・悪意あるスクリプティングの実行 のバックアップ(No.16)
- バックアップ一覧
- 差分 を表示
- 現在との差分 を表示
- ソース を表示
- ・悪意あるスクリプティングの実行 へ行く。
- 1 (2019-11-10 (日) 13:16:43)
- 2 (2019-11-10 (日) 13:35:16)
- 3 (2019-11-10 (日) 16:13:30)
- 4 (2019-11-12 (火) 15:23:00)
- 5 (2019-11-15 (金) 10:28:34)
- 6 (2019-11-18 (月) 14:20:58)
- 7 (2019-11-20 (水) 13:54:03)
- 8 (2020-02-08 (土) 16:00:29)
- 9 (2020-03-19 (木) 14:44:42)
- 10 (2020-03-24 (火) 13:45:00)
- 11 (2020-03-26 (木) 14:24:07)
- 12 (2020-07-25 (土) 16:25:59)
- 13 (2020-08-12 (水) 11:15:13)
- 14 (2020-08-30 (日) 09:57:41)
- 15 (2020-10-19 (月) 09:13:38)
- 16 (2020-10-20 (火) 14:07:44)
- 17 (2020-10-20 (火) 16:55:21)
情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）?
MITRE ATT＆CKに基づく詳細設定対策
戦術：悪意あるプログラムの実行、永続化、防御の回避 †
- MITRE ATT&CK
概説 †
Windowsの場合は、VBScript、PowerShell、コマンドラインバッチがスクリプティングに該当します。それぞれ、コマンドの実行や条件判断が可能で、複雑な管理処理を容易にするためのOSの標準的なプログラミング機能ともいえます。 脅威の多くは、Word、Excelなどのデスクトップアプリケーションで利用が可能なVisual Basic for Application(VBA)や、VBScriptを初期の侵入に使い、侵入に成功すると、PowerShellやコマンドラインインターフェースを使用して、マルウェア本体のダウンロードや情報の収集、水平展開を図ります。
緩和の方針 †
スクリプトが必要な端末を特定し、電子署名されたスクリプトのみ実行許可とします。もしくはAppLockerによるスクリプト制御を検討します。但し、スクリプトを使ったファームアップデートなどがあることから注意が必要です。
VBAが不要な端末には Office のグループポリシーを設定し、保護されたビューを有効にします。
運用やNetworkが変更された場合の影響の有無 †
- 文書化されていない端末でスクリプトの実行が許可されると、検知が困難になりリスクが高くなります。
- 新たにスクリプトを許可する場合は、必ず文書を改訂し、監査対象とする必要があります。
優先すべき措置 †
- Windowsの場合、VBA、PowerShellに電子署名を実施し、電子署名された Script だけを実行許可します。電子署名証明書は秘密鍵のエクスポートが出来ないように設定します。
- アジャイル開発等で電子証明書の導入、設定が困難な場合は、AppLocker の導入を検討します。
- 端末の特定と文書化、ログ監査を実施します。
ユーザー運用管理責任 †
リスクの受容 †
一般的にスクリプトはOSの標準機能のため、動作を完全に停止することが困難な場合があります。スクリプトを実行する端末、サーバーから重要資産を移動した上で、この脅威を受容し、他の防御方法を検討します。
| 業務 | 特権 | リスク受容のための条件例 |
| プログラム開発担当者 | Local Administrator | スクリプトへの署名。ドメインコントローラー、メンバーサーバー、担当者端末のスクリプト実行のログ監査。 |
| Help Desk 担当者 | Domain/Local Administrator | |
| システム管理者 | Enterprise/Domain/Local Administrator | |
| 部門管理者（OUの委任） | OUのパスワードリセット、セキュリティグループ管理、ドメイン参加等 | |
| VBAを利用する業務担当者 | 標準ユーザー | スクリプトへの署名、担当者端末のスクリプト実行ログの監査。Local Administrators に含めない。 |
| 役職者、研究者、秘書 | 標準ユーザー | Local Administrators に含めない。 |
| 上記以外の一般業務担当者 | 標準ユーザー | Local Administrators に含めない。 |
啓発・教育 †
- 対象：すべての端末利用者
- インターネットからダウンロードした、もしくは、電子メールに添付された Office 文書、PDF は保護されたビューで閲覧するようにし、編集・印刷する際は、信頼できるダウンロード先か、信頼できる送信元かを確認した上で編集・印刷するように理解を求めます。
- 対象：Office VBA利用者
- マクロの実行許可された端末はマルウェア攻撃の可能性が高いことを理解させます。
- マクロファイル利用中の電子メール、Web閲覧のリスクを理解させます。
- 署名が出来ない場合は、通常はマクロの実行を禁止しておき、マクロ付きファイルを開く際にマクロ実行を許可し、処理が終了したら、マクロの実行を禁止するバッチファイルの作成、利用を義務付け、もしくは代替措置を講じます。
利用規定 †
- 管理上、スクリプティングが必要な端末、サーバーの監査規程を整備します。
- 電子署名用証明書の管理規程を整備します。
情報システム設計開発部門・運用部門（ベンダー代行を含む) †
ポリシー †
以下のポリシー設定を検討して下さい。
- ・コマンドラインインターフェースの監査 を参照してください。
- ・L1 OFFICE2016の共通設定 以降を参照してください。
ネットワークデザイン †
攻撃者はメールやWebサイトを通じて、悪意あるスクリプトをダウンロードすることから、重要資産が保存されている端末、サーバーのネットワーク分離と電子メール、Web接続の禁止を検討します。
アクセスコントロール †
以下のアクセスコントロールを検討します。
- PowerShell ・PowerShellの悪用 の設定を検討します。
- Windows Script Hostの制御設定 の設定を検討します。 本設定は、JScript、VBScript のホストエンジンである、Windows Script Host の動作設定を停止もしくは署名されたスクリプトのみ許可にするため、WSHを活用しているシステムの場合、運用に影響を及ぼします。
フィルタリング †
- UTM（悪意あるサイト、コンテンツのブロック）の導入、侵入検知システムの導入を検討します。
仮想端末運用 †
該当しません。
エンドポイント対策 †
アンチウイルスのパターンファイルの日次更新、クイックスキャンの日次実施、完全スキャンの週次実施をします。
Endpoint Detection and Responseの導入を検討します。
受託開発ベンダー管理責任 †
セキュアコーディング †
スクリプトへの署名を実施します。
開発環境管理 †
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
サプライチェーン正常性維持" †
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。