できます。

JEA を使用すると、リモートの Windows PowerShell セッションを使用して特定のタスク セットのみを実行できるように、管理セッションをロック ダウンできます。 JEA では、実行できるタスクが制限されるため、セキュリティが強化されます。 JEA を構成するには、ロール機能ファイルとセッション構成ファイルを作成および変更します。