・アカウントの探索のバックアップ(No.4)

IPAセキュリティPT評価版?

・アカウントの探索 †

戦術 †

情報の探索

対象OS †

Linux
Windows
macOS
Office365
AzureAD

必要なアクセス許可 †

User

概説 †

攻撃者はローカルもしくはドメインのアカウントを取得する場合があります。いずれも、OSのコマンドもしくはシェルを利用しアカウントの情報を取得できます。

緩和の方針 †

Windowsの場合、ローカル管理者アカウントが列挙されないように設定します。

運用やNetworkが変更された場合の影響の有無 †

ローカル管理者アカウント列挙のポリシーが有効にされると、攻撃者は容易にローカル管理者のIDを入手でき、クレデンシャルアクセスなどのリスクが増大します。

優先すべき措置 †

ローカル管理者アカウントが列挙されないように設定します。

ユーザー運用管理責任 †

リスクの受容 †

啓発・教育 †

該当なし。

利用規定 †

情報システム設計開発部門・運用部門（ベンダー代行を含む) †

NWデザイン †

該当なし。

ポリシー †

[コンピューターの構成]> [ポリシー]> [管理用テンプレート]> [Windowsコンポーネント]> [資格情報ユーザーインターフェイス]> [昇格時に管理者アカウントを列挙する] を [無効] にする。

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス:SAMアカウントの匿名列挙を許可しない ] を [有効] にする。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM アカウントおよび共有の匿名の列挙を許可しない] を [有効] にする。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts-and-shares

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM へのリモート呼び出しを許可するクライアントを制限する] を [定義する] にチェックし、[セキュリティ記述子]を[O:BAG:BAD:(A;;RC;;;BA)] に設定し、[セキュリティの編集] で [Domain\Administrators] を指定し、[リモートアクセス] を [許可] します。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-restrict-clients-allowed-to-make-remote-sam-calls

アクセスコントロール †

該当なし。

フィルタリング †

該当なし。

ロール運用 †

該当なし。

仮想端末運用 †

該当なし。

エンドポイント対策 †

該当なし。

受託開発ベンダー管理責任 †

セキュアコーディング †

該当なし。

開発環境管理 †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。

サプライチェーン正常性維持" †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。