・管理インターフェースの保護のバックアップ(No.6)

IPAセキュリティPT評価版?

基本的な考え方 †

Microsoft は、Pass The Hash に対抗するための封じ込め策を提唱しています。これは攻撃者に対する管理者の露出を制限することで、重要資産にアクセスできる特権の窃取を防ぐ狙いがあります。

各層のネットワーク
- セグメント化する
- 管理端末は同じ居室に設置するか、VLANで接続する
各層の管理者
- IDはすべてユニークにする（層をまたいで同じIDを使用しない）
- 多要素認証にする
- ロール権限を最小にする
各層の管理端末
- クリーンセットアップされたものに限定する
- リムーバブルメディア、スマートフォン等の接続を禁止する
- 明示的に必要なポート以外はすべて着信接続を拒否する
- すべてのインターネットアクセスをブロックする
- 管理に不要なアプリケーションのアンインストール
- Web、電子メールの閲覧の禁止、Office、PDFの閲覧の禁止
グループポリシー
- ネットワーク経由でのコンピュータへのアクセス拒否
- バッチジョブとしてログオンを拒否
- サービスとしてログオンを拒否
- リモートデスクトップけいゆのログオンを拒否
管理者
- 最新のスピアフィッシングの傾向を共有する

管理端末でのメール、Web、Officeアプリケーション閲覧と操作を禁止することで、初期侵入時に最も利用されている添付ファイルやリンクを伴うスピアフィッシングメールからの感染を防止しします。