Windows Server 2016 における認証情報の保護

認証情報（Credentials）はアカウントの鍵です。認証情報を収集することで、攻撃者はあなたのネットワークに侵入し、横方向に移動し、権限を昇格してあなたのデータを盗み取ることができます。Windows Server 2016には、攻撃者が認証情報を収集できる可能性を最小限に抑えるためのいくつかの機能があります。

Protected Users グループを使用する

ユーザー、特に高い特権を持つユーザーを「Protected Users」グループに入れることは、セキュリティが低い認証オプションを無効化することで、資格情報が侵害されるリスクから保護するのに役立ちます。たとえば、Windows はこのグループのメンバーの資格情報をローカルにキャッシュしないため、攻撃者が収集できるように作業ステーションに残ることはありません。さらに、このグループのメンバーであるユーザー アカウントでは、次のことができません:

• 既定の資格情報の委任を使用する
• Windows Digest を使用する
• NTLM を使用
• Kerberos の長期キーを使用
• オフラインでサインオン
• 認証に NT LAN Manager（NTLM）を使用
• Kerberos の事前認証に DES を使用
• Kerberos の事前認証に RC4 暗号スイートを使用する
• 制約付き委任を使用して権限を委任する
• 無制約の委任を使用して権限を委任する
• 初期の 240 分の有効期間を過ぎてもユーザーのチケット取得チケット（TGT）を更新する

アカウントの設定（プリファレンス）を使用する

ユーザー アカウント

保護の厳格さをそれほど必要としないユーザー アカウントの場合は、次のセキュリティ オプションを使用できます。これらのオプションは、あらゆる AD アカウントで利用可能です:

• ログオン時間 — ユーザーがアカウントを使用できる時間を指定できます。
• ログオン ワークステーション — アカウントがサインインできるコンピューターを制限できます。
• パスワードの有効期限なし — 「最大パスワード有効期間」のポリシー設定から、そのアカウントを除外します。特権アカウントには、このオプションを構成しないでください。
• 対話型ログオンにはスマートカードが必要です — アカウントがサインインするにはスマートカードの提示が必要です。
• このアカウントは機密性が高く、委任できません — 信頼されたアプリケーションが、アカウントの資格情報をネットワーク上の他のサービスやコンピューターに転送できないようにします。
• このアカウントは Kerberos AES 128 ビット暗号化をサポートしています — Kerberos AES 128 ビット暗号化を許可します。
• このアカウントは Kerberos AES 256 ビット暗号化をサポートしています — Kerberos AES 256 ビット暗号化を許可します。特権アカウントにはこのオプションを使用してください。
• アカウントの有効期限 — アカウントの終了日を指定できるようになります。

コンピューター アカウント

ユーザー アカウントを管理するだけでなく、コンピューター アカウントおよびサービス アカウントの到達範囲（影響範囲）を理解し、管理する必要もあります。コンピューターをドメインに初めて参加させると、Windows は Active Directory の「Computers」コンテナー内にコンピューター アカウントを作成し、自動的にパスワードを割り当てます。AD はこれらのパスワードを管理し、30 日ごとに自動的に更新します。

コンピューター アカウントの権限を管理し、どのグループ ポリシーが適用されるかを制御するには、コンピューター アカウントをグループに追加し、別の OU に移動できます。さらに、コンピューター アカウントを無効化したり、リセットしたりすることも可能です。

• 無効化 コンピューター アカウントを無効化すると、そのコンピューターはこれ以上ドメインに接続できなくなります。コンピューター アカウントを削除してもコンピューターが稼働している場合、ドメインのメンバーシップを取り戻させたいなら、コンピューターをドメインに再参加させる必要があります。
• リセット コンピューター アカウントをリセットすると、コンピューターとドメインの間の接続が解除されます。

サービスアカウント

サービスアカウントは、Windows サービスがオペレーティング システムおよびネットワーク上のリソースとやり取りするために使用する特殊な種類のアカウントです。（ユーザー アカウントを作成して、サービスアカウントとして実行するように設定することも可能ですが、便利ではありません。）

組み込みのサービスアカウントは 3 種類あります。

• ローカル システム — NT AUTHORITYSYSTEM アカウントは、当該コンピューター上のローカル Administrators グループと同等の権限を持ちます。
• ローカル サービス — NT AUTHORITYLocalService アカウントは、当該コンピューター上のローカル Users グループと同等の権限を持ちます。
• Network service — NT AUTHORITYNetworkService アカウントには、コンピューター上のローカル Users グループと同等の権限があります。

これらのアカウントを保護するために、システム管理者が定期的にパスワードを更新するようにしてください。ネイティブ ツールを使用する場合、この作業は手動プロセスです。

グループ管理サービス アカウントと仮想アカウント

グループ管理サービス アカウントは特殊な種類のサービス アカウントです。AD がこれらのアカウントのパスワードを自動的に更新します。仮想アカウントは、特定のコンピューターに対応する、グループ管理サービス アカウントと同等のローカル アカウントです。

Windows Defender Credential Guard の使用

Windows Defender Credential Guard は、Windows 10 および Windows Server 2016 に搭載された新しい技術で、マルウェアを使って資格情報を収集しようとする攻撃者から資格情報を保護するのに役立ちます。Windows Defender Credential Guard は仮想化ベースのセキュリティを使用し、キャッシュされた資格情報などの秘密情報を分離して、特権を持つソフトウェアだけがそれらにアクセスできるようにします。

仮想化ベースのセキュリティでは、資格情報やデータを使用する特定のプロセスと、それらに関連付けられたメモリが、ホスト OS と並行して動作しつつもホスト OS から独立した別の OS 上で実行されます。この仮想 OS は、これらのプロセスが保存し使用するデータを外部のソフトウェアが読み取ろうとする試みから、プロセスを保護します。Windows Defender Credential Guard は、安全な起動や仮想化を含むハードウェア セキュリティを活用します。

Windows Defender Credential Guard は Group Policy 、Windows Management Instrumentation (WMI)、または Windows PowerShell を使用して管理できます。

Windows Defender Credential Guard では、次の使用は許可されません:

• 無制限 Kerberos 委任
• NT LAN Manager バージョン 1（NTLMv1）
• Microsoft Challenge Handshake Authentication Protocol（MS-CHAPv2）
• ダイジェスト
• Credential Security Support Provider（CredSSP）
• Kerberos の DES 暗号化

ローカル管理者パスワード ソリューションを使用する

Microsoft の Local Administrator Password Solution（LAPS）は、すべての組み込みローカル管理者アカウントのパスワードを安全に集中管理するリポジトリを提供し、それらのパスワードの適切な管理を自動化します。特に、LAPS:

• 各コンピューターでローカル管理者パスワードが一意になるようにします
• 30日ごとにすべてのローカル管理者パスワードを自動的に変更します
• パスワードへのアクセスを制御するための、構成可能な権限を提供します
• パスワードを安全で暗号化された方法でクライアントに送信します

Active Directory Administrative Center を使用する

Active Directory Administrative Center を使用すると、攻撃者に乗っ取られやすいアカウントを Active Directory 内で検索できます。特に、次の種類のアカウントを定期的に確認してください：

• パスワードが期限切れにならないユーザー アカウント — ユーザーが定期的にパスワードを更新する必要があるアカウントよりも、固定パスワードのアカウントは安全性が低いため、そのような設定は避けてください。
• 無効なユーザー アカウント — 非アクティブなユーザー アカウントは、通常、組織を離れた人物に紐づいています。Active Directory Administrative Center コンソールを使用すると、指定した日数の間サインインしていないアカウントを見つけられます。

これらのユーザー アカウントを削除または無効化することで、外部の攻撃者や悪意のある内部関係者による悪用を防止できます。

まとめ

ご覧のとおり、Windows Server 2016 には環境内の資格情報を保護するのに役立つ多くの機能があります。これらの機能は、一部またはすべてを利用できます。特に、Group Managed Service Accounts、Windows Defender Credential Guard、LAPS を活用するのが賢明です。比較的少ない手間で IT セキュリティを大幅に向上できるためです。