ローカル管理者権限を制御する手順

IT担当者は、ソフトウェアのインストール、構成設定の変更、トラブルシューティングなどを行うために、企業の端末でローカル管理者権限を必要とします。しかしあまりにもしばしば、業務ユーザーも自分のPCにローカル管理者権限を日常的に付与されてしまいます。

ユーザーにこれらの権限を与えることは便利な場合がありますが、深刻なセキュリティの隙を生み出します。まず、ユーザー自身が、導入し得るセキュリティリスクを十分に理解していないまま、仕事を効率化するために、未承認のアプリケーションを意図的にインストールしたり設定を変更したりすることがあります。さらに、あらゆるユーザーがソーシャルエンジニアリング攻撃に引っかかる可能性があります。たとえば、フィッシングメールの中にある悪意のある添付ファイルを開いたり、悪意のあるリンクをクリックしたりするケースです。しかし、ユーザーにローカル管理者権限があると、知らないうちにマルウェアをインストールしてしまう可能性があり、そのマルウェアが管理者権限を取得・悪用してデータを盗んだり、その他の被害をもたらしたりする恐れがあります。

したがって、すべてのコンピューターでビジネス ユーザーからローカル管理者権限を削除することがベストプラクティスです。次は、この中核となるセキュリティ運用を実装するための4つの手順です。

ステップ 1：ローカル管理者アクセスを持つのが誰かを確認します。

最初のステップは、各サーバーおよびデスクトップでローカル管理者権限を持つすべてのユーザーを特定することです。Windows システムでは、ユーザーは Local Administrators グループのメンバーシップによって、次のいずれかの方法でローカル管理者アクセスを付与されます：

• グループの直接メンバーシップ — ユーザー アカウントがそのグループのメンバーとして一覧に表示されます。
• 間接（ネストされた）グループ メンバーシップ — ユーザー アカウントが別のグループのメンバーであり、そのグループが Local Administrators グループのメンバーであることを意味します。

一般的に、特権グループとのネストは避けるのが賢明です。誰が正確に特権アクセス権限を持っているのかを特定するのが難しくなるためです。

残念ながら、IT 環境内のすべてのシステムについて、ローカル管理者の完全な一覧を提供できるネイティブ ツールはありません。 しかし、Netwrix Privilege Secure のようなサードパーティ製ソリューションを利用すれば、Windows サーバーおよびワークステーション上の Local Administrators グループを含む、各特権グループのメンバーシップを完全に可視化できます。さらに、Netwrix Privilege Secure は特権グループへのすべての変更を監査し、不審なアクティビティを検知して通知します。

ステップ 2：グループの所有者に、グループ メンバーシップを確認し、承認（アテスト）してもらいます。

次のステップは、各ローカル管理者グループの所有者を特定することです。これは難しい作業になり得るため、可能性の高いグループ所有者を自動的に特定できる ソリューションの利用を検討してください。

次に、各グループの所有者は、組織の攻撃対象領域（attack surface area）を減らすために不要なローカル管理者アクセス権を取り除くことを目的として、メンバーシップを慎重に見直す必要があります。このレビューおよびアテステーション（attestation）プロセスは、定期的なスケジュールで繰り返し実施してください。

ステップ 3：各ローカル管理者アカウントに一意のパスワードを設定します。

多くの組織では、すべての Windows デバイスにあるデフォルトのローカル管理者アカウントが、同じユーザー名とパスワードを使用しています。つまり、攻撃者がたった 1 台のマシンでそれらの資格情報を入手すれば、すべてのマシンに対して管理者アクセスが可能になり、ドメイン全体で自由に横方向へ移動（ラテラルムーブメント）できます。

そのために Microsoft は Windows Local Access Password Solution（LAPS）を提供しています。LAPS により、ドメイン内の各コンピューターに対してローカル管理者アカウント用の一意のパスワードを設定でき、さらに設定した間隔でローカル管理者パスワードを自動的に変更します。LAPS は次を使用して展開できます。Group Policy または Intune。

ステップ 4：ユーザーと管理者が、必要な作業を安全に実行できるように権限を付与します。

最小特権の原則 principle of least privilege はセキュリティの要です。各ユーザーには、仕事を遂行するために必要な権限だけを付与すべきです。ローカル管理者権限を制限することは、最小特権を実施するうえで重要なステップです。ただし、管理者もビジネスユーザーも、時にはその権限を必要とする作業を行う必要があります。

標準の Windows 機能を使えば、管理者が権限のない（特権のない）アカウントでマシンにログオンし、その後、昇格された権限を必要とする作業で「管理者として実行」オプションを使うことができます。とはいえ、このアプローチには依然として常駐の管理者アカウントが必要であり、アカウント所有者による誤用や、攻撃者による侵害の対象になってしまいます。良い代替策は、目的に合わせて設計された privileged access management (PAM) solution を使用し、常駐の特権アカウントを、必要な作業を行うのに十分なアクセスだけを付与したオンデマンドのアカウントに置き換え、その後自動的に削除するようにすることです。その結果、常に気にかける必要のある常駐の管理者アカウントがほぼなくなります。

ビジネスユーザーが UAC のプロンプトを回避して、必要な特定のアプリケーションを実行できるようにするには——ローカルの管理者権限を付与せずに行うためには、Netwrix PolicyPak Least Privilege Manager を検討してください。この強力なソリューションは、ユーザーがランサムウェアやその他の望ましくない実行ファイルをダウンロードまたはインストールすることも防止できます。

結論

特権アクセスを厳格に制御することは、高額な侵害コスト、ダウンタイム、そしてコンプライアンス違反によるペナルティを回避するうえで欠かせません。適切なツールを使えば、業務を遂行する能力を損なうことなくビジネスユーザーからローカル管理者権限を削除でき、攻撃対象領域を大幅に減らせます。