正しく設定すべきグループ ポリシーの6つの設定

グループ ポリシー は、Windows Server Active Directory の一部である構成管理技術です。Windows のクライアントおよびサーバー オペレーティング システムで設定を構成するために使用でき、すべてのデバイスで一貫した安全なセットアップを確実に実現できます。実際、グループ ポリシー オブジェクト（GPO）を構成するときに利用できる設定は数百もありますが、このブログ記事では、環境の基本的なセキュリティを確実にするために正しく設定する必要がある、重要なグループ ポリシーのセキュリティ設定を6つ紹介します。

グループ ポリシーを Microsoft が推奨する設定に構成したい場合は、Security Compliance Toolkitをダウンロードしてください。 このツールキットには、サポートされているすべての Windows バージョンのセキュリティ基準が含まれており、これを自分のグループ ポリシー オブジェクトの基盤として利用できます。また、推奨設定をすべて一覧化し、それらを説明するスプレッドシートも含まれています。ドメインに参加していないデバイスがある場合は、ローカル ポリシーを使用して設定を構成してください。ツールキットには、スタンドアロン デバイス上でローカル ポリシー設定をより簡単に管理できる専用アプリケーションが含まれています。

アプリケーション制御（AppLocker）

許可されていないソフトウェアを端末に入れないことができていない場合、それはマルウェアがシステムに侵入し定着するための重要な手段の1つになります。システム全体に影響する変更を防ぐために、エンド ユーザーからローカル管理者権限を取り除くことは重要です。しかし、その制限だけでは不十分で、ユーザー（またはログイン中のユーザー アカウントのコンテキストで実行されるプロセス）が、深刻な被害につながり得るコードを実行してしまうのを防げません。

この課題に対処するために、Microsoft Windows 7 では AppLockerが導入されました。これにより、システム管理者はアプリケーション制御ポリシーをシステムに素早く適用できます。AppLocker は、実行を許可するプロセス、スクリプト、およびインストーラーのホワイトリストを設定することで動作します。AppLocker の設定は、グループ ポリシーの Computer Configuration > Windows Settings > Security Settings > Application Control Policies > AppLocker にあります。

図 1. グループ ポリシーで AppLocker の設定を見つける場所

AppLocker の下に一覧表示されている各カテゴリごとにルールを作成するには、カテゴリを右クリックします（例： Executable rules）。次に、メニューの上半分にある3つのオプションのいずれかを選択します。Automatically Generate Rules… を選択すると、参照システムをスキャンし、信頼できる場所にインストールされている実行ファイルに基づいてルールを作成します。ルールを手動で作成する場合は、必ず Create Default Rulesを作成してください。そうしないと、Windows の重要な機能を無効化してしまい、システムが使用できなくなるリスクがあります。

いくつかのルールを設定したら、AppLocker を右クリックし、Properties をメニューから選択します。Enforcement タブで、有効にしたいルールカテゴリをクリックし、メニューからAudit only を選択します。ルールを監査モードでしばらく実行し、Windows のイベントログに問題がないか確認してください。ルールが重要なアプリや Windows の機能をブロックしないことが確実であれば、設定をEnforce rulesに変更します。

AppLocker がポリシーを強制適用する前に、デバイス上で Application Identity サービスが動作している必要があります。Windows 10 では、AppLocker はローカル グループ ポリシー エディターからも構成できます。 ただし Windows 10 では、Microsoft が Windows Defender Application Control（以前は Device Guard）を導入しました。これは、ローカル管理者が回避するのが難しい、より堅牢なアプリケーション制御技術です。

Windows Update

Windows Update は、オペレーティング システムやその他のソフトウェアを常に最新の状態に保つための、Windows の重要なコンポーネントです。組織で Windows 10 を使用している場合は、デバイスを確実に最新パッチで維持するために Windows Update for Business (WUfB) の利用を検討してください。Windows Server Update Services (WSUS) とは異なり、WUfB にはオンプレミスのインフラは必要ありませんが、Windows 10 の機能更新および品質更新をどのように適用するかについて、ある程度の制御ができます。Windows Update と Windows Update for

［コンピューターの構成］>［管理用テンプレート］>［Windows コンポーネント］>［Windows Update］の下にある Business のグループ ポリシー設定。

Windows の以前のバージョンを使用している場合は、グループ ポリシーを使ってデバイスを社内の WSUS、または System Center Configuration Manager の Software Update Point（SUP）に向けます。「自動更新の構成」 および 「イントラネットの Microsoft 更新サービスの場所の指定」 の設定を使用してください。その他にも 「Windows Update でドライバーを含めない」 や 「自動再起動のアクティブ時間範囲の指定」 など、役立つ設定があります。

SMBv1 クライアントとサーバーを無効化

の一部コンポーネントには SMBv1 で適切なセキュリティが備わっていません。2017 年を思い出すと、SMBv1 の欠陥は NotPetya ウイルスが非常に素早く拡散できた要因の 1 つでした。Microsoft はすでに SMBv1 のパッチを提供していたものの、多くの組織では適用されていませんでした。

Windows 10 の後続バージョンでは、危険な SMBv1 コンポーネントはデフォルトで既に削除されています。しかし、Windows 7、Windows 8、またはそれ以前の Windows 10 を使用している場合は、システムから SMBv1 コンポーネントを削除するか、不要なすべてのサーバーおよびクライアントで Group Policy を使って無効化する必要があります。

SMBv1 サーバーを無効化するには、次のキー パスの下に SMB1 という名前の REG_DWORD 値を作成し、その値を 0 に設定します：

      HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters
      

SMBv1 クライアントを無効化するには、レジストリ値を 2 つ作成します。1 つ目は、次のキー パスの下で値を 4 に設定する必要がある Start という名前の REG_DWORD 値です：

      HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesmrxsmb10
      

2 つ目は、次のパスの下で DependOnService という名前の REG_MULTI_SZ 値を “Bowser”,”MRxSmb20?,”NSI” に設定する必要があります：

      HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstation
      

Group Policy で新しいレジストリ項目を構成するには、Computer Configuration > Preferences > Windows Settings に移動し、Registry を右クリックします。メニューから New > Registry Item を選択し、必要なキー パスと値を追加します。Action フィールドが Update に設定されていることを確認してください。

ゲスト アカウントとローカル管理者アカウントを無効化する

Windows 10 では、組み込みのゲスト アカウントおよびローカル管理者アカウントはデフォルトで無効になっています。ですが、その状態を確実に維持したい場合は、グループ ポリシーでアカウントを常に無効にするよう設定してください。これは、ドメイン コントローラーなどの重要なサーバーで強力なアクセス制御を実現するうえで、特に重要です。設定は「コンピューターの構成 > Windows の設定 > セキュリティの設定 > ローカル ポリシー > セキュリティ オプション」で確認できます。次の両方を設定します。 アカウント：ゲスト アカウントの状態 および アカウント：管理者アカウントの状態 を 無効。

リムーバブル ディスクでの実行アクセスを拒否する

ユーザーにはリムーバブル メディアの読み取り／書き込みは許可できますが、実行ファイルの実行はブロックできます。AppLocker を設定している場合、この設定は不要になる可能性がありますが、多くの組織ではアプリケーション制御を使用していません。いずれにせよ、リムーバブル メディア上で実行ファイルをブロックすることは、システムを悪意のあるコードから保護するうえで役立ちます。

次の場所に Removable Disks: Deny execute access の設定があります。Computer Configuration > Administrative Templates > System > Removable Storage Access。

プロキシ設定の変更を防止する

組織でプロキシ サーバーを使用しているかどうかにかかわらず、ユーザーがプロキシ設定を変更できないようにしておくのが賢明です。最悪の場合、悪意のあるプロキシ設定によって、ネットワーク内のすべてのインターネット トラフィックが、許可されていない仲介者（中間者）を介して迂回させられる可能性があります。最善の場合は、ユーザーがインターネット リソースにアクセスできないようにする可能性があります。ユーザーが Internet Explorer および Microsoft Edge のプロキシ設定を変更できないようにするには、Prevent changing proxy settings を User Configuration> Administrative Templates > Windows Components > Internet Explorer の下で Enabledに設定します。

結論

以上が、正しく構成する必要がある 6 つのグループ ポリシー設定です。運用環境にグループ ポリシー設定を適用する前に、それらが悪影響を及ぼさないことを確認するために必ずテストしてください。Microsoft が推奨する設定の完全な一覧については、Security Compliance Toolkit でベースライン テンプレートをダウンロードしてください。