- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2019-11-12T13:24:45+09:00","","")
[[IPA一般公開用]] [[設定対策]]
* [#w9b3b09a]
#author("2019-11-15T09:54:12+09:00","","")
[[IPAセキュリティPT評価版]]
*・不正なWindowsサービスの追加[#w9b3b09a]
**戦術 [#kdaa9829]
永続性、特権昇格
**対象OS [#idd6f666]
-Windows
**必要なアクセス許可 [#lb845003]
Administrator
SYSTEM
**概説 [#d0c56f8c]
Windowsサービスとは、ユーザーインターフェースを持たずにバックグラウンドで常駐して動作するプログラムです。Windowsが起動した際に自動起動するように設定できるため、悪意あるプログラム（マルウェア）をWindows サービスとしてインストールできれば、マルウェアの実行や永続化が可能となります。 悪意あるWindowsサービスは、キーボード・画面の窃取、C&Cサーバーとの通信、リモート操作などの機能を提供します。
-サービス名を偽装する場合があります。
-サービスの作成は管理者権限ですが、実行はLocalSystem特権となる場合があるため、権限昇格が起こりえます。
**緩和の方針 [#ref4af1e]
一般ユーザーにはWindowsサービスを含むアプリケーションのインストール権限を付与せず制限します。~
権限を有するユーザーの使用端末のサービスを監査します。
**運用やNetworkが変更された場合の影響の有無 [#bec278d6]
ユーザーがローカルの管理者権限を新たに取得した場合、監査が必要です。
**優先すべき措置 [#sb303208]
一般ユーザーにはWindowsサービスを含むアプリケーションのインストール権限を付与せず制限します。
**ユーザー運用管理責任 [#y4f7ffd6]
***リスクの受容 [#mcce61a5]
ユーザーにローカル管理者権限を与えた場合、"初期侵入" から "悪意あるプログラムの実行" までの攻撃ベクターで攻撃を阻止しないと、情報窃取、送信、漏洩等のリスクが高まります。~
***啓発・教育 [#be38aa80]
アプリケーションをインストールできる権限を持つユーザーに対して、"初期侵入" から "悪意あるプログラムの実行" までの攻撃ベクターで攻撃を阻止しないと、情報窃取、送信、漏洩等のリスクが高まることを理解させます。アプリケーションのインストールや保守以外での管理者権限でのインターネット接続、メール受信などのリスクを正しく認識させます。
***利用規定 [#r81e06ce]
システム管理者、ローカル管理者の文書化、監査。
一般ユーザーの権限の明示。
**情報システム設計開発部門・運用部門（ベンダー代行を含む) [#m17ad063]
***NWデザイン [#s2b5e192]
重要な情報資産を有する端末・サーバーのセグメント化、インターネット接続の禁止。
***アクセスコントロール [#y2389548]
-セキュリティコンテキスト
Windowsサービスはログインしているユーザーのセキュリティコンテキストとは異なるセキュリティコンテキストで実行されます。~
ドメインの管理者でないユーザーにアプリケーションをインストールできる権限を与えた場合を考えます。このような場合に、アプリケーションがLocal Systemで動作するサービスをインストールできてしまうと、本来、特権を有しないユーザーが特権を有するアプリケーションを使って、レジストリを変更するなどして永続性の確保や、権限昇格が可能となります。
Windowsサービスのセキュリティコンテキスト
|CENTER|CENTER|c
|セキュリティコンテキスト|与えられる権限|h
|User|システムは、サービスのインストール時に有効なユーザー名とパスワードの指定を要求し、ネットワーク上の 1 人のユーザーによって指定されたアカウントのコンテキストで実行します。|
|LocalService|ローカル コンピューター上で非特権ユーザーとして機能し、リモート サーバーに匿名の資格情報を提示するアカウントのコンテキストで実行します。|
|LocalSystem|広範なローカル特権を提供し、リモート サーバーにコンピューターの資格情報を提示するアカウントのコンテキストで実行します。|
|NetworkService|ローカル コンピューター上で非特権ユーザーとして機能し、リモート サーバーにコンピューターの資格情報を提示するアカウントのコンテキストで実行します。|
システムの特性に合わせて、アプリケーションのインストール権限を付与できるユーザーを限定し、これらのユーザーの端末のサービスを監査する事を検討します。~
***フィルタリング [#x98baf92]
UTM（悪意あるサイト、コンテンツのブロック）、侵入検知システムの導入。
***ロール運用 [#a8233db1]
システム管理者、ローカル管理者の文書化、監査。
***仮想端末運用 [#ac472899]
該当なし
***エンドポイント対策 [#u2014aae]
アンチウイルス、Endpoint Detection and Responseの導入。
**受託開発ベンダー管理責任 [#n87a00cb]
***セキュアコーディング [#v6885f78]
***開発環境管理 [#w0ba2ff4]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
***サプライチェーン正常性維持" [#j1f3010e]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
#br
#br
----
#article
