アカウント ロックアウト ポリシー設定のベスト プラクティス
アカウント ロックアウト ポリシーの GPO を作成し、次の場所の “Computer Configuration\Windows Settings\Security Settings\Account Policies\Account Lockout Policy”で、以下のパラメーターを使って編集します。
- アカウント ロックアウトの持続時間：1440 分
- アカウント ロックアウトのしきい値：無効なログオン試行 10 回
- アカウントのロックアウトをリセット：0 分 [アカウントは自動的にロック解除されません]
すべてのアカウント ロックアウトの調査
アカウント ロックアウトを調査するには、その原因を追跡するのに役立つログを取得する必要があります。次の手順を実行してください。
- ログオン イベントの監査を有効にしてください。 Logon Auditing Quick Reference Guide を参照してください。
- Netlogon ログ記録を有効にしてください。 Account Lockout Troubleshooting Quick Reference Guide を参照してください。
- Kerberos のログ記録を有効にしてください。
- Security イベントログファイルと Netlogon ログファイルのデータを分析し、ロックアウトが発生している場所とその理由を特定するのに役立ててください。
- アカウントのロックアウトを発生させているコンピューター上でイベントログを分析し、原因を特定してください。
アカウントロックアウトのよくある原因
- 総当たり攻撃（RDP ポート 3389 がインターネットに開放されていないか確認してください）
- Active Directory のレプリケーション
- キャッシュされたユーザー資格情報を持つプログラム
- 最近変更された、または期限切れのパスワードを持つサービスアカウント
- 無効なパスワードのしきい値が低すぎる
- 複数のコンピューターにログオンするユーザー
- 保存されたユーザー名とパスワードに冗長な資格情報が含まれている
- スケジュール タスク
- 共有ドライブのマッピング
- 切断されたターミナル サーバー セッション
- IIS 経由で Exchange サーバーにアクセスするモバイル デバイス
調査に役立つアカウント ロックアウトおよび管理ツール
Active Directory アカウント ロックアウト ポリシーの概要
アカウント ロックアウト ポリシーは、指定した期間内に指定した回数だけ誤ったパスワードを入力すると、ユーザー アカウントを無効にします。このポリシーにより、攻撃者がユーザーのパスワードを推測することを防ぎ、ネットワークに対する攻撃が成功する可能性を低減できます。ポリシーを設定すると、失敗したドメイン ログオン試行ごとに、その記録がプライマリ ドメイン コントローラー（PDC）に保存されます。しきい値に達すると、PDC がアカウントをロックし、正常にログオンできないようにします。パスワードが管理者によってリセットされるか、または指定した AD アカウント ロックアウトの期間が経過すると、たとえば Windows 7 に再度ログインして正常にアクセスできるようになります。
アカウントのロックアウトを調査する
複数回のログオン失敗の後にアカウントを自動的にロックすることは一般的な手法です。ログオンの失敗は、不正侵入者やマルウェアがあなたのITシステムに侵入しようとしているサインである可能性があるためです。アカウントのロックを解除する前に、誤ったパスワードが繰り返し入力された理由を確認するのが賢明です。そうしないと、機密データへの不正アクセスのリスクが高まります。
トラブルシューティングの最初のステップは、アカウントのロックアウトを引き起こした認証失敗の原因（発生源）を特定することです。このプロセスを支援するように設計された アカウントのロックアウト管理ツール がいくつかあります。
PDC emulator はアカウントのロックアウトを処理する責任を負っているため、トラブルシューティングの手順では最初に確認すべき DC はここになります。Windows Server 2008 R2 以降を運用している場合は、「高度な監査ポリシー」(Advanced Audit Policy) の構成でユーザー アカウント管理の監査を有効化してください。そのうえで、以下のアカウントのロックアウト ポリシーの変更のうち、既にあなたの環境で実施済みのものを特定し、このアカウントのロックアウトに関するベストプラクティスのホワイトペーパーに従って再設定してください。
アカウントのロックアウト イベントは Windows のセキュリティ イベント ログに書き込まれるため、eventID 4740 でフィルタリングしてください。イベントを確認して、影響を受けたアカウントを特定します。イベントの詳細には、アカウントのロックアウトが発生したコンピューターに関する情報が含まれます。Windows 7 のアカウント ロックアウト ソフトウェアでも同様のことができます。
次に、対象のアカウントがロックアウトされた Windows 7 または別のマシンに移動し、そのセキュリティ、アプリケーション、およびシステムのログに異常がないか確認します。対象のマシンが Exchange サーバーであれば、ロックアウトの原因となっている外部 IP アドレスを特定するために、その IIS ログを確認してください。RDP ポートがインターネットに公開されている場合はブロックし、その後、将来のアカウント ロックアウトが発生していないか再度確認してください。
共有する