・PowerShellの悪用
PowerShellスクリプトの実行の無効化 †
- PowerShellを許可するセキュリティグループを作成し、許可のポリシーを適用するOUに所属させます。
- 許可されるOUに対して、以下のポリシーを設定します。
[コンピュータの構成]>[ポリシー]>[管理用テンプレート]>[Windowsコンポーネント]>[Windows PowerShell]>[スクリプトの実行を有効にします] を [有効] に設定し、[オプション]>[実行ポリシー] を [署名済みスクリプトのみ許可する] と設定します。
- リスクの状況に応じて、[ローカル スクリプトおよびリモートの署名済みスクリプトを許可する] の設定を検討します。
- 重要な情報資産でPowerShellを許可する場合は、電子メールの閲覧の有無や、他の攻撃ベクトルからの動線を検討し、設定値を検討してください。
なお、[すべてのスクリプトを許可する] は推奨できません。
PowerShellスクリプトのログ設定 †
- PowerShellのログを有効にします。
[コンピュータの構成]>[ポリシー]>[管理用テンプレート]>[Windowsコンポーネント]>[Windows PowerShell]>[モジュールログを有効にする] を [有効] に設定し、[オプション]>[モジュール名]>[表示] をクリックします。
[モジュール名] の入力画面で、[値] に [Microsoft.PowerShell.*] [Microsoft.WSMan.Management] の2行を入力し、[OK] をクリックします。
