・Windowsタスクスケジューラ at, schtasks の悪用 のバックアップ差分(No.12)

• バックアップ一覧
• 現在との差分 を表示
• ソース を表示
• バックアップ を表示
• ・Windowsタスクスケジューラ at, schtasks の悪用 へ行く。
  • 1 (2019-11-10 (日) 13:04:22)
  • 2 (2019-11-10 (日) 13:15:00)
  • 3 (2019-11-15 (金) 10:26:23)
  • 4 (2019-11-20 (水) 14:16:50)
  • 5 (2019-11-27 (水) 10:55:23)
  • 6 (2019-12-11 (水) 09:42:11)
  • 7 (2020-02-08 (土) 15:41:31)
  • 8 (2020-03-19 (木) 14:44:15)
  • 9 (2020-03-24 (火) 13:43:00)
  • 10 (2020-03-26 (木) 14:23:46)
  • 11 (2020-07-25 (土) 16:25:37)
  • 12 (2020-08-12 (水) 10:42:35)
  • 13 (2020-08-28 (金) 09:53:29)
  • 14 (2020-10-19 (月) 15:38:37)
  • 15 (2020-10-20 (火) 08:50:25)
  • 16 (2020-10-20 (火) 16:54:34)
  • 17 (2020-11-04 (水) 11:41:38)

• 追加された行はこの色です。
• 削除された行はこの色です。

#author("2020-07-25T16:25:37+09:00","","")
#author("2020-08-12T10:42:35+09:00","","")
[[情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）]]~
[[MITRE に基づく詳細設定対策]]
*・Windowsタスクスケジューラ at, schtasks の悪用[#g636b735]~ [#f618e702]

**戦術 [#k44553b3]
悪意あるプログラムの実行
*戦術：悪意あるプログラムの実行 [#k44553b3]

**対象OS [#u85f1e5b]
-Windows
-MITRE ATT&CK 
--[[T1053.002 Scheduled Task/Job: At (Windows)>https://attack.mitre.org/techniques/T1053/002/]]
--[[T1053.005 Scheduled Task/Job: Scheduled Task>https://attack.mitre.org/techniques/T1053/005/]]

**概説 [#o4b0f4e4]
*概説 [#o4b0f4e4]
at コマンド(Windows 8.1まで）や、schtasks コマンド(windows10) は、予め定めた時刻にプログラムを実行させるOS標準のツールです。これらを使い悪意あるプログラム（マルウェア）を密かに起動することが可能です。~
また、AdministratorsのメンバーのID/Passwordがあればネットワーク上の他の端末に対しても同様のことが可能です。これは「ファイルとプリンターの共有」が有効な場合ですので、必要に応じて、「ファイルとプリンターの共有」を無効にすることも検討してください。ローカルのAdministratorのID/Passwordが全社共通の場合は、大規模な水平展開が可能となります。~

**緩和の方針 [#t73cf5be]
*緩和の方針 [#t73cf5be]
-タスクスケジューラーの既定の実行権限（管理者特権）をより低いものに変更することを検討します。&br;[[・タスクスケジューラのポリシー設定]]を参照してください。
-ローカルのAdministratorのID/Passwordが全社共通の場合は、LAPS (Local Administrator Password Solution) の導入を検討します。
[[ロール運用>#u3d606e2]]を参照してください。

**運用やNetworkが変更された場合の影響の有無 [#bcc060d0]
*運用やNetworkが変更された場合の影響の有無 [#bcc060d0]
変更した認証済みアカウントの認証情報が漏洩すると、リスクが非常に高くなります。

**優先すべき措置 [#sa5da49e]
*優先すべき措置 [#sa5da49e]
認証済みアカウントのコンテキストでタスクを実行するようにスケジュールされたタスクの設定を構成します。~
タスクスケジューラの登録を監査します。


**ユーザー運用管理責任 [#ja44f954]
***リスクの受容 [#k3c190a8]
*ユーザー運用管理責任 [#ja44f954]
**リスクの受容 [#k3c190a8]
該当なし
***啓発・教育 [#xccb6023]
**啓発・教育 [#xccb6023]
該当なし
***利用規定 [#nc9d6fe8]
**利用規定 [#nc9d6fe8]
タスク登録を文書化する。
タスクスケジューラの監査規定。~
イベントログ「Microsoft-Windows-TaskScheduler/Operational」で、イベントID 106 [タスクが登録されました] を調査し、文書化された登録タスク以外のタスクを検索します。

**情報システム設計開発部門・運用部門（ベンダー代行を含む) [#z17f54e9]
***ポリシー [#xec97221]
*情報システム設計開発部門・運用部門（ベンダー代行を含む) [#z17f54e9]
**ポリシー [#xec97221]
[[・タスクスケジューラのポリシー設定]]

***NWデザイン [#h7082c2d]
**NWデザイン [#h7082c2d]
該当なし
***アクセスコントロール [#r8700176]
**アクセスコントロール [#r8700176]


***フィルタリング [#jc863ddc]
**フィルタリング [#jc863ddc]
該当なし
***ロール運用 [#u3d606e2]
**ロール運用 [#u3d606e2]
端末のローカルの管理者のID/パスワードが同一の場合、水平展開に悪用されるリスクが高まるので、この場合は、状況を文書化の上、LAPS (Local Administrator Password Solution) の導入を検討してください。~
-ローカル管理者パスワードソリューション（LAPS）の提供を開始~
https://msrc-blog.microsoft.com/2015/05/14/local-administrator-password-solution-laps/
***仮想端末運用 [#cad0f70e]
**仮想端末運用 [#cad0f70e]
該当なし
***エンドポイント対策 [#v0030cef]
**エンドポイント対策 [#v0030cef]
該当なし
**受託開発ベンダー管理責任 [#ic86ee0a]
***セキュアコーディング [#m30eba4d]
*受託開発ベンダー管理責任 [#ic86ee0a]
**セキュアコーディング [#m30eba4d]
該当なし
***開発環境管理 [#f8544467]
**開発環境管理 [#f8544467]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
***サプライチェーン正常性維持" [#o086507a]
**サプライチェーン正常性維持" [#o086507a]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。