権限昇格（Privilege Escalation）を防ぐための3ステップガイド

昨年の状況が落ち着いたことで、アナリストは Microsoft の脆弱性リストを徹底的に精査しました。誰にとっても驚くことではありませんが、重大（critical）評価のセキュリティ情報の 94% は、管理者権限を削除することで軽減できた可能性があります。Internet Explorer/Microsoft Edge の重大（critical）情報は 100% が、管理者権限を削除することで軽減できたものでした。Microsoft 環境において、特権（privilege）資格情報を対話的に（interactively）使用する正当なケースはほとんどありません。特に、Windows Server 2012 以降に行われた数多くの改善を考えると、この傾向はより一層当てはまります。

この質問を自分に問いかけてください。IT や管理担当者を含む、どのユーザーが日常的な作業に管理者アカウントを使用していますか？「はい」と答えた（または 100% 確信がない）場合、あなたはリスクのある状態です。多くの環境と同様に、標準ユーザーはおそらく保護できている一方で、重要な担当者のアカウントは権限が高い状態になっている可能性があります。あなたの環境にある IT アカウントは、おそらく定期的に昇格（elevated）された資格情報を使用しています。これには、日常的に使用しているPCへログインし、重要なアプリケーションや、いわゆる軽微なプログラム（たとえば Web ブラウザやメール）を使うことが含まれます。ほかのリスクとしては、アカウントの共有や、複数のアカウント間で共通のパスワードを使っていることなども挙げられます。

この記事では、特権アカウントの権限昇格を防ぐための 3 ステップのガイドを紹介します。

ステップ1：IT はリスクになり得ることを認める

従業員がすでに標準アカウントを使用している場合、管理者アカウントはおそらくドメイン内で最大の脆弱性になり得ます。どれだけ勤勉で、賢く、意識が高いかは関係ありません。感染したワークステーションでドメイン管理者の資格情報を使用する、といった一度のミスが致命的になることがあります。IT が使うアカウントは「王国の鍵」です。攻撃者にとって最優先の標的になります。

このリスクを軽減するのは、3つのルールに従えば簡単です。

1. 環境はすでに侵害されているものとして想定してください。導入するソリューションは、さらなる侵害を防ぐために強化（ハードニング）する必要があります。
2. ドメイン管理者（または広範な委任権限を持つユーザー）は、対話的に使用する機会を極力少なくしてください。
3. 見えにくい管理者に注意してください。これには次のものが含まれます：
   • ワークステーションおよびサーバー上のローカル管理者アカウント
   • パスワードが弱い、または変更されないままのサービスアカウント
   • 共有された特権昇格アカウント（部門が何を使っているかに注意してください）

これらのルールを知っておくことは役立ちます。防御体制を強化し、特権昇格のゲートウェイを塞ぐための、実際のソリューションが必要です。

ステップ #2：特権アカウントのエスカレーションを防ぐ

Microsoft には、上記に挙げた各ルールに対応するツールがあります。付随する概念も含む最初のツールは Privileged Access Management (PAM) と呼ばれます。 PAM は、Directory Services を安全に委任し、管理するための方法を提供します。PAM の基盤となる技術は AD と Microsoft Identity Manager (MIM) の改善で構成されています。PAM を構成するときは、信頼されたフォレスト（trusted forest）を作成します。MIM がこのフォレストを実装する方法により、当該環境は強化されており、侵害されていないことが知られています。

共通のアカウント／グループ SID により、権限を安全にエスカレーションして、オブジェクトとやり取りできます。この概念は、MDOP ツール Group Policy Management と似ています。MIM は、時間に敏感なセキュリティ グループのメンバーシップを含む基盤となるワークフローを処理します。この方法は極端に聞こえるかもしれませんが、運用・保守は非常に簡単です。また、過去の侵害が新たなセキュリティ層を回避してしまうことを防ぐための、唯一の 100% 実証済みソリューションでもあります。PAM は、前のセクションに記載されている最初のルールに対応します。

2つ目に利用可能なツールは Privileged Access Workstation (PAW) モデルです。PAW は、管理のための“クリーンな”チャネルを提供します。これは、高度に安全で専用の管理用マシンを使用することで実現されます。以下の図では、単一の管理者が業務上の職務を果たすために2つのチャネルを持っています。上側のチャネルは PAW を通じており、専用のユーザー資格情報を使ってディレクトリサービスにアクセスすることだけを許可します。この資格情報へのアクセスは PAM を通じて管理する必要があります。2つ目のチャネルは、Office アプリケーションを扱う場合など、その他の日常業務に使用します。

管理者の物理マシンを PAW チャネルとして指定し、その上で VM を動作させて他の日常業務に使用することで、リソースを節約できます。VM を PAW インフラに組み込むことを選ぶ場合、Microsoft はその正確な順序を指定しています。

PAW の最大のメリットは、AD（Azure AD を含む）管理者において最も大きく実現されます。PAW を導入する際は、攻撃者にとっての究極の“獲物”であるため、まずこれらのアカウントを対象にしてください。アカウントが PAW モデルに移行したら、その他のグローバル サービス管理者も移行する必要があります。PAW を利用すべき非 IT スタッフにも注意してください。Microsoft は、以下の従業員を潜在的なターゲットとして挙げています：

• 機密データ、または事前に予告されたデータ
• 目立つサービス（たとえば会社のソーシャルメディアアカウント）を管理しているスタッフ
• 営業秘密、またはまもなく保護されるデータにアクセスできる作業者

あるアカウントが PAW モデルの恩恵を受けられるかもしれないと考える場合、そこへ移行するのが確実です。

アカウントの権限昇格を防ぐための最終ツールは、私たちの3つ目のルールである「隠れた管理者」も同様に扱います。最も分かりやすい例は、既定のローカル管理者です。 privileged account management のベストプラクティスに従い、そのアカウントは無効化すべきです。多くの組織はこの指針に従っていますが、ローカル管理者のパスワードをドメイン全体で同じ値に設定しています。ワークステーションへのアクセスという観点では、これはドメイン管理者アカウントと同等です。1台の侵害されたマシンが、すべてのマシンを危険にさらします。

Local Administrator Password Solution (LAPS) は、ローカル ユーザー アカウント向けの Microsoft 無料のパスワード 管理ツールです 。安全ではないローカルユーザーのグループ ポリシーのクライアント側拡張（Group Policy Preference）機能を置き換え（かつ強化）たものです。

LAPS は新しい Group Policy Client Side Extension (CSE) を通じて動作します。この CSE は、すべてのワークステーションとサーバーにインストールする必要があります。Active Directory または Group Policy の管理者が、LAPS の管理用テンプレートを通じて最小のパスワード セキュリティ設定を構成します。クライアントでグループ ポリシーが処理されると、LAPS 拡張は次のことを行います：

• AD のマシン アカウント属性を参照して、管理対象のローカル アカウントのパスワード期限切れを確認します
• （パスワードが期限切れの場合）アカウント パスワードを生成して検証します
• そのパスワードを Active Directory のコンピューター アカウント内の機密属性に保存します。新しいパスワードの有効期限日は、別の属性に書き込まれます。
• ローカル ユーザーのパスワードを生成された値に変更します

PAM に従って、ローカル ユーザーのパスワードを読み取る権限は安全に委任できます。パスワード検索用の UI ツールも用意されています。

LAPS はローカル ユーザー向けの洗練された解決策を提供しますが、それでもほかの「隠れた管理者」にも引き続き注意を払う必要があります。取り越し苦労に聞こえないように言うと、常に環境が侵害されている可能性を前提にしてください。過去にその環境が適切に管理されていなかった場合は、特に深刻に捉えるべきです。

ステップ #3：Creeps と Exploits を監視する

侵害されたアカウントが悪用される方法は数多くあります。性質上、特権アカウントは常に「悪用」や「権限昇格」の対象になり得ます。上記の3つのソリューションは多くの攻撃ベクトルを阻止しますが、悪意のある攻撃者は一度成功すれば十分です。

データ収集と分析 は、最初の防衛線であり、最後の防衛線でもあります。Azure または Office 365 のセキュリティや コンプライアンス ツール のようなサービスでは、イベントの集約とアラートが提供されます。これらと同じ手法を、他の重要なサービスにも適用するべきです。特権アカウントによるあらゆるアカウント操作やログオン試行は、監査し、異常がないか見直してください。保護されたグループは グループ メンバーシップの変更 を監視する必要があります。最後に、利便性のための変更は、侵害につながる可能性がないか検証してください。特に、非 IT スタッフが PAW モデルのような追加のセキュリティ サービスに登録されている場合は、この点がより重要です。グループ ポリシー（Group Policy）と Desired State Configuration により、セキュリティ ポリシーの構成と強制が容易になります。

この記事のガイダンスに従うことで、環境は 権限昇格 の脅威に対して免疫性を高められます。すべてのアカウント（IT を含む）に対してこれらのセキュリティ対策を統合し、上記の3つのルールを守り、さらに監視を継続していれば、攻撃の入口となる経路が大幅に小さくなることを確信できます。

無料ツールをお試しください。誰が何に対する権限を持っているかを常に把握できます。 Active Directory とファイル共有で。