- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2020-08-30T09:43:12+09:00","","")
#author("2020-10-20T14:15:15+09:00","","")
[[情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）]]~
[[MITRE に基づく詳細設定対策]]
[[MITRE ATT＆CKに基づく詳細設定対策]]
*戦術：悪意あるプログラムの実行[#i4af84ff]
-MITRE ATT&CK
--[[T1569.002 System Services: Service Execution>https://attack.mitre.org/techniques/T1569/002/]]
*概説 [#df9df928]
Windowsサービスとは、ユーザーインターフェースを持たずにバックグラウンドで常駐して動作するプログラムで、SYSTEM権限で動作するため、最も高い権限を有します。~
Windowsが起動した際に自動起動するように設定できるため、悪意あるプログラム（マルウェア）をWindows サービスとしてインストールできれば、最上位の権限での設定実行や永続化が可能となります。~
悪意あるWindowsサービスは、キーボード・画面の窃取、C&Cサーバーとの通信、リモート操作などの機能が考えられます。~
新しいWindowsサービスをインストールするか、既存のサービスを改ざんすることで実現されますが、Windowsサービスの操作には管理者権限が必要です。
*緩和の方針 [#i45ea24b]
-上位のアクセス許可レベルで実行されるサービスが、下位のアクセス許可レベルを持つユーザーによって作成または操作されないようにします。
-一般業務端末を操作するユーザーアカウント標準ユーザーとして設定し、ローカル管理者であるビルトインAdministratorsグループのメンバーから除外し、脅威に対してWindowsサービスのインストールを失敗させることで緩和します。
一般業務端末を操作するユーザーアカウントを標準ユーザーとして設定し、ローカル管理者であるビルトインAdministratorsグループのメンバーから除外し、Windowsサービスのインストールを失敗させることで緩和します。ドメインコントローラー、メンバーサーバーは検出に努めます。
*運用やNetworkが変更された場合の影響の有無 [#pbeb91dc]
-標準ユーザーアカウントを、ビルトインAdministratorsグループのメンバーにした場合、リスクが非常に高まります。
*優先すべき措置 [#a8c84264]
*優先すべき措置 [#mf45c47b]
-標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
-[Windows ログ]-[システムログ]-[Event ID 7045] を監査し、不審なWindowsサービスのインストールを検知します。
-CWE-428（引用符で囲まれていないプログラムパス）の脆弱性を排除します。
*ユーザー運用管理責任 [#o4d09f0e]
**リスクの受容 [#h06d4411]
-アプリケーションのインストール権限をユーザーに委ねた場合、この手法のリスクが高くなります。対象端末の文書化と監査による検知を強化し緩和します。
|180|||c
|CENTER:業務|CENTER:特権|CENTER:リスク受容のための条件例|h
|プログラム開発担当者|Local Administrator|ドメインコントローラー、メンバーサーバー、担当者端末のWindowシステムログ監査。|
|Help Desk 担当者|Domain/Local Administrator|~|
|システム管理者|Enterprise/Domain/Local Administrator|~|
|部門管理者（OUの委任）|OUのパスワードリセット、セキュリティグループ管理、ドメイン参加等|~|
|役職者、研究者、秘書|標準ユーザー|Local Administrators に含めない。|
|上記以外の一般業務担当者|標準ユーザー|Local Administrators に含めない。|
**啓発・教育 [#t6d5a3a7]
-すべての端末利用者
--組織のアプリケーションのインストール規程（評価済みアプリケーション以外をインストールしない等）の理解と遵守を求めます。
--最新のフィッシングメールの事例、手口の理解を深めます。
-ローカル Administrtors メンバー
--アプリケーションをインストールできる権限を持つユーザーに対して、"初期侵入" から "悪意あるプログラムの実行" までの攻撃ベクターで攻撃を阻止しないと、情報窃取、送信、漏洩等のリスクが高まることを理解させます。
--アプリケーションのインストールや保守以外での管理者権限でのインターネット接続、メール受信などのリスクを正しく認識させます。
**利用規定 [#f0cb340e]
-ローカル管理者権限を業務ユーザーに付与した場合の文書化、監査による不正なWindowsサービスのインストールの検出。
ローカル管理者権限を業務ユーザーに付与した場合の文書化、監査による不正なWindowsサービスのインストールの検出。
*情報システム設計開発部門・運用部門（ベンダー代行を含む) [#f004436f]
**ポリシー [#p2100cf4]
-該当なし。
-該当しません。
**モニタリング [#k765066f]
-該当なし。
**NWデザイン [#xfb11796]
-該当なし。
Windowsサービスのインストールをイベントログで検出した際は、そのWindowsサービスが正規のものであることを確認した上で、以下のコマンドを実行し、CWE-428の脆弱性を検知します。
-引用符で囲まれていないWindowsサービスの検知
wmic service get name,pathname,displayname,startmode | findstr /i auto | findstr /i /v "C:\Windows\\" | findstr /i /v """
なお、C:\Windows 以下のWindowsサービスはデフォルトで引用符で囲まれていないため除外しています。
**ネットワークデザイン [#xfb11796]
該当しません。
**アクセスコントロール [#mc4e471b]
-標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
**フィルタリング [#u425c029]
-該当なし
該当しません。
**ロール運用 [#f475674b]
-標準ユーザーアカウントは、ビルトインAdministratorsグループのメンバーであってはなりません。
**仮想端末運用 [#v2e369ca]
-該当なし
該当しません。
**エンドポイント対策 [#j8911a8b]
-CWE-428（引用符で囲まれていないプログラムパス）の脆弱性の検出と排除
該当しません。
*受託開発ベンダー管理責任 [#jc57a4a6]
**セキュアコーディング [#oc9db074]
-CWE-428（引用符で囲まれていないプログラムパス）の脆弱性の排除
Windowsサービスを作成する場合は、CWE-428（引用符で囲まれていないプログラムパス）の脆弱性の排除を行います。サービスはイベントログに、起動、エラー、終了等のログを出力するようにします
**開発環境管理 [#t25a59e4]
-ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
**サプライチェーン正常性維持" [#qd97f7e2]
-ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じます。 例外はすべて文書化し、適切な監査を実施します。
~
~
----
#article
