・ログとレジストリの保護の変更点

Top/・ログとレジストリの保護
追加された行はこの色です。
削除された行はこの色です。
・ログとレジストリの保護へ行く。
・ログとレジストリの保護の差分を削除
#author("2020-11-11T15:02:46+09:00","","")
#author("2020-11-11T15:03:25+09:00","","")
[[FrontPage]]~
[[情報システム開発契約のセキュリティ仕様作成のためのガイドライン]]~
[[詳細設定対策に必要な措置]]

*ログの保護 [#h449d35e]
**基本的な考え方 [#d306addb]
MITRE ATT&CK で、Disable Windows Event Logging（T1562.002）：https://attack.mitre.org/techniques/T1562/002/ として採番されているように、攻撃者は攻撃の痕跡から検出されることを避けるために、ログの無効化、改ざん、消去を行います。従って、攻撃の検出・分析を行うためのログの保護は極めて重要な防御策といえます。~
ログの保護は、コンピュータの役割と機能、ログのアクセス権、保存とバックアップの観点から検討します。

***コンピュータの役割と機能 [#d0e276fb]
Windows サーバー と Windows クライアント は非常に多くの機能を有しており、Windows 独自形式の Event Log と、RFC/W3C で定められた形式のログを出力します。そのため、コンピュータに与えられた役割と機能によって、セキュリティ監査の観点から出力されるログを整理する必要があります。
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:役割・機能|COLOR(WHITE):BGCOLOR(#44546A):CENTER:ログの有効化|COLOR(WHITE):BGCOLOR(#44546A):CENTER:保存場所|h
|Domain Controller&br;File Server|[[・DC 監査ポリシーの詳細な構成:https://www.softwareisac.jp/ipa/index.php?%E3%83%BBDC+%E7%9B%A3%E6%9F%BB%E3%83%9D%E3%83%AA%E3%82%B7%E3%83%BC%E3%81%AE%E8%A9%B3%E7%B4%B0%E3%81%AA%E6%A7%8B%E6%88%90]]および[[・DC管理用テンプレート:https://www.softwareisac.jp/ipa/index.php?%E3%83%BBDC+%E7%AE%A1%E7%90%86%E7%94%A8%E3%83%86%E3%83%B3%E3%83%97%E3%83%AC%E3%83%BC%E3%83%88]]を参照してください。|%systemroot%\System32\winevt\Logs\Security.evtx|
|DNS サーバー|DNSログ|%systemroot%\System32\winevt\Logs\DNS Server.evtx|
|DHCPサーバー|DHCPログ|%systemroot%\System32\Dhcp\&#x44;hcp&#x53;rvLog-*.log|
|IIS|Webログ、FTPログ|%&#x53;ystemDrive%\Inetpub\Logs\Logfiles\W3SVC1\*.log|
|Network Policy Server (RADIUS)|ユーザー認証およびアカウンティング要求ログ（テキスト、SQL）|%systemroot%\System32\&#x4c;ogFiles\IN*.log|
|Windows ファイアウォール |[[・L1 セキュリティが強化されたWindowsファイアウォール:https://www.softwareisac.jp/ipa/index.php?%E3%83%BBL1+%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%8C%E5%BC%B7%E5%8C%96%E3%81%95%E3%82%8C%E3%81%9FWindows%E3%83%95%E3%82%A1%E3%82%A4%E3%82%A2%E3%82%A6%E3%82%A9%E3%83%BC%E3%83%AB]]|%systemroot%\system32\&#x4c;ogFiles\Firewal\pfirewall.log|

***Event Log のアクセス権 [#o58c03b2]
すべてのEvent Log のアクセス権（ファイルのプロパティのセキュリティタブ）の設定は、以下のユーザー、グループに与えられていなければなりません。これ以外の文書化されていないユーザーやグループが登録されていた場合は、何らかの特権昇格した上での侵害の可能性を疑う必要があります。
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:グループ名またはユーザー名|COLOR(WHITE):BGCOLOR(#44546A):CENTER:アクセス許可|h
|Eventlog|フルコントロール|
|SYSTEM|~|
|Domain\Administrators|~|
また、DNS、DHCP等のログのアクセス権は、保守運用のオペレーターを含めて個別に検討する必要がありますが、権限最小化の考え方から、SYSTEM、Domain\Administrators を基本にして、限定的に &#x53;erverOperators などに付与することを検討して下さい。

***保存とバックアップ [#xb414c09]
Event Log は初期値で 1Mbyte を超えた場合、上書きという設定になっています。このため、サーバーや端末を構築した場合は、すぐにグループポリシーを適用し、既定の容量を超えた場合は、上書きせずに保存するようにしなければなりません。メンバーサーバー等でドメインに参加しない場合は、構築直後に、手動で Event Log のプロパティを設定する必要があります。特に、セキュリティログは認証、認可の情報が書き込まれるため、優先的に設定を施すべきです。~
-リアルタイムでの転送
米国国防総省の Security Technical Implementation Guide (STIG) では、システムの監査レコードをリアルタイムで他のシステムに転送すべき、としています。リアルタイムで転送することで、ログの改ざんを免れ、正しい検知ができるとの判断です。ただし、大規模システムの場合、ネットワークの負荷も高くなることから、SIEM との統合を見据えて検討すべきです。
-Event Log の保存サイズ
セキュリティログは大量のログが書き込まれるため、保存サイズを大きくしますが、100GByte を超える設定をすると、イベントビューワーでの閲覧も困難になる場合が出てきます。一方で、小さい Event Log では、全体の流れや事象を判断することが難しくなります。手動で監査を行う場合は、100GByteを上限とし、SIEM や専用の分析ツールを使用する場合は分析するシステムに応じたサイズを設定して下さい。

**Event Log 関連のツール [#zb1f94c4]
Event Log はバイナリ形式であり、ツールを使いわない限り内容を確認することはできません。そのため、イベントログ関連のツールもしくはサードパーティーのイベントログビューワーが必要です。また、.Net もしくは Win32 インターフェースからアクセスが可能です。
***GUI [#uda2eb6f]
-Windows イベントビューアー
-Microsoft Log Parser Studio.Exe：https://www.microsoft.com/ja-jp/download/details.aspx?id=24659
-&#x4d;essageAnalyzer.Exe （現在はダウンロードできません）

***コマンドライン [#z5701cc6]
-wevtutil.Exe
-WMIC.Exe
-&#x4c;ogparser.Exe
-&#x50;owerShell Get-&#x45;ventLogコマンドレット



*レジストリの保護 [#re553b59]
**基本的な考え方 [#n37d2aa0]
MITRE ATT&CK では、 Modify Registry : https://attack.mitre.org/techniques/T1112/ として採番されているように、攻撃者にとってレジストリは、様々な利用方法がある魅力的なストレージという事ができます。例えば、永続性を確保するため、悪意のあるプログラムをファイル形式で保存せずに、レジストリにデータとして書き込み、スタートアップでレジストリから自分自身を読み出しメモリ上で実行したり、収集した情報を保存する場合があります。~
従って、レジストリに対するアクセス権の監査と、変更があった場合の検出の観点から検討します。

***レジストリハイブのアクセス権の監査 [#f288225c]
1. 管理者権限で立ち上げたコマンドプロンプトから、regiedit.exe を実行します。~
2. [コンピュータ]>[HKEY_LOCAL_MACHINE]>[SECURITY] で右クリックし、[アクセス許可] をクリックし、[詳細設定] をクリックします。~
3. 次のアクセス許可を確認します。基本的に規定値を維持します。~
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:種類|COLOR(WHITE):BGCOLOR(#44546A):CENTER:プリンシパル|COLOR(WHITE):BGCOLOR(#44546A):CENTER:アクセス|COLOR(WHITE):BGCOLOR(#44546A):CENTER:継承元|COLOR(WHITE):BGCOLOR(#44546A):CENTER:適用先|h
|許可|SYSTEM|フルコントロール|なし|このキーとサブキー|
|許可|Administrators|特殊|なし|このキーとサブキー|
~
4. [コンピュータ]>[HKEY_LOCAL_MACHINE]>[SOFTWARE] で右クリックし、[アクセス許可] をクリックし、[詳細設定] をクリックします。~
5. 次のアクセス許可を確認します。基本的に規定値を維持します。
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:種類|COLOR(WHITE):BGCOLOR(#44546A):CENTER:プリンシパル|COLOR(WHITE):BGCOLOR(#44546A):CENTER:アクセス|COLOR(WHITE):BGCOLOR(#44546A):CENTER:継承元|COLOR(WHITE):BGCOLOR(#44546A):CENTER:適用先|h
|許可|Users|読み取り|なし|このキーとサブキー|
|許可|SYSTEM|フルコントロール|なし|このキーとサブキー|
|許可|Administrators|特殊|なし|このキーとサブキー|
|許可|CREATOR OWNER|フルコントロール|なし|このキーとサブキー|
|許可|ALL APPLICATION PACKAGES|読み取り|なし|このキーとサブキー|
~
6. [コンピュータ]>[HKEY_LOCAL_MACHINE]>[SYSTEM] で右クリックし、[アクセス許可] をクリックし、[詳細設定] をクリックします。~
7. 次のアクセス許可を確認します。基本的に規定値を維持します。
|COLOR(WHITE):BGCOLOR(#44546A):CENTER:種類|COLOR(WHITE):BGCOLOR(#44546A):CENTER:プリンシパル|COLOR(WHITE):BGCOLOR(#44546A):CENTER:アクセス|COLOR(WHITE):BGCOLOR(#44546A):CENTER:継承元|COLOR(WHITE):BGCOLOR(#44546A):CENTER:適用先|h
|許可|Users|読み取り|なし|このキーとサブキー|
|許可|SYSTEM|フルコントロール|なし|このキーとサブキー|
|許可|Administrators|特殊|なし|このキーとサブキー|
|許可|CREATOR OWNER|フルコントロール|なし|このキーとサブキー|
|許可|ALL APPLICATION PACKAGES|読み取り|なし|このキーとサブキー|
***リモートレジストリサービスを無効にする [#q0f239af]
リモートレジストリサービスによって、リモートから操作される可能性があります。Windows サービスの Remote Registry が無効になっていることを確認します。~
コントロールパネルからサービスを起動し、 &#x52;emoteRegistry が無効になっているかを確認するか、以下のコマンドを実行します。
 C:\Windows\system32>sc query RemoteRegistry

>C:\Windows\system32>sc query RemoteRegistry
>SERVICE_NAME: RemoteRegistry
>       TYPE               : 20  WIN32_SHARE_PROCESS
>       STATE              : 1  STOPPED
>       WIN32_EXIT_CODE    : 1077  (0x435)
>       SERVICE_EXIT_CODE  : 0  (0x0)
>       CHECKPOINT         : 0x0
>       WAIT_HINT          : 0x0

STATE が STOOPED になっていることを確認します。
・ログとレジストリの保護 の変更点

・ログとレジストリの保護の変更点
