AD セキュリティのための Group Policy ベストプラクティス

グループポリシーは、組織がIT環境全体でさまざまな活動を制御できるようにします。たとえば、USBドライブの使用を防止したり、システムが起動またはシャットダウンするときに特定のスクリプトを実行したり、ソフトウェアを展開したり、ネットワーク内のすべてのActive Directoryユーザーに特定のホームページを開くよう強制したりできます。

このガイドでは、一般的なグループポリシーのベストプラクティスと特定の設定に関する推奨事項を提供します。また、グループポリシーオブジェクト（GPO）の問題のトラブルシューティングに関するガイダンスも提供します。

一般的なグループポリシーのベストプラクティス

ユーザーとコンピュータのために別々の組織単位（OU）を設立します。

良好なOU構造を持つことで、グループポリシーの適用とトラブルシューティングが容易になります。特に、Active Directoryのユーザーとコンピューターを別々のOUに配置することで、すべてのコンピューターにコンピューターポリシーを適用し、すべてのユーザーにユーザーポリシーを適用することが容易になります。

Active DirectoryのルートユーザーおよびコンピューターフォルダーはOUではありません。これらのフォルダーに新しいユーザーまたはコンピューターオブジェクトが表示された場合は、直ちに適切なOUに移動してください。

詳細な制御のためにネストされたOUを使用します

特定のユーザーまたはグループに権限を委任するには、それらのオブジェクトを適切なネストされたOU（サブOU）に配置し、GPOをそれにリンクします。たとえば、ユーザーOU内で各部門のサブOUを作成し、それらのサブOUにGPOをリンクすることができます。

明確な命名ポリシーを施行する

GPOが何をするかを名前だけで判断できるようになると、グループポリシーの管理がはるかに簡単になります。たとえば、次の接頭辞を使用できます:

• U ユーザーに関連するGPO、例えばU_SoftwareRestrictionPolicy
• C コンピュータアカウントに関連するGPO、例えばC_DesktopSettingsのための

GPOにコメントを追加

各GPOにその目的と設定を説明するコメントを追加してください。これにより、グループポリシーがより透明になり、維持管理が容易になります。

GPOの優先順位を理解する

複数のGPOが同時に同じActive Directoryオブジェクトに適用されることがあります。これらは特定の順序で適用され、新しい設定は以前に適用されたGPOによって設定されたものを上書きします。この順序はLSDOUを意味します:

• ローカル: ローカルコンピューターレベルで適用されたグループポリシー設定は、最も低い優先順位を持っています。
• サイト: アクティブ ディレクトリ サイトの設定が次に適用されます。
• ドメイン: 次に、ドメイン内のすべてのOUに影響を与えるグループポリシー設定があります。
• OU: 最後に適用されたのはOUレベルのGPO設定です。

特定の使用ケースのために小さなGPOを作成します

各GPOを特定の目的に合わせて調整することで、管理が容易になり、継承を理解しやすくなります。ここにいくつかの厳密に焦点を絞ったGPOの例があります:

• ブラウザ設定
• セキュリティ設定
• ソフトウェアインストール設定
• AppLocker 設定
• ネットワーク設定
• ドライブマッピング

ただし、多くの小さなGPOを読み込むには、設定が多い少数のGPOを使用するよりも、ログオン時により多くの時間と処理が必要になる可能性があることに注意してください。

ドメインレベルではなくOUレベルでGPOを設定します。

ドメインレベルで設定されたGPOは、ドメイン内のすべてのActive Directoryオブジェクトに適用され、これにより不適切なユーザーやコンピュータに設定が適用される可能性があります。ドメインレベルで設定すべき唯一のGPOは、デフォルトドメインポリシーです。

代わりに、OUレベルでGPOを適用してください。サブOUは親OUに適用されたポリシーを継承します。各サブOUにポリシーをリンクする必要はありません。設定を継承したくないユーザーやコンピュータがいる場合は、独自のOUに配置してください。

ポリシーの継承とポリシーの適用をブロックしないでください

ポリシーの継承をブロックし、ポリシーの適用を行うことは、GPOの管理とトラブルシューティングをはるかに難しくします。代わりに、これらの設定が不要になるような、よく設計されたOU構造を目指してください。

GPOを無効にする代わりに、そのリンクを削除してください

GPOを無効にすると、ドメイン内の任意のOUに適用されなくなり、問題が発生する可能性があります。したがって、GPOが適用されないようにしたい特定のOUにリンクされている場合は、GPOを無効にするのではなく、リンクを削除してください。リンクを削除してもGPOは削除されません。

グループポリシーで「拒否」権限を使用しないでください

管理者は、特定の GPO から除外される能力をユーザーまたはグループに明示的に拒否できます。この機能は特定のシナリオで役立つ場合がありますが、特定のオブジェクトに GPO が適用されていないことが明確でないため、意図しない結果を招く可能性があります。どのユーザーまたはグループがブロックされているかを確認するには、管理者は各 GPO を個別に調べる必要があります。

グループポリシーの変更管理と変更監査を実装する

GPOの変更は、セキュリティ、生産性、コンプライアンスなどに深刻な影響を与える可能性があります。したがって、すべての変更は計画され、完全に文書化されるべきです。さらに、グループポリシーへのすべての変更を追跡し、重要な変更について警告を受ける必要があります。残念ながら、これらの目標はネイティブツールでは達成が難しいです: セキュリティログは、どの設定が変更されたかの記録を提供せず、警告を受け取るにはPowerShellスクリプティングが必要です。より包括的で便利なアプローチのために、Active Directory用のNetwrix Auditor.

グループポリシーの変更を追跡する方法について詳しくは、グループポリシー監査クイックリファレンスガイドを参照してください。

未使用のコンピュータおよびユーザー構成を無効にすることでGPO処理を高速化します。

コンピューター設定はあるがユーザー設定がないGPOがある場合、そのGPOのユーザー構成を無効にしてGPO処理時間を短縮する必要があります。

さらに、起動およびログオン時間が遅くなる可能性のある以下の追加要因に注意してください:

• ログインスクリプトが大きなファイルをダウンロードしています
• 大きなファイルをダウンロードするスタートアップスクリプト
• 遠くのホームドライブのマッピング
• グループポリシーの設定を通じて大規模なプリンタードライバーを展開
• Active Directory グループメンバーシップによるグループポリシーフィルタリングの過剰使用
• GPOを介して適用されたユーザー個人フォルダー
• Windows Management Instrumentation (WMI) フィルターの使用 (次のセクションを参照)

WMIフィルターをたくさん使用しないでください

WMIには、ほぼすべてのユーザーおよびコンピューター設定を説明できる多数のクラスが含まれています。ただし、多くのWMIフィルターを使用すると、ユーザーログインが遅くなり、悪いユーザーエクスペリエンスにつながります。可能な場合は、セキュリティフィルターを使用してください。これらはリソースを少なくて済みます。

特定の使用ケースに対してループバック処理を使用します

ループバック処理は、GPOが適用されるコンピュータにユーザー設定を制限します。ループバック処理の一般的な使用例は、ユーザーが特定のターミナルサーバーにのみログインする際に特定の設定を適用する必要がある場合です。GPOを作成し、ループバック処理を有効にし、サーバーがあるOUにGPOを適用する必要があります。

高度なグループポリシー管理（AGPM）を使用

AGPMは、バージョン管理と変更追跡機能を備えたGPO編集を提供します。これは、ソフトウェアアシュアランスのためのMicrosoft Desktop Optimization Pack (MDOP)の一部です。

GPOをバックアップする

高度なGPOのベストプラクティスの一環として、常にGPOがバージョン管理され、復元可能であることを確認してください。

Power Shell スクリプトまたはサードパーティのソリューションを使用して、ポリシーの毎日または毎週のバックアップを構成し、常に既知の良好な状態に復元できるようにします。

設定管理のためのGPOベストプラクティス

以下のベストプラクティスは、GPOを構成して強力なセキュリティと生産性を確保するのに役立ちます。

デフォルトドメインポリシーまたはデフォルトドメインコントローラーポリシーを変更しないでください

デフォルトのドメインポリシーは、ドメイン内のすべてのユーザーとコンピュータに影響を与えるため、アカウント、アカウントロック、パスワード、およびKerberosポリシー設定にのみ使用する必要があります。

ユーザー権限割り当てポリシーと監査ポリシーについては、デフォルトのドメインコントローラーポリシーを使用してください。

しかし、上記のポリシーについても別々のGPOを使用する方がさらに良いです。

コントロールパネルへのアクセスを制限する

Windows マシンのコントロール パネルへのアクセスを制限することが重要です。コントロール パネルへのすべてのアクセスをブロックするか、次のポリシーを使用して特定のユーザーへの制限付きアクセスを許可できます:

• 指定されたコントロールパネル項目を非表示にする
• コントロールパネルとPC設定へのアクセスを禁止する
• 指定されたコントロールパネル項目のみを表示

リムーバブルメディアを許可しないでください

リムーバブルメディアは危険な場合があります。誰かが感染したドライブをあなたのシステムに接続すると、ネットワークにマルウェアが広がります。さらに、これらのドライブはデータの流出経路となります。

「リムーバブルデバイスのインストールを防止する」ポリシーを使用して、リムーバブルドライブの使用を無効にできます。また、DVD、CD、さらにはフロッピードライブの使用も無効にできますが、これらはリスクが少ないです。

システムでの自動ドライバー更新を無効にする

ドライバーの更新は、Windowsユーザーに深刻な問題を引き起こす可能性があります。Windowsエラー、パフォーマンスの低下、または恐ろしいブルースクリーン（BSOD）を引き起こす可能性があります。通常のユーザーは、自動機能であるため、更新をオフにすることはできません。

管理者として、「Windows Update デバイス ドライバー検索をオフにする」グループ ポリシーを使用して、自動ドライバー更新を無効にできます。デバイスのハードウェア ID が必要で、デバイス マネージャーで見つけることができます。

コマンドプロンプトへのアクセスを制限する

コマンドプロンプトはシステム管理者にとって非常に便利ですが、ユーザーがコマンドを実行できるようにするとネットワークに悪影響を及ぼす可能性があります。したがって、通常のユーザーには無効にするのが最善です。これは「コマンドプロンプトへのアクセスを防止する」ポリシーを使用することで実行できます。

強制再起動をオフにする

ユーザーが退社時にコンピュータの電源を切らず、Windows Updateによって強制的に再起動されると、保存されていないファイルを失う可能性があります。グループポリシーを使用して、これらの強制再起動を無効にすることができます。

ユーザーがソフトウェアをインストールできないようにする

ユーザーが自分のコンピュータにソフトウェアをインストールできないようにすることで、多くの問題を防ぐことができます。AppLockerおよびソフトウェア制限設定を変更し、「.exe」などの拡張子が実行されないようにすることで、ソフトウェアのインストールを防ぐことができます。

NTLM認証を無効にする

NTLM認証プロトコルには多くの脆弱性があり、弱い暗号化が含まれているため、攻撃に非常に脆弱です。グループポリシーを使用して、ネットワーク内のNTLM認証を無効にし、現代のKerberosプロトコルのみを使用できます。ただし、最初にNTLM認証を必要とするアプリケーションがないことを確認してください。

ローカルでPowerShellをブロックする

PowerShellは一般的にビジネスユーザーには必要なく、使用を制限することで悪意のあるスクリプトの実行を防ぐのに役立ちます。グループポリシーを使用して、ドメインに参加しているコンピューターでPowerShellの使用をブロックできます。

PowerShellを使用する必要がある管理者は、ポリシーから除外できます。あるいは、より良いセキュリティのために、指定されたマシンでのみPowerShellスクリプトを実行するように要求することもできます。

ドメインコンピュータでゲストアカウントを無効にします

ゲストアカウントは通常、通常のユーザーアカウントに比べてアクセスと機能が制限されていますが、それでも重要なセキュリティリスクをもたらします。グループポリシーを使用してこれらを無効にすることで、悪意のあるユーザーが環境にアクセスするのを防ぐことができます。

ローカル管理者グループのメンバーシップを制限する

ローカル管理者グループのメンバーは、ソフトウェアをインストールしたり、システムファイルを削除したり、セキュリティ設定を変更したりすることができます。この昇格されたアクセスは、マルウェア感染、偶発的なデータ損失、意図的なデータ抽出、システムの不安定性やパフォーマンスの問題のリスクを高めます。

グループポリシーを使用すると、すべてのコンピューターのローカル管理者グループから不要なアカウントを削除できます。

ローカル管理者アカウントの名前を変更する

ローカル管理者アカウントは、マシン上で特権アクセスを提供するため、攻撃者の主要なターゲットです。リスクを減らすために、ローカル管理者アカウントの名前を変更することがベストプラクティスです。さらに、絶対に必要な場合にのみそのアカウントを使用し、日常的な作業には制限された権限を持つ他の管理アカウントを使用してください。

名前付きパイプとネットワーク共有への匿名アクセスを制限する

デフォルトでは、名前付きパイプと共有は匿名でアクセスでき、悪意のある行為者が機密ファイル、システム情報、ネットワークセキュリティ設定などの敏感なデータにアクセスできる可能性があります。したがって、ネットワーク全体で名前付きパイプと共有への匿名アクセスの制限を強制するために、グループポリシーを使用することがベストプラクティスです。

現在のパスワードのベストプラクティスを強制する

NISTのような標準機関は、パスワードベースの攻撃や資格情報の再利用からのリスクを軽減するためのパスワードポリシー設定に関するガイドラインを提供しています。これらの推奨事項を環境に適用するには、グループポリシーを使用できます。

パスワードの長さ、複雑さ、パスワードの有効期限などの要素に対する厳格な要件が理論的にはセキュリティを高める一方で、実際には常にそうなるわけではありません。むしろ、そのようなポリシーは、アカウントのロックアウトを避けるためにパスワードを書き留めるなどの安全でない回避策をユーザーに採用させる可能性があります。

強力なパスワードポリシーの完全な利点を得るには、Netwrix Password Secureのようなツールを導入することを検討してください。これにより、ユーザーの資格情報を自動的に作成、保存、入力できます。これにより、パスワードを長くし、特殊文字を含め、頻繁に変更することを要求することでセキュリティを向上させることができます。

匿名SID列挙を無効にする

匿名SID列挙が有効になっていると、攻撃者はサイバー攻撃の計画と実行に役立つユーザーアカウントやグループに関する情報を収集できます。このレジストリ設定を変更することで、匿名SID列挙を無効にできます:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

変更を加える前にレジストリをバックアップし、レジストリ設定を編集する際には注意してください。変更は知識があり、権限のある担当者のみが行うべきです。

ユーザーがWindows Defenderをオフにできないようにします

すべてのWindowsシステムで組み込みのウイルス対策およびマルウェア保護がアクティブな状態であることを確認する必要があります。グループポリシーエディターで次のパスに移動してください:

コンピュータの構成 > 管理用テンプレート > Windowsコンポーネント > Windows Defender Antivirus

グループ ポリシー設定「Windows Defender Antivirus をオフにする」を次のように構成します。無効.

Netwrix エンドポイントポリシーマネージャーがどのように役立つか

グループポリシーは、Windows環境内での詳細な設定管理のための効果的なツールです。しかし、グループポリシーオブジェクト（GPO）の増加、合併、買収、売却による組織の変化、変動するスタッフレベル、新しいエンティティの形成などの課題により、その管理はますます複雑になっています。Netwrixエンドポイントポリシーマネージャーは、GPOの拡散を減らし、複数のGPOを少数のエンティティに統合することによって管理プロセスを簡素化することで、これらの課題に対処します。この統合により、ログイン時間の改善、セキュリティの強化、システムの信頼性の向上、構成エラーの削減が実現されます。Netwrixエンドポイントポリシーマネージャーは、管理者がOMA-URIの追加の複雑さなしにMicrosoft Intuneにほぼ100%のグループポリシー設定を展開できるようにします。

グループポリシートラブルシューティングのヒント

以下のトラブルシューティングのヒントは、グループポリシーの問題を調査するのに役立ちます。

• Windows 10およびWindows Server 2016では、gpresultコマンドを使用して、リモートユーザーとコンピューターのグループポリシー情報を表示し、GPOを処理するのにかかる時間を含めます。
• イベント ビューアでグループ ポリシー関連のエラーまたは警告を確認してください。
• グループ ポリシー結果ツールを使用して、特定のユーザーまたはコンピューターに適用されているポリシーと適用されていないポリシーを確認します。
• グループ ポリシー モデリング ツールを使用して、特定のユーザーまたはコンピューターに対するグループ ポリシーの適用をシミュレートし、問題を特定します。
• 影響を受けたユーザーまたはコンピューターがActive Directoryの正しいOUにあることを確認し、グループポリシーが正しいOUにリンクされていることを確認してください。
• 望ましい設定を上書きしている可能性のある競合するGPOを確認するには、結果ポリシーセット（RSoP）ツールを使用してください。
• グループ ポリシー管理コンソールを使用して、ユーザーまたはコンピューターが GPO 設定を適用するために必要な権限を持っているかどうかを確認します。
• ユーザーまたはコンピュータがグループポリシー設定を受信できない原因となっているネットワーク接続の問題を確認してください。
• グループポリシー設定が正しく構成されているか確認してください。
• グループ ポリシーの設定に関する問題がある場合は、グループ ポリシーのトラブルシューティング拡張機能を使用してください。
• すべてが失敗した場合は、影響を受けたユーザーまたはコンピュータのグループポリシー設定をリセットすることを検討してください。"gpupdate /force"コマンドを実行するか、グループポリシー管理コンソールの"グループポリシー設定のリセット"オプションを使用します。

Group Policy は、Windows 環境の構成、保護、ガバナンス（統制）における中心となる仕組みです。うまく機能していれば、手作業による介入なしに、数百台または数千台のマシンへ一貫した設定を適用できます。

構造が不十分だったり、管理（ガバナンス）が放置されていたりすると、誤って設定された GPO 1つだけで、ドメイン内のすべてのユーザーに意図しない設定が適用されてしまうことがあります。さらに、標準の監査ログでは重要な詳細が抜け落ちがちです。具体的に何が変更されたのか、誰が変更したのか、そしていつ変更されたのか、という点です。

時間が経つにつれて、GPO の数が増え続け（スプロールが進み）、継承関係の追跡が難しくなり、紙の上にあるだけの変更管理プロセスが技術的には実行されないままになります。管理者アクセスを制限したりレガシープロトコルを無効化したりすべきセキュリティ設定が未設定のまま放置されることも多く、原因として特定のポリシーの所有者（責任者）が不明確である場合がよくあります。

このガイドでは、その問題の両面を扱います。GPO を整理し、管理しやすい状態に保つための構造面のベストプラクティスと、ドメイン参加環境全体でリスクを低減するための具体的なセキュリティ設定です。

グループポリシーとは？

グループポリシー（Group Policy）は、Windows Active Directory の機能であり、管理者がドメイン内のユーザーやコンピューター全体にわたって構成設定を定義し、適用（強制）できるようにします。設定はグループポリシーオブジェクト（Group Policy Objects、GPO）に保存され、組織単位（OUs）、サイト（sites）、またはドメイン自体に関連付けられます。

ユーザーがログインするか、コンピューターが起動すると、関連する GPO が定められた順序で適用され、含まれている設定が強制されます。GPO は、パスワード要件やソフトウェアの制限から、起動スクリプトやデスクトップの構成まで、あらゆるものを制御できます。

グループ ポリシーが重要なのはなぜですか？

グループ ポリシーは、Windows 環境における主要なセキュリティおよび構成強制のメカニズムの 1 つです。その重要性は、次の 5 つの領域に及びます。

• 集中管理による構成制御： GPO は、1 つの拠点から数百台または数千台のコンピューターにわたって一貫した設定を強制することで、端末を個別に管理する際に発生する構成のドリフトを解消します。
• セキュリティ ポリシーの強制： グループ ポリシーは、取り外し可能なメディアを制限すること、NTLM を無効にすること、パスワード ポリシー を強制すること、および管理者アクセスを制御することを含め、Windows 環境全体でセキュリティ基準を強制するための主要なメカニズムです。
• コンプライアンスの証拠： NIST、CIS、PCI DSS など、多くのフレームワークでは、セキュリティ制御を実際に適用していることを実証できることが求められます。GPO は施行（enforcement）レイヤーを作成します。さらに GPO の変更を監査することで、監査担当者が必要とする証拠の記録（証跡）が生成されます。
• 攻撃対象領域の縮小： 正しく構成された GPO は、ドメイン参加済みのマシン上でユーザーやプロセスが実行できることを制限し、横方向への移動（lateral movement）のための経路を減らします。権限昇格 やマルウェアの実行も抑制します。
• 運用効率： 管理者は、個々のマシンに触れることなく、ソフトウェアの展開、ドライブの割り当て、プリンターの設定、起動スクリプトの管理を大規模に行えます。

グループポリシーの一般的なベストプラクティス

次の実践は、GPO の構造、継承、変更管理（change control）、および処理パフォーマンスに対応します。

ユーザーとコンピューターには別々の組織単位（OU）を作成します

適切な OU 構成により、グループ ポリシーの適用やトラブルシューティングが容易になります。特に、Active Directory のユーザーとコンピューターを別々の OU に配置すると、すべてのコンピューターに対してコンピューター ポリシーを適用し、すべてのユーザーに対してユーザー ポリシーを適用しやすくなります。

Active Directory の Users および Computers のルート フォルダーは OU ではありません。これらのフォルダーに新しいユーザーまたはコンピューター オブジェクトが作成された場合は、すぐに適切な OU に移動してください。

きめ細かな制御のためにネストされた組織単位（OU）を使用します

特定のユーザーまたはグループに権限を委任するには、対象のオブジェクトを適切なネストされた OU（subOU）に配置し、GPO をそれにリンクします。たとえば Users OU の中で、部門ごとに subOU を作成し、それらの subOU に GPO をリンクできます。

明確な命名ポリシーを適用する

GPO の名前を見ただけで、その GPO が何をするのかを判断できれば Group Policy administration がより簡単になります。たとえば、次の接頭辞を使うことができます:

• U：ユーザーに関連する GPO（例：U_SoftwareRestrictionPolicy）
• C：コンピューター アカウントに関連する GPO（例：C_DesktopSettings）

GPO にコメントを追加する

各 GPO に、その目的と設定内容を説明するコメントを追加してください。これにより、グループ ポリシーがより明確になり、管理もしやすくなります。

GPO の優先順位を理解する

複数の GPO を同じ Active Directory オブジェクトに同時に適用できます。それらは特定の順序で適用され、新しい設定は、先に適用された GPO によって設定された内容を置き換えます。

この順序は LSDOU と呼ばれ、次の略語です:

• ローカル: ローカル コンピューター レベルで適用されるグループ ポリシーの設定は、最も優先順位が低くなります。
• サイト： 次に、Active Directory サイトの設定が適用されます。
• ドメイン： 次に、ドメイン内のすべての OU に影響するグループ ポリシーの設定が適用されます。
• OU： 最後に、OU レベルの GPO 設定が適用されます。

特定の用途に合わせて、より小さな GPO を作成する

各 GPO を特定の目的に合わせることで、管理がしやすくなり、継承（inheritance）を理解しやすくなります。以下に、目的が明確に絞られた GPO の例をいくつか示します：

• ブラウザの設定
• セキュリティ設定
• ソフトウェアのインストール設定
• AppLocker の設定
• ネットワークの設定
• ドライブのマッピング

多数の小さな GPO を読み込む場合、各 GPO がより多くの設定をカバーする少数の GPO を用意する場合に比べて、ログオン時により多くの時間と処理が必要になることがあります。

ドメイン レベルではなく OU レベルで GPO を設定します

ドメイン レベルで設定されたすべての GPO は、そのドメイン内のすべての Active Directory オブジェクトに適用されます。その結果、一部の設定が不適切なユーザーやコンピューターに適用されてしまう可能性があります。ドメイン レベルで設定すべき唯一の GPO は Default Domain Policy です。

その代わりに、OU レベルで GPO を適用します。サブ OU は親 OU に適用されたポリシーを継承します。そのため、すべてのサブ OU にポリシーを個別にアタッチする必要はありません。設定を継承させたくないユーザーやコンピューターがある場合は、それらを専用の OU に配置してください。

ポリシーの継承とポリシーの強制をブロックしないようにしましょう

ポリシーの継承と適用をブロックすると、GPO の管理やトラブルシューティングが非常に複雑になります。その代わりに、これらの設定が不要になるような、適切に設計された OU 構造を目指してください。

GPO を無効化するのではなく、そのリンクを削除します

GPO を無効化すると、ドメイン内のどの OU にもその GPO が適用されなくなり、問題につながる可能性があります。したがって、適用したくない特定の OU に GPO がリンクされている場合は、GPO を無効化するのではなく、リンクを削除してください。リンクを削除しても GPO 自体は削除されません。

グループ ポリシーで 'deny' 権限を使用するのは避けてください

管理者は、特定の GPO がユーザーまたはグループに対して有効にならないように、明示的に拒否できます。 この機能は特定のシナリオでは役立つことがありますが、GPO が特定のオブジェクトに適用されていないことが分かりにくいため、意図しない結果につながりやすくなります。ブロックされたユーザーまたはグループを特定するには、管理者が各 GPO を個別に確認する必要があります。

Group Policy の変更管理と変更監査を実装する

GPO の変更は、セキュリティ、生産性、コンプライアンスなどに大きな影響を与える可能性があります。 そのため、すべての変更は計画し、十分に文書化する必要があります。 さらに、すべての Group Policy の変更を監視し、重要な変更については通知を受け取るようにしてください。

どちらの目的もネイティブ ツールだけでは難しいです。セキュリティ ログでは、どの設定が正確に変更されたかを記録できません。また、アラートを取得するには PowerShell のスクリプト作成が必要になります。

未使用のコンピューターおよびユーザー設定を無効にして、GPO の処理を高速化します

コンピューター設定はあるもののユーザー設定がない GPO がある場合は、GPO の処理時間を短縮するために、その GPO でユーザー構成（User Configuration）を無効にしてください。

また、起動やログイン時間が遅くなる原因となり得る次の追加要因にも注意してください:

• 大きなファイルをダウンロードするログイン スクリプト
• 大きなファイルをダウンロードするスタートアップ スクリプト
• 遠くにあるホーム ユニットをマッピングする
• グループ ポリシーの優先設定を使用して大規模なプリンター ドライバーを配布する
• Active Directory のグループ メンバーシップに基づくグループ ポリシー フィルタリングを過剰に使用する
• GPO を介して適用されるユーザー個人フォルダー
• Windows Management Instrumentation (WMI) フィルターを使用する（次のセクションを参照）

WMI フィルターを多用しないでください

WMI には、ほぼあらゆるユーザーやコンピューターの設定を記述できる膨大な数のクラスが含まれています。ですが、多数の WMI フィルターを使用すると、ユーザーのアクセスが遅くなり、ユーザー体験が悪化します。可能な限り、必要なリソースが少ないため、代わりにセキュリティ フィルターを使用してください。

特定の利用ケースではループバック処理を使用する

ループバック処理（Processing loopback）では、ユーザーの設定が GPO が適用されるコンピューターに限定されます。ループバック処理の一般的な用途は、ユーザーが特定のターミナル サーバーにのみアクセスする場合に、特定の設定が必要になるケースです。GPO を作成し、ループバック処理を有効にして、サーバーを含む OU に GPO を適用する必要があります。

高度なグループ ポリシー管理（Advanced Group Policy Management：AGPM）を使用する

AGPM は、バージョニングと変更追跡機能付きの GPO 編集を提供します。これは、Software Assurance のための Microsoft Desktop Optimization Pack (MDOP) の一部です。

GPO をバックアップする

高度な GPO のベストプラクティスの一環として、常に GPO がバージョン管理され、復元可能であることを確認してください。PowerShell スクリプトまたはサードパーティ製のソリューションを使用して、ポリシーを毎日または毎週バックアップするように設定します。これにより、いつでも既知で安全な状態に復元できます。

設定を管理するための GPO ベストプラクティス

次のベストプラクティスは、GPO を設定して強固なセキュリティと生産性を確保するのに役立ちます。

Default Domain Policy または Default Domain Controller Policy を変更しないでください

Default Domain Policy はドメイン内のすべてのユーザーとコンピューターに影響するため、アカウント、アカウント ロックアウト、パスワード、Kerberos のポリシー設定にのみ使用してください。

Default Domain Controller Policy は、User Rights Assignment Policy と Audit Policy にのみ使用してください。上記に挙げたポリシーごとに別々の GPO を使用するほうがさらに望ましいです。

コントロール パネル（Control Panel）へのアクセスを制限する

Windows マシンでコントロール パネルへのアクセスを制限すると、無許可の構成変更のリスクが低減されます。次のポリシーを使用して、すべてのアクセスをブロックすることも、特定のユーザーに対してのみ限定的なアクセスを許可することもできます:

• 指定したコントロール パネル項目を非表示にする
• コントロール パネルと PC 設定へのアクセスを禁止する
• 指定したコントロール パネル項目のみ表示する

リムーバブル メディアを許可しない

リムーバブルメディアには、2つのリスクがあります。誰かが侵害されたドライブを接続した場合にマルウェア感染が起きること、そして不正な転送を通じてデータが流出することです。"Prevent installation of removable devices" ポリシーを使用すると、リムーバブルドライブの使用を無効にできます。必要に応じて、DVD、CD、フロッピードライブの使用も無効にできますが、これらはリスクが比較的低くなります。

システムで自動ドライバー更新を無効にする

ドライバーの更新は、Windows ユーザーに深刻な問題を引き起こす可能性があります。Windows のエラー、パフォーマンスの低下、さらには恐ろしいブルースクリーン（Blue Screen of Death：BSOD）まで発生することがあります。一般ユーザーは自動機能のため更新を無効化できません。

管理者として、グループ ポリシー "Turn off Windows Update device driver searching" を使用すれば、自動ドライバー更新を無効にできます。必要になるのはデバイスのハードウェア ID で、これはデバイス マネージャー（Device Manager）で確認できます。

コマンド プロンプトへのアクセスを制限する

コマンド プロンプトは管理者にとって便利ですが、一般ユーザーにコマンドの実行を許可するとリスクが生じます。"Prevent access to the command prompt" ポリシーを使って、通常のユーザーでは無効化してください。

強制再起動を無効にする

ユーザーが退勤時にコンピューターをシャットダウンせず、Windows Update によってデバイスが強制的に再起動されると、保存していないファイルを失う可能性があります。グループ ポリシーを使用して、これらの強制再起動を無効化できます。

ユーザーがソフトウェアをインストールできないようにする

ユーザーによるソフトウェアのインストールを防ぐことは、マルウェア感染、未承認のアプリケーション、構成のドリフトの防止に役立ちます。AppLocker と Software Restriction の設定を調整し、 ".exe" のような拡張子の実行を無効にすることで、ソフトウェアのインストールを阻止できます。より広い観点として ソフトウェアのデプロイ オプション（GPO が SCCM および Intune とどう違うかを含む）については、Netwrix のデプロイ ガイドを参照してください。

NTLM 認証を無効にする

NTLM 認証 プロトコルには、弱い暗号化を含む多数の脆弱性があります。グループ ポリシーを使用して、ネットワーク内で NTLM 認証を無効化し、Kerberos の使用を強制できます。この変更を行う前に、NTLM 認証を必要とするアプリケーションがないことを確認してください。

ローカルで PowerShell をブロックする

企業ユーザーは通常 PowerShell を必要としないため、その使用を制限することで悪意のあるスクリプトの実行を防ぐのに役立ちます。グループ ポリシーを使用すると、ドメインに参加しているコンピューターで PowerShell をブロックできます。PowerShell を使用する必要がある管理者は、ポリシーから除外するか、指定されたマシン上でのみスクリプトを実行するよう求めることができます。

ドメイン参加コンピューターでゲスト アカウントを無効化する

ゲスト アカウントは、通常のユーザー アカウントと比べてアクセス権や機能が制限されていることが多いものの、それでも重大なセキュリティ リスクを引き起こします。グループ ポリシー（Group Policy）で無効化することで、悪意のあるユーザーが環境にアクセスすることを防ぐのに役立ちます。

ローカル管理者グループのメンバーを制限する

ローカル管理者グループのメンバーは、ソフトウェアをインストールしたり、システム ファイルを削除したり、セキュリティ設定を変更したりできます。このような昇格されたアクセス権は、マルウェア感染、偶発的なデータ損失、意図的なデータ外部流出のリスクを高めます。グループ ポリシー（Group Policy）を使用することで、すべてのコンピューターでローカル管理者グループ（Local Administrators）から不要なアカウントを削除できます。このグループを制限することは、 principle of least privilege を環境全体に適用する実践的な方法です。

ローカル Administrator アカウントの名前を変更する

ローカル管理者（Local Administrator）アカウントは、そのマシンへの特権アクセスを提供するため、攻撃者にとって格好の標的です。このリスクを低減するには、ローカル管理者（Local Administrator）アカウントの名前を変更するのがベスト プラクティスです。さらに、そのアカウントはどうしても必要な場合にのみ使用し、日常的な作業には権限が制限された別の管理アカウントを使用してください。

名前付きパイプおよびネットワーク共有への匿名アクセスを制限する

デフォルトでは、名前付きパイプや共有に匿名でアクセスできるため、悪意のある攻撃者が機密ファイル、システム情報、ネットワークのセキュリティ設定などの機微なデータにアクセスできてしまう可能性があります。したがって、ネットワーク全体で名前付きパイプと共有への匿名アクセスを制限するには、Group Policy を使うのがベストプラクティスです。

最新のパスワードのベストプラクティスを適用する

NIST のような標準化団体は、パスワードベースの攻撃や認証情報の使い回しのリスクを低減するためのパスワードポリシー設定に関するガイドラインを提供しています。これらの推奨事項は Group Policy を使って環境に適用できます。

パスワードの長さ、複雑さ、経過期間に対する厳格な要件が、実際の運用で常に意図したセキュリティ効果をもたらすとは限りません。このようなポリシーは、アカウントロックアウトを避けるためにパスワードを書き留めるといった、安全でない回避策をユーザーが取る原因になり得ます。

強力なパスワードポリシーの効果を最大限に得るには、Netwrix Password Secure のようなツールの利用を検討してください。ユーザーの認証情報を自動的に作成、保存、入力できます。これにより、パスワードを長くし、特殊文字を含め、頻繁に変更するなどの要件を課して、セキュリティを向上させることができます。

匿名 SID 列挙を無効化する

匿名 SID 列挙が有効になっている場合、攻撃者は攻撃の計画に役立つユーザー アカウントやグループに関する情報を収集できます。次のレジストリ設定を変更することで無効化できます。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

変更を行う前にレジストリをバックアップしてください。レジストリの変更は、承認を受けて訓練を受けた担当者のみが実施する必要があります。

ユーザーが Windows Defender を無効化できないようにする

すべての Windows システムで、組み込みのウイルス対策およびマルウェア対策保護が有効な状態のままであることを確認してください。グループ ポリシー エディターで、次のパスに移動します:

コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Windows Defender Antivirus

「Windows Defender Antivirus をオフにする」設定を「無効（Disabled）」に構成します。

Netwrix Auditor がグループ ポリシーの変更をどのように監視し、未承認の変更をどのように検知するのかを確認するには、Netwrix の動作をご覧ください。

グループポリシーのトラブルシューティングのヒント

以下のツールと手順は、グループポリシーの適用に関する問題を特定し、解決するのに役立ちます。

• Windows 10 および Windows Server 2016 では、gpresult コマンドを使って、リモート ユーザーとコンピューターに対するグループポリシー情報を表示します。これには、GPO の処理にかかる時間も含まれます。
• イベント ビューアーで、グループポリシーに関連するエラーや警告がないか確認してください。
• グループ ポリシー結果（Group Policy Results）ツールを使用して、特定のユーザーまたはコンピューターにどのポリシーが適用されているか、また適用されていないかを確認します。
• グループ ポリシー モデリング（Group Policy Modeling）ツールを使用して、特定のユーザーまたはコンピューターに対するグループ ポリシーの適用をシミュレーションし、問題がないかを特定します。
• 影響を受けているユーザーまたはコンピューターが Active Directory の正しい OU に含まれていること、またグループ ポリシーが正しい OU にリンクされていることを確認します。
• Resultant Set of Policy（RSoP）ツールを使用して、目的の設定を上書きしてしまう可能性のある競合する GPO がないか確認します。
• グループ ポリシー管理コンソール（Group Policy Management Console）を使用して、ユーザーまたはコンピューターに GPO 設定を適用するために必要な権限があるかどうかを確認します。
• ユーザーまたはコンピューターがグループ ポリシー設定を受信できない原因となっているネットワーク接続の問題がないか確認してください。
• グループ ポリシー設定が正しく構成されているか確認してください。
• グループ ポリシーの基本設定（Group Policy Preferences）の設定に問題がある場合は、グループ ポリシーの基本設定のトラブルシューティング拡張機能を使用してください。
• それでも解決しない場合は、gpupdate /force コマンドを実行するか、グループ ポリシー管理コンソール（Group Policy Management Console）で「Reset Group Policy Settings」オプションを使用して、影響を受けるユーザーまたはコンピューターのグループ ポリシー設定をリセットすることを検討してください。

Netwrix Auditor for Active Directory はどのように役立つか

グループ ポリシー（Group Policy）の変更は、Active Directory 環境において最も重大な変更のひとつです。1つの変更された GPO により、数千人のユーザーやコンピューターに影響が及ぶ可能性があり、ネイティブのセキュリティ ログでは、どの特定の設定が変更されたのかは記録されません。

そこに記録されるのは、GPO オブジェクトが変更されたという事実のみです。このギャップにより、追加のツールがない限り、不正な変更を調査したり、コンプライアンスを立証したりすることがほぼ不可能になります。

Netwrix Auditor for Active Directory は、管理者に対して、すべてのグループ ポリシー（Group Policy）および Active Directory の変更について、検索可能な「変更前／変更後」の可視性を提供します。各変更を誰が行ったのか、どの設定が正確に変更されたのか、そしていつ発生したのかを記録するため、チームは不完全なイベント ログを掘り起こすことなく、調査・ロールバック・レポート作成を行えます。

CIS、NIST、または PCI DSS のもとで GPO の変更管理（change controls）を示す必要があるチーム向けに、Netwrix Auditor はフレームワーク要件に直接対応する、事前に作成されたコンプライアンス レポートを提供します。

デモを依頼 して、Netwrix Auditor for Active Directory が環境全体でグループ ポリシー（Group Policy）の変更をどのように可視化するかをご覧ください。