・アカウントの探索のバックアップ(No.7)

情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）?
MITRE ATT&CKによる設定対策（絞り込み済み）?

・アカウントの探索 †

戦術 †

情報の探索

対象OSシステム †

Windows
Office365
AzureAD

必要なアクセス許可 †

User

概説 †

攻撃者はローカルもしくはドメインのアカウントを取得する場合があります。いずれも、OSのコマンドもしくはシェルを利用しアカウントの情報を取得できます。

緩和の方針 †

Windowsの場合、ローカル管理者アカウントが列挙されないようにポリシー設定をします。

運用やNetworkが変更された場合の影響の有無 †

ローカル管理者アカウント列挙のポリシーが有効にされると、攻撃者は容易にローカル管理者のIDを入手でき、クレデンシャルアクセスなどのリスクが増大します。

優先すべき措置 †

ローカル管理者アカウントが列挙されないように設定します。

ユーザー運用管理責任 †

リスクの受容 †

設定しない場合、攻撃者に情報を提供するため、このリスクは受容すべきではありません。

啓発・教育 †

該当なし。

利用規定 †

該当なし。

情報システム設計開発部門・運用部門（ベンダー代行を含む) †

NWデザイン †

該当なし。

ポリシー †

[コンピューターの構成]> [ポリシー]> [管理用テンプレート]> [Windowsコンポーネント]> [資格情報ユーザーインターフェイス]> [昇格時に管理者アカウントを列挙する] を [無効] にします。

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス:Everyone アクセス許可を匿名ユーザーに適用する] を [無効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-let-everyone-permissions-apply-to-anonymous-users

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス:SAMアカウントの匿名列挙を許可しない ] を [有効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM アカウントおよび共有の匿名の列挙を許可しない] を [有効] にします。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-do-not-allow-anonymous-enumeration-of-sam-accounts-and-shares

[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション]>[ネットワークアクセス: SAM へのリモート呼び出しを許可するクライアントを制限する] を [定義する] にチェックし、[セキュリティの編集] で [Domain\Administrators] を指定し、[リモートアクセス] を [許可] します。[セキュリティ記述子]を[O:BAG:BAD:(A;;RC;;;BA)] が設定されることを確認します。
- 潜在的な影響: https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/network-access-restrict-clients-allowed-to-make-remote-sam-calls

アクセスコントロール †

該当なし。

フィルタリング †

該当なし。

ロール運用 †

該当なし。

仮想端末運用 †

該当なし。

エンドポイント対策 †

該当なし。

受託開発ベンダー管理責任 †

セキュアコーディング †

該当なし。

開発環境管理 †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。

サプライチェーン正常性維持" †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。例外はすべて文書化し、適切な監査を実施する。