・アカウントの探索のバックアップ(No.10)

情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）?
MITRE に基づく詳細設定対策?

戦術：情報の探索 †

MITRE ATT&CK
- T1087 Account Discovery

対象OSシステム †

Windows
Office365
AzureAD
AWS
GCP
SaaS

概説 †

攻撃者はローカル、ドメイン、クラウド、電子メールのアカウントを取得する場合があります。いずれも、OSのコマンドもしくはシェルを利用しアカウントの情報を取得できます。

緩和の方針 †

Windowsの場合、ローカル管理者アカウントが列挙されないようにポリシー設定をします。
クラウドの制御に使用するコマンドラインインターフェースがインストールされた端末を特定し、監査を強化します。
- Get-MsolRoleMember などの PowerShell コマンド
- az ad user list などの Azure CLI コマンド

運用やNetworkが変更された場合の影響の有無 †

ローカル管理者アカウント列挙のポリシーが有効にされると、攻撃者は容易にローカル管理者のIDを入手でき、クレデンシャルアクセスなどのリスクが増大します。

優先すべき措置 †

ローカル管理者アカウントが列挙されないように設定します。
スクリプト実行ログの取得

ユーザー運用管理責任 †

リスクの受容 †

設定しない場合、攻撃者に情報を提供するため、このリスクは受容すべきではありません。

啓発・教育 †

該当なし。

利用規定 †

該当なし。

情報システム設計開発部門・運用部門（ベンダー代行を含む) †

NWデザイン †

該当なし。

ポリシー †

[コンピューターの構成]> [ポリシー]> [管理用テンプレート]> [Windowsコンポーネント]> [資格情報ユーザーインターフェイス]> [昇格時に管理者アカウントを列挙する] を [無効] にします。

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス:Everyone アクセス許可を匿名ユーザーに適用する] を [無効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-let-everyone-permissions-apply-to-anonymous-users

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス:SAMアカウントの匿名列挙を許可しない ] を [有効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM アカウントおよび共有の匿名の列挙を許可しない] を [有効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts-and-shares

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM へのリモート呼び出しを許可するクライアントを制限する] を [定義する] にチェックし、[セキュリティの編集] で [Domain\Administrators] を指定し、[リモートアクセス] を [許可] します。[セキュリティ記述子]を[O:BAG:BAD:(A;;RC;;;BA)] が設定されることを確認します。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-restrict-clients-allowed-to-make-remote-sam-calls

アクセスコントロール †

該当なし。

フィルタリング †

該当なし。

ロール運用 †

該当なし。

仮想端末運用 †

該当なし。

エンドポイント対策 †

該当なし。

受託開発ベンダー管理責任 †

セキュアコーディング †

該当なし。

開発環境管理 †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。

サプライチェーン正常性維持" †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。