・悪意あるWindowsサービスの実行のバックアップ(No.10)

情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）?
MITRE に基づく詳細設定対策?

戦術：悪意あるプログラムの実行 †

MITRE ATT&CK
- T1569.002 System Services: Service Execution

概説 †

Windowsサービスとは、ユーザーインターフェースを持たずにバックグラウンドで常駐して動作するプログラムで、SYSTEM権限で動作するため、最も高い権限を有します。
Windowsが起動した際に自動起動するように設定できるため、悪意あるプログラム（マルウェア）をWindows サービスとしてインストールできれば、最上位の権限での設定実行や永続化が可能となります。
悪意あるWindowsサービスは、キーボード・画面の窃取、C&Cサーバーとの通信、リモート操作などの機能が考えられます。
新しいWindowsサービスをインストールするか、既存のサービスを改ざんすることで実現されますが、Windowsサービスの操作には管理者権限が必要です。

↑

緩和の方針 †

上位のアクセス許可レベルで実行されるサービスが、下位のアクセス許可レベルを持つユーザーによって作成または操作されないようにします。
一般業務端末を操作するユーザーアカウント標準ユーザーとして設定し、ローカル管理者であるビルトインAdministratorsグループのメンバーから除外し、脅威に対してWindowsサービスのインストールを失敗させることで緩和します。

↑

運用やNetworkが変更された場合の影響の有無 †

標準ユーザーアカウントを、ビルトインAdministratorsグループのメンバーにした場合、リスクが非常に高まります。

↑

優先すべき措置 †

標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
CWE-428（引用符で囲まれていないプログラムパス）の脆弱性を排除します。

↑

ユーザー運用管理責任 †

↑

リスクの受容 †

アプリケーションのインストール権限をユーザーに委ねた場合、この手法のリスクが高くなります。対象端末の文書化と監査による検知を強化し緩和します。

↑

啓発・教育 †

すべての端末利用者
- 組織のアプリケーションのインストール規程（評価済みアプリケーション以外をインストールしない等）の理解と遵守を求めます。
- 最新のフィッシングメールの事例、手口の理解を深めます。
ローカル Administrtors メンバー
- アプリケーションをインストールできる権限を持つユーザーに対して、"初期侵入" から "悪意あるプログラムの実行" までの攻撃ベクターで攻撃を阻止しないと、情報窃取、送信、漏洩等のリスクが高まることを理解させます。
- アプリケーションのインストールや保守以外での管理者権限でのインターネット接続、メール受信などのリスクを正しく認識させます。

↑