- 追加された行はこの色です。
- 削除された行はこの色です。
#author("2019-11-15T10:26:23+09:00","","")
#author("2019-11-20T14:16:49+09:00","","")
[[IPAセキュリティPT評価版]]
*・Windowsタスクスケジューラ at, schtasks の悪用[#g636b735]
**戦術 [#k44553b3]
悪意あるプログラムの実行
**対象OS [#u85f1e5b]
-Windows
**概説 [#o4b0f4e4]
atコマンド(Windows 8.1まで）や、schtasksコマンド(windows10)は、予め定めた時刻にプログラムを実行させるOS標準のツールです。これらを使い悪意あるプログラム（マルウェア）を密かに実行することが可能です。~
また、AdministratorsのメンバーのID/Passwordがあればネットワーク上の他の端末に対しても同様のことが可能です。これは「ファイルとプリンターの共有」が有効な場合ですので、必要に応じて、「ファイルとプリンターの共有」を無効にすることも検討してください。~
ローカルのAdministratorのID/Passwordが全社共通の場合は、LAPS (Local Administrator Password Solution) の導入を検討してください。[[参照:ロール運用>#u3d606e2]]
**緩和の方針 [#t73cf5be]
Windowsの既定の実行権限を変更します。
既定の実行権限を変更します。
**運用やNetworkが変更された場合の影響の有無 [#bcc060d0]
変更した認証済みアカウントの認証情報が漏洩すると、リスクが非常に高くなります。
**優先すべき措置 [#sa5da49e]
認証済みアカウントのコンテキストでタスクを実行するようにスケジュールされたタスクの設定を構成します。
タスクスケジューラの登録を監査します。
**ユーザー運用管理責任 [#ja44f954]
***リスクの受容 [#k3c190a8]
該当なし
***啓発・教育 [#xccb6023]
該当なし
***利用規定 [#nc9d6fe8]
変更された特権について文書化する。
タスク登録を文書化する。
タスクスケジューラの監査規定。
**情報システム設計開発部門・運用部門（ベンダー代行を含む) [#z17f54e9]
***NWデザイン [#h7082c2d]
該当なし
***アクセスコントロール [#r8700176]
***ポリシー [#xec97221]
+タスクの実行権限の変更
SYSTEMとして実行するのではなく、認証済みアカウントのコンテキストでタスクを実行するようにスケジュールされたタスクの設定を構成します。~
関連するレジストリキーはHKLM\SYSTEM\CurrentControlSet\Control\Lsa\SubmitControlです。
この設定は、GPOで構成できます。~
[コンピューターの構成]> [ポリシー]> [Windowsの設定]> [セキュリティの設定]> [ローカルポリシー]> [セキュリティオプション：ドメインコントローラー：サーバーオペレーターがタスクをスケジュールできるようにします。]~
ドメインコントローラー：サーバーオペレーターがタスクをスケジュールできるようにします。~
https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj852168(v=ws.11)?redirectedfrom=MSDN~
[コンピューターの構成]>[ポリシー]>[Windowsの設定]>[セキュリティの設定]>[ローカルポリシー]>[セキュリティオプション：ドメインコントローラー：Server Operatorsがタスクのスケジュールを割りてるのを許可する。] で [このポリシー設定を定義する] にチェックし、''[有効]'' をクリックします。~
ドメインコントローラー：サーバーオペレーターがタスクをスケジュールできるようにします: https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj852168(v=ws.11)?redirectedfrom=MSDN~
+特権アカウント管理
管理者グループに優先プロセスをスケジュールする権限のみを許可するように、[スケジュールの優先度を上げる]オプションを構成します。
これは、GPOで構成できます。[コンピューターの構成]> [ポリシー]> [Windowsの設定]> [セキュリティの設定]> [ローカルポリシー]> [ユーザー権利の割り当て]：スケジュールの優先度を上げます。~
スケジューリング優先順位の繰り上げ~
https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/increase-scheduling-priority
***NWデザイン [#h7082c2d]
該当なし
***アクセスコントロール [#r8700176]
[イベントビューアー]>[アプリケーションとサービスログ]>[Microsoft]>[Windows]>[TaskScheduler]>[Operational] でイベントID 106 [タスクが登録されました] を調査し、文書化された登録タスク以外のタスクを検索します。
***フィルタリング [#jc863ddc]
該当なし
***ロール運用 [#u3d606e2]
端末のローカルの管理者のID/パスワードが同一の場合、水平展開に悪用されるリスクが高まるので、この場合は、状況を文書化の上、LAPS (Local Administrator Password Solution) の導入を検討してください。~
-ローカル管理者パスワードソリューション（LAPS）の提供を開始~
https://msrc-blog.microsoft.com/2015/05/14/local-administrator-password-solution-laps/
***仮想端末運用 [#cad0f70e]
該当なし
***エンドポイント対策 [#v0030cef]
該当なし
**受託開発ベンダー管理責任 [#ic86ee0a]
***セキュアコーディング [#m30eba4d]
該当なし
***開発環境管理 [#f8544467]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
***サプライチェーン正常性維持" [#o086507a]
ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。
#br
#br
----
#article
