・PowerShellの悪用のバックアップ(No.8)

IPAセキュリティPT評価版?

戦術 †

悪意あるプログラムの実行

対象OS †

Windows

概説 †

Windowsの設定管理を行うスクリプト言語であるPowerShellを悪用し、悪意あるプログラム(マルウェア）を実行します。この手法は、多くの攻撃手法の中核となるもので、外部との通信（新たなプログラムのダウンロード）や端末情報や認証情報の窃取など、多種多様なコマンドの実行が考えられます。スクリプトは難読化されることが多く、侵入検知システムやアンチウイルスでの検知が困難な場合があり注意が必要です。
DefaultではPowerShellの実行は無効に制限されていますが、実行が有効となっている端末では攻撃を受ける可能性が高く、慎重な運用が必要です。

↑

緩和の方針 †

管理上、PowerShellを使用しない場合は、PowerShellスクリプトを無効（Default)にすることで、マルウェアによるPowerShellの悪用を防止できます。
管理上、PowerShellが必要な端末、サーバーでは、署名付きPowerShellスクリプトのみ実行許可とし、文書化して定期的に監査を実施し、マルウェアの検出をするなどが有効です。
PowerShellが有効とされた端末では、電子メールやWebサイトの閲覧を禁止します。

↑

運用やNetworkが変更された場合の影響の有無 †

PowerShellの実行が有効とした端末で、メール添付のファイルの実行、Webサイトの閲覧などで、悪意あるプログラムの実行のリスクが高まります。

↑

優先すべき措置 †

PowerShellスクリプトの実行可能端末・サーバーを限定し、その他はグループポリシーでPowerShellスクリプトの実行を禁止します。
管理上、PowerShellを必要とするサーバー、端末のログの取得と監査を実施します。
WinRMサービスを無効化/制限して、リモート実行でPowerShellが使用されないようにします。

↑

ユーザー運用管理責任 †

↑

リスクの受容 †

PowerShellスクリプトの実行可能端末・サーバーは、ポリシーによってリスクが異なります。設定ポリシー及び端末・サーバーのネットワーク構成、運用も大きく影響を及ぼすため、慎重なリスクの見極めが必要です。

ドメインコントローラー、DHCPサーバー、開発用端末、管理用端末
これらはシステム設定管理上、PowerShellは必須といえます。従って、署名やログ監査でのリスク低減を検討します。

アプリケーションサーバー、ファイルサーバー、業務端末
一般的にPowerShellを使用しないため、スクリプトの実行を禁止します。例外がある場合は、署名やログ監査でのリスク低減を検討します。

実行ポリシー	署名付き	署名なしローカル	署名なし非ローカル	概要
Restricted	×	×	×	全てのスクリプトが実行禁止。PowerShellまたはWindows OSインストール直後のデフォルト設定（Windows Server 2012 R2を除く）
AllSigned	○	×	×	署名されているスクリプトのみが実行可能。署名されていないスクリプトは実行禁止
RemoteSigned	○	○	×	ローカルに保存されているスクリプトは実行可能。インターネットからダウンロードしたスクリプト（非ローカルのスクリプト）は、署名されているもののみが実行可能。Windows Server 2012 R2では、この設定がデフォルト
Unrestricted	○	○	△	全てのスクリプトが実行可能。ただしインターネットからダウンロードしたスクリプトは、実行するかどうかが確認されるので、ユーザーが明示的に許可した場合のみ実行される
Bypass	○	○	○	警告やユーザーへの確認なしに、全てのスクリプトが実行可能

atmarkIT WindowsでPowerShellスクリプトの実行セキュリティポリシーを変更する:https://www.atmarkit.co.jp/ait/articles/0805/16/news139.html

↑

啓発・教育 †

該当なし。

↑

利用規定 †

管理上、PowerShellが必要な端末、サーバーの文書化及び監査規程。

↑

情報システム設計開発部門・運用部門（ベンダー代行を含む) †

↑

ポリシー †

PowerShellの制御設定

↑

モニタリング †

PowerShellの監査設定

↑

NWデザイン †

該当なし。

↑

アクセスコントロール †

[Windows AppLocker] でコマンドの実行を制限する。※Windows 10 はEnterprise Editionが必要。
[Windows Defender アプリケーション制御] でコマンドの実行を制限する。
- PowerShell Constrained Language Mode: https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/
[グループポリシーソフトウェアの制限のポリシー]で実行を制限する。※Windows 10(1803)以降は機能削除。
WinRMのFirewall管理。

↑