Windows ファイルアクセス監視

この投稿では、Windows ファイル サーバーで ファイルアクセス監査 を構成する方法を詳しく解説し、重要なアクセスイベントを解釈する際の課題も探っていきます。

背景

効果的な監査（オーディット）戦略を策定するための最初のステップは、システム、ユースケース、そしてビジネスニーズを十分に理解することです。これにより、実際に必要な範囲よりも広い監査スコープを設定してしまうことで生じる影響を避けられます。 audit policy 設定を選択するほど、また監査するファイルやフォルダーが多いほど、イベントをログに記録するためにファイルサーバーが実行しなければならない作業量が増えます。さらに、イベント量に対応するために必要なストレージ容量も増加し、管理者が「誰が何にアクセスしているか」を理解するために解析すべきデータ量も増えます。

そのため、監査（オーディット）ポリシーを有効化する前に、次の点を確認してください：

• 組織内で最も重要なデータが保存されている場所を特定し、監査が必要なファイルやフォルダーに優先順位を付けてください。
• 選択した監査（オーディット）設定をサポートするために必要となるストレージ量を見積もってください。

Windows ファイル サーバーでファイル アクセス監査を構成する

このブログ投稿では、Windows Server 2016 R2 を実行しているドメイン コントローラー上で、Group Policyを通じて高度な監査ポリシー（advanced audit policy）を有効にする方法を紹介します。 （ファイル サーバーが 1 台だけの場合は、Security Policyのローカル設定を代わりに使用できます。）

高度な監査ポリシー（Advanced audit policy）では、基本的な監査ポリシー設定で可能な範囲よりも、返されるイベントの種類や件数をよりきめ細かく選択できます。特に、ファイル アクセスの監査に関しては、基本的な監査ポリシーが 1 つの設定のみを提供するのに対し、高度なポリシーは 14 のサブカテゴリを提供します。この例では、次のオプションを有効にします：

• ファイル システムの監査 — ユーザーがファイル システム オブジェクトにアクセスしようとする試行を監査します。
• ハンドル操作の監査 — 失敗したアクセス試行の可視性を高めます。
• Group Policy Management を使用して新しいグループ ポリシー オブジェクト（GPO）を作成し、適切な名前を入力します。

• 新しい GPO を右クリックして、「Group Policy Management Editor」ウィンドウを起動します。

• 次の場所に移動します: Computer Configuration –> Windows Settings –> Advanced Audit Policy Configuration –> Audit Policies –> Object Access 。

• Audit File System をダブルクリックします。次に Configure the following audit events を選択し、Success と Failure の両方を選びます。Apply をクリックして変更を保存し、その後 OK をクリックします。

• Audit Handle Manipulation をダブルクリックします。Configure the following audit events を選択し、Success と Failure の両方を選びます。次に Apply をクリックし、その後 OK をクリックします。

• 次に、新しい GPO を、ファイル サーバーを含む OU にリンクする必要があります。Group Policy Management で OU を右クリックし、Link an existing GPO… を選択して、作成した GPO（File System Access Policy）を選び、OK をクリックして、選択した OU に適用します。次に、ファイル サーバーに新しいグループ ポリシーを確認させるために強制的に適用します。Group Policy Management で OU をもう一度右クリックし、Group Policy Update をクリックして、ウィザードの手順に従ってください。

• 対象の Windows ファイル サーバーで、Security ログのプロパティを開きます。次に Maximum log size (KB) と、最大のイベント ログ サイズに到達した場合に実行するアクションを設定してください。

• 各対象フォルダーのプロパティで [Security] タブに移動 -> Advanced に進む -> Auditing タブに移動 -> Add -> 審査（監査）設定を構成します。これらのフォルダーに、組織の最も重要な資産が含まれていると仮定するなら、「Everyone」プリンシパルを選択して、すべてのユーザーからのアクセス イベントを監視したい場合が多いでしょう。

ファイル アクセス監査における課題

それでは、ファイル アクセス監査における主要な課題をいくつか見ていきましょう。

イベント量が多い

管理者は、生成される大量の監査データを効果的に管理することに、しばしば苦労します。たとえば、次の一般的なシナリオによって作成されるイベントを見てみましょう。

1. ユーザーがファイル共有上の Microsoft Word ドキュメントを開きます。
2. ユーザーがドキュメントを編集します。
3. ユーザーがドキュメントを保存して閉じます。

以下に示すとおり、このような通常の動作だけでも、イベント ログに 200 件を超えるイベントが書き込まれてしまいます。これを、ユーザーが毎日このアクティビティを実行する回数で掛け合わせると、ファイル アクセスを監視する作業がいかにすぐに手に負えなくなるかが簡単にわかります。

次に、このシンプルなシナリオで返され得るイベントについて、さらに詳しい内容を示します。

一時ファイルによるノイズ

上の例では 230 件のイベントが返されましたが、そのうちほぼ半分は、短時間だけ存在した一時ファイルに対して記録されています。

Microsoft Office は、編集中のデータの自動保存、メモリの解放、データ損失の防止など、複数の目的で一時ファイルを使用します。これはユーザーにとってより良い体験につながりますが、監査ログ（audit trail）を管理する担当者にとっては大きな悩みの種です。アクセスされているオブジェクトが何かを理解するには、複数の Event ID を関連付けるだけでなく、一時ファイルに関連するイベントを特定して破棄（除外）する必要もあります。

権限の変更を理解するのが難しい

Event 4670 は、ファイルまたはフォルダーの権限が変更されたときに記録されます。たとえばフォルダーの権限が Domain Users グループに追加された場合のように、これらのイベントは機密情報を危険にさらす可能性があるため、必ず監視することが重要です。以下にサンプルのイベントを示します：

Event 4670 は、いくつかの理由により扱いづらい場合があります:

• セキュリティ記述子は Security Descriptor Definition Language (SDDL) を用いて表されるため、管理者はそれを読みやすい形式に変換する必要があります。
• 翻訳できたら、変更された権限を特定するために、管理者は元のセキュリティ記述子と新しいセキュリティ記述子を手間をかけて注意深く比較する必要があります。

イベントを相関付けてファイルの移動を理解する

ある場所から別の場所へのファイルの移動を理解することは、たとえばユーザーのドキュメントが見つからず、探し出す必要がある場合などに重要です。しかし、ドラッグ＆ドロップであっても、カット＆ペーストであっても、ファイルを移動すると複数のイベントが生成され、その多くは 4663 イベントです。ファイルがどこに移動されたのかを特定するには、管理者はノイズとなるイベントを手動で除外し、Handle ID が一致する 4663 イベントを相関付ける必要があります。

Netwrix はどのように役立ちますか？

ご覧のとおり、ネイティブのファイルアクセス監査は、非常に大量のイベントデータと手作業によるフィルタリング／相関付けの作業によって管理者を圧倒してしまうため、ファイルアクセス、権限変更、ファイル移動に関する重要な質問に答えるための現実的な方法ではありません。

Netwrix のデータアクセスガバナンスソフトウェア は、ファイルのアクティビティを監視するための効果的で拡張性の高いアプローチを提供します。さらに、誰が何にアクセスできるのかを把握し、機密データへのアクセスを厳格に制限できるようにすることで、サイバーセキュリティインシデントのリスクを低減するのに役立ちます。次のことが可能です：

• IT エコシステム全体での活動を監査します。
• 機密データへのアクセスを必要最小限に抑えて、 insider threat のリスクを低減し、ランサムウェアやその他の攻撃による被害を最小限に抑えます。
• データ所有者による定期的な特権の証明を効率化します。
• コンテンツを正確かつ一貫してタグ付けすることで、機密データが移動するたびに保護します。

よくある質問

Windows でファイル アクセスを監視するには？

Windows のファイル アクセス監視には、オブジェクト アクセスの監査ポリシーを有効にし、監査対象となる特定のフォルダーを構成する必要があります。まず、グループ ポリシー管理（gpedit.msc）を開き、Computer Configuration > Windows Settings > Security Settings > Local Policies > Audit Policy に移動します。成功イベントと失敗イベントの両方で “Audit object access” を有効にしてください。次に、監視したいフォルダーを右クリックし、Properties > Security > Advanced > Auditing を選択して、追跡したい特定のアクセス タイプを持つユーザーまたはグループを追加します。

標準の Windows 監視の課題は、文脈なしで大量のログ データが生成されてしまうことです。誰がどのファイルにアクセスしたかは分かりますが、その活動を実際のビジネス上のリスクと結び付けるには、手作業による分析が必要になります。 Data security that starts with identity とは、単にファイル アクセスを理解するだけでなく、そのアクセスが職務上の責任やビジネス ニーズに合致しているかどうかを把握することを意味します。組織には、リスクのある行動が侵害につながる前に見つけるために、ファイル アクセス パターンをユーザーの役割、データの機密性、そしてコンプライアンス要件と自動的に相関付けできるソリューションが必要です。

Windows Server 2016 でファイル監査を有効にするには？

Windows Server 2016 file auditing の構成は、次の 2 段階で行います。監査ポリシーを有効化し、フォルダー レベルの監査を構成します。グループ ポリシー管理コンソールを開き、Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Object Access に移動します。成功および失敗イベントに対して “Audit File System” を有効にしてください。gpupdate /force を使ってポリシーを適用します。

フォルダー固有の監査を行うには、対象フォルダーの［プロパティ］>［セキュリティ］タブ >［詳細設定（Advanced）］>［監査（Auditing）］タブにアクセスします。［追加（Add）］をクリックして新しい監査エントリを作成し、監視するユーザーまたはグループと、監査イベントをトリガーする操作（読み取り、書き込み、削除、アクセス許可の変更）を指定します。Windows Server 2016 ではフィルタリング機能が改善されましたが、それでも監査データの洪水を手動で管理する必要があります。ポイントは、価値の高いデータリポジトリに注力し、効果的な監視ではファイルアクセスをアイデンティティ（identity）のコンテキストに結び付けることが重要だという点を理解することです。つまり、動くものをすべて記録するだけでは不十分です。

Windows Server 2019でファイル監査を有効にする方法は？

Windows Server 2019 は、強化されたグループ ポリシー（Group Policy）オプションと改善されたイベント フィルタリングにより、ファイル監査をよりスムーズにします。［グループ ポリシー管理（Group Policy Management）］>［コンピューターの構成（Computer Configuration）］>［ポリシー（Policies）］>［Windows の設定（Windows Settings）］>［セキュリティの設定（Security Settings）］>［詳細な監査ポリシー構成（Advanced Audit Policy Configuration）］>［オブジェクトへのアクセス（Object Access）］から、詳細な監査ポリシー構成にアクセスします。［“Audit File System（ファイル システム監査）”］を有効にし、ネットワーク アクセス監視のために［“Audit File Share（ファイル共有監査）”］の有効化も検討してください。

［セキュリティ］タブ >［詳細設定（Advanced）］>［監査（Auditing）］からフォルダー監査を構成します。Server 2019 では、どのファイル操作がイベントを生成するかをよりきめ細かく制御できます。プラットフォームには、テンポラリ ファイルやシステム プロセスに対するより良いフィルタリングが含まれており、監査ログのノイズを減らします。ただし、根本的な課題は残ります。つまり、生の監査データは自動的にセキュリティのインサイトへ変換されないという点です。すべてのファイルアクセスを記録することはできますが、アイデンティティ（identity）に基づくコンテキストがないと、実行可能なインテリジェンスではなくデータを収集している状態になります。組織は、ファイルアクセス パターンをユーザーの行動分析や データ分類 と結び付けて、本当の脅威を特定することに注力します。ログ項目に溺れるのではなく、重要な脅威を見極めるためです。

Windows のファイル システム監査イベントはどこに記録されますか？

Windows のファイル システム監査イベントは、Windows Security Event Log に記録されます。Event Viewer から Windows Logs > Security の下で参照できます。これらのイベントは通常、Event ID 4656（ハンドル要求）、4658（ハンドルのクローズ）、4663（アクセス試行）、4660（オブジェクトの削除）として表示されます。Security ログをこれらの特定の Event ID でフィルタリングすることで、ファイル アクセスのアクティビティに焦点を当てることができます。

Security Event Log には、エンタープライズ向けファイル監視における制約があります。ログはすぐにいっぱいになり、イベントには業務上の文脈が欠けており、複数サーバーにまたがるアクセス パターンの相関付けは手作業のプロセスになりがちです。各イベントにはユーザーの SID やファイル パスなどの技術的な詳細が表示されますが、そのアクセスが通常の業務活動を示しているのか、潜在的なインサイダー脅威を示しているのかは判断できません。エンタープライズ レベルのファイル監視には、集中型ログ収集、身元情報（identity information）との自動相関、データの機密性やユーザーの役割に基づくインテリジェントなフィルタリングが必要です。目的は、すべてのファイルへの接触を単に記録することではなく、どのアクセス パターンが実際にあなたのデータ セキュリティ態勢（data security posture）に対するリスクを表しているのかを理解することです。