・Windowsタスクスケジューラ at, schtasks の悪用のバックアップ(No.17)

情報システム開発契約のセキュリティ仕様作成のためのガイドライン
 MITRE ATT＆CKに基づく詳細設定対策

戦術：悪意あるプログラムの実行 †

MITRE ATT&CK
- T1053.002 Scheduled Task/Job: At (Windows)
- T1053.005 Scheduled Task/Job: Scheduled Task

概説 †

at コマンド(Windows 8.1まで）や、schtasks コマンド(windows10) は、予め定めた時刻にプログラムを実行させるOS標準のツールです。これらを使い悪意あるプログラム（マルウェア）を密かに起動することが可能です。
また、schtasks コマンドは、リモートコンピュータに対しても設定が可能なため、AdministratorsのメンバーのID/Passwordが窃取されていた場合、ネットワーク上の他の端末、サーバーに対してタスクの設定が可能です。但し、リモートコンピュータ上のパーソナルファイアーウォールで「ファイルとプリンターの共有」が閉じている場合はリモート設定が不可能になりますので、必要に応じて、パーソナルファイアーウォールの「ファイルとプリンターの共有」を無効にすることも検討してください。同様に、ローカルのAdministratorのID/Passwordが全社共通の場合は、大規模な水平展開が可能となります。この手法の防御については、・Pass the Hash、LAPS (Local Administrator Password Solution) を参照してください。

↑

緩和の方針 †

新たなタスクの登録の検出に努めます。

↑

運用やNetworkが変更された場合の影響の有無 †

アカウントの認証情報が漏洩すると、悪用されるリスクが非常に高くなります。極力、限定された権限のアカウントを利用します。

↑

優先すべき措置 †

検出を優先します。

タスクスケジューラの登録を監査する。詳細は18.9 タスクスケジューラのポリシー設定を参照。
- イベントログ「Microsoft-Windows-TaskScheduler/Operational」で、イベントID 106 [タスクが登録されました] を調査し、文書化された登録タスク以外のタスクを検索する。
認証済みアカウントのコンテキストでタスクを実行するようにスケジュールされたタスクの設定を構成する。

↑

ユーザー運用管理責任 †

↑

リスクの受容 †

ドメインコントローラー、メンバーサーバと特権管理者の端末に対して新たなTaskが追加されているかを監査します。

業務	特権	リスク受容のための条件例
プログラム開発担当者	Local Administrator	ドメインコントローラー、メンバーサーバー、担当者端末のTask Scheduler ログ監査。
Help Desk 担当者	Domain/Local Administrator
システム管理者	Enterprise/Domain/Local Administrator
部門管理者（OUの委任）	OUのパスワードリセット、セキュリティグループ管理、ドメイン参加等
役職者、研究者、秘書	標準ユーザー	Local Administrators に含めない
上記以外の一般業務担当者	標準ユーザー	Local Administrators に含めない