トップ   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS

・レベル1セキュリティ構成（Windows Server 2016) のバックアップ(No.3)

IPAセキュリティPT評価版?

管理者ポリシー †

ポリシー設定ポリシー値説明
管理特権を持つユーザー管理業務と通常の運用タスクのためにアカウントを分ける特権アカウントを使用してルーチン機能を実行すると、完全な特権が付与されたセッション中に意図せず導入された悪意のあるソフトウェアに対してコンピューターが脆弱になります。
ドメインコントローラーを担当する管理者標準ユーザーアカウントがローカル管理者グループに存在していないこと
メンバーサーバー、ワークステーションの管理者グループに存在しないこと		管理者の職務を持たないアカウントは、管理者権限を持ってはなりません。このような権限により、アカウントはそのマシンに必要なセキュリティ制限をバイパスまたは変更し、攻撃に対して脆弱になります。
ドメインコントローラーのシステム管理者は、必要最小限の権限を持つアカウントのみを使用してシステムにログオンする必要があります。また、メンバーサーバ管理者グループ、ワークステーション管理者グループに属さないようにしてください。
標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
メンバーサーバーを担当する管理者標準ユーザーアカウントがローカル管理者グループに存在していないこと
ドメインコントローラー、ワークステーションの管理者グループに存在しないこと		管理者の職務を持たないアカウントは、管理者権限を持ってはなりません。このような権限により、アカウントはそのマシンに必要なセキュリティ制限をバイパスまたは変更し、攻撃に対して脆弱になります。
メンバーサーバーのシステム管理者は、必要最小限の権限を持つアカウントのみを使用してシステムにログオンする必要があります。また、ドメインコントローラー管理者グループ、ワークステーション管理者グループに属さないようにしてください。
標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
ワークステーションを担当する管理者標準ユーザーアカウントがローカル管理者グループに存在していないこと
ドメインコントローラー、メンバーサーバーの管理者グループに存在しないこと		管理者の職務を持たないアカウントは、管理者権限を持ってはなりません。このような権限により、アカウントはそのマシンに必要なセキュリティ制限をバイパスまたは変更し、攻撃に対して脆弱になります。
ワークステーションのシステム管理者は、必要最小限の権限を持つアカウントのみを使用してシステムにログオンする必要があります。また、ドメインコントローラー管理者グループ、メンバーサーバー管理者グループに属さないようにしてください。
標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
Built-in Administratorアカウントのパスワード変更60日ごとに変更するBuilt-in Administrator はロックアウトされないためブルートフォース攻撃の危険性が存在します。LAPSを導入している場合は30日ごとに変更してください。
管理者アカウントでの禁止事項Webサイトやメールなどのインターネット接続するアプリケーションを使用しないインターネットにアクセスするアプリケーション、または管理者権限を使用して潜在的なインターネットソースを持つアプリケーションを使用すると、システムが危険にさらされます。特権ユーザーとして実行中にアプリケーションの欠陥が悪用されると、システム全体が危険にさらされる可能性があります。Webブラウザーと電子メールは、悪意のあるコードを導入するための一般的な攻撃ベクトルであり、管理者アカウントで実行しないでください。
Backup Operatorsバックアップ業務を実行するための個別のアカウントが必要Backup Operators はシステム内の任意のファイルを読み書きできるため、通常業務のアカウントとは別のアカウントにしてください。
手動で管理されるアプリケーションアカウントのパスワード設定15文字以上、1年に1回は変更する
システム管理者が退職した場合は変更する		可能な限りSPN (サービス プリンシパル名) を使用してください。
共有ユーザーアカウント使用しない共有アカウント（2人以上が同じユーザーIDでログオンするアカウント）では、適切な識別と認証が提供されません。システムへのアクセスとリソースの使用に対する否認防止または個別の説明責任を提供する方法はありません。
承認されたソフトウェアプログラムの実行の許可AppLockerによる拒否・例外ルール（ホワイトリスト)を設定するホワイトリストを使用すると、構成管理方法が提供され、承認されたソフトウェアのみを実行できます。許可されたソフトウェアのみを使用すると、潜在的な脆弱性の数が制限されるため、リスクが減少します。
組織は、許可されたソフトウェアプログラムを識別し、許可されたソフトウェアの実行のみを許可する必要があります。組織情報システムでの実行が許可されているソフトウェアプログラムの識別に使用されるプロセスは、一般にホワイトリストと呼ばれます。