- 最小権限の原則はシステム管理におけるリスクを軽減します Windows 11.
- LAPS と JEA を使用すると、特権アカウントを永続的に公開することなく、管理タスクを委任できます。
- 強力なセキュリティを実現するには、アカウントとワークステーションの適切な分離と制御が不可欠です。
今日、ビジネス環境におけるセキュリティ管理は Windows 11 は、特にチームや企業ネットワーク上で誰が何を実行できるかを制御するとなると、かなり難しい課題です。 高い権限の管理は、あらゆる組織にとって依然として最大のリスクの 1 つです。過剰な権限を持つアカウントは、内部または外部からの攻撃の入り口となる可能性があるためです。そのため、永続的な管理者権限を制御、削減、または削除できるツールと方法を理解し、適用することがこれまで以上に重要になっています。
この記事では、Microsoft エコシステムで最も強力で推奨されている 11 つのテクノロジを使用して、Windows XNUMX で管理者権限を制限する方法について、実用的かつわかりやすいアプローチで説明します。 LAPS (ローカル管理者パスワード ソリューション) y ジャスト・イン・ナフ・アドミニストレーション (JEA)さらに、追加のベストプラクティスを取り上げ、よくある質問に回答して、より安全な環境を実現します。
Windows 11 で管理者権限を制限するのはなぜですか?
管理者アカウントは攻撃者の好むターゲットですサイバー犯罪者が昇格された権限を持つアカウントにアクセスした場合、システム、さらには企業ネットワーク全体を完全に制御することができます。そのため、 これらの権限の使用、露出、範囲を最小限に抑えることが不可欠です 機密データが取り扱われるあらゆる専門的または家庭環境に適しています。
目的は、いわゆる 最小権限の原則は、各ユーザーに アクセスレベルが低い タスクを遂行するために必要なものだけを、それ以上でもそれ以下でもありません。これにより攻撃対象領域が縮小され、侵入者の活動が困難になります。
LAPS: Windows 11 でローカル管理者のパスワードを制御する
最初に知っておくべきツールは Microsoft LAPS (ローカル管理者パスワード ソリューション)このソリューションは、最も一般的な問題の 1 つを回避するように設計されています。 すべてのローカル管理者アカウントに共通のパスワードを使用する 組織のコンピューター上で。すべてのコンピューターで同じローカル管理者パスワードを共有している場合、そのパスワードが漏洩または解読されると、攻撃者はすべてのデバイスに簡単にアクセスできるようになります。
LAPS はどのように機能しますか?
LAPS は、一意かつランダムなパスワードを自動的に管理することでこのリスクを解決します。 各コンピュータのローカル管理者アカウントのパスワードです。このパスワードはActive Directoryに安全に保存され、承認されたユーザーまたはグループのみがアクセスできます。
- LAPSは定期的に変更されます 各マシンのローカル管理者パスワード。
- 新しい資格情報は、Active Directory 内のコンピューター オブジェクトの特別な属性に保存されます。
- こうすることで、攻撃者がコンピューターのローカル パスワードにアクセスできたとしても、他のコンピューターでそのパスワードを再利用できなくなります。
LAPS導入の主なメリット
最も重要な利点は次のとおりです。
- 横方向攻撃に対するセキュリティ強化ネットワーク内の横方向の移動を減らすことで、権限の伝播が軽減されます。
- アクセスと変更の集中監査: 誰があなたのパスワードを確認または変更したかを知ることができます。
- 自動化と人的エラーの削減: プロセスは完全に自動化されています。
Windows 11 環境で LAPS を展開する手順
Windows 11 の基本的な LAPS 設定は、以前のバージョンと同様です。簡単に言うと、
- LAPS パッケージをインストールし、必要に応じて Active Directory スキーマを拡張します。
- ローカル パスワード管理を有効にするには、グループ ポリシーを構成します。
- AD に保存されているパスワードを読み取ったりリセットしたりできるユーザーの権限を定義します。
一度設定すると、管理対象デバイスごとに管理者パスワードが自動的に設定および更新されるため、攻撃者にとって作業がはるかに困難になります。
Just Enough Administration (JEA): PowerShell による安全な委任管理
Windows 11のコンピュータのセキュリティを強化するもう一つの強力な味方は ジャスト・イン・ナフ・アドミニストレーション (JEA)このマイクロソフトの技術 ローカル管理者やドメイン管理者にすることなく、ユーザーに管理タスクを委任できます。.
JEA とは何ですか? 何の目的ですか?
ビジネスクリティカルなサーバー上のDNSなどの特定のサービスを管理する技術者が複数いるとします。彼らにシステムへのフルアクセス権限を与える必要はありませんが、特定のサービスの再起動や特定の操作の実行権限は必要です。そこでJEAが役立ちます。
- とともに JEAが定義するもの コマンド ユーザーが実行できる特定のタスクこれにより、その範囲は厳密に必要なものに限定されます。
- それらは使用することができます 仮想アカウントまたは管理サービスアカウント実際の特権資格情報を公開せずに、昇格されたアクションを委任します。
- すべてのアクションは記録され、誰が何をいつどこから実行したかを正確に監査できます。
Windows 11 環境に JEA を実装する利点
JEA を導入すると、次のような主なメリットが得られます。
- 特権アカウント数の大幅な削減 アクティブまたは永続的。
- より優れた管理とトレーサビリティ システム内で実行されるアクションについて。
- 一時的な権限を適用する可能性 すでに需要があります。
例えば、技術者は PowerShellの 重要なサーバーに接続して DNS サービスを再起動することはできますが、Active Directory を変更したり、ファイル システムを参照したりする権限はありません。 その権限の範囲は JEA 接続ポイントによって定義されます。また、管理者以外の資格情報も使用できるため、過剰な権限を持つアカウントの使用を回避できます。
JEA をどのように設定しますか?
JEA を設定するには、次のものを作成する必要があります。
- 役割機能 許可されるコマンド、スクリプト、またはコマンドレットを指定します。
- PowerShell エンドポイント これらのポリシーが適用される場合。
- アクセスと承認ルール 制限された権限を必要とするグループまたはユーザーごとにクリアします。
この方法により、最も要求の厳しいセキュリティ目標に合わせて管理を調整しながら、必要なものだけを提供できます。
特権アカウントの管理に関するベストプラクティス
LAPS と JEA に加えて、Microsoft と IT 業界の経験から得られたその他の重要な推奨事項も示します。 サイバーセキュリティ:
影響力の大きいマネージャーの数を最小限に抑える
- 重要な権限を持つすべてのアカウントは潜在的な侵入ポイントとなる権限グループの数を制限し、各権限グループに誰が属しているかを定期的に確認します。
- 各アカウントが管理ロールのメンバーシップを正当化し、その理由を文書化していることを確認します。
- 問題が発生した場合でも運用の継続性を確保するために、可能な限り少なくとも 2 つの管理アカウントを使用してください。
管理された個別のアカウントを使用する
- 個人アカウントや消費者アカウント (@hotmail、@outlook など) を会社の管理者として使用しないでください。
- 電子メールや日常のタスクに使用するアカウントとは別に、管理タスク専用のアカウントを作成します。
永続的な権限を避ける: ジャストインタイム権限
- 権限を付与するのは、 時間 絶対に必要な.
- 次のようなソリューションを使用する マイクロソフトが特権ID管理（PIM）に参入 これらの一時的な権限の増強を承認および監査します。
- あまり使用されないアカウントの場合は、明確に定義され監視されている緊急アクセス手順に従ってください。
管理者ワークステーションのセキュリティ強化
- 管理者の場合は、他の機能（電子メール、一般的なブラウジングなど）とは別に、専用のデバイスを使用します。
- これらのデバイスを構成して、任意のブラウジングが制限され、インストールされるツールが必要なものだけに制限されます。
- Microsoft が推奨するセキュリティ レベルを適用し、Microsoft Defender ATP などの高度な保護ツールを使用します。
認証管理: パスワードレスとMFA
- すべての管理者にパスワードレス認証方法 (Windows Hello など) の使用を強制するか、それができない場合は多要素認証 (MFA) を使用します。
- セキュリティが低いため、MFA 方法として SMS に依存することは避けてください。
条件付きアクセスとゼロトラスト
- 管理アクセスを許可する前に、ゼロ トラスト ポリシーを有効にするために、常に主要なセキュリティ属性を要求します。
- 安全な場所、管理対象デバイスなど、特定のセキュリティ パラメータの下でのみ管理が可能になるように、条件付きアクセス ポリシーを構成します。
権限を簡素化し、組み込みのロールを使用する
- 複雑さとエラーが発生するため、カスタム権限や細分化されすぎた権限は避けてください。
- 可能な限り、Azure または Active Directory の組み込みロールを使用し、非常に特殊なニーズに対してのみカスタム ロールを予約します。
管理アカウントのライフサイクル
- 従業員が組織を退職したり役職が変わったりする場合は、管理アカウントが無効化または削除されていることを確認します。
- 割り当てられた権限とロールを最新の状態に保つために定期的なレビューを実施します。
攻撃シミュレーションと訓練
- 高い権限を持つユーザー向けのトレーニングと攻撃訓練をスケジュールします。
- これにより、セキュリティ衛生と実際のインシデントへの対応能力が向上します。
実装例: JEA による DNS 管理の委任
実際のケースを見てみましょう。特定の技術者にドメイン コントローラー上の DNS サービスの再起動を許可する必要があるものの、そのマシンに対する完全な権限は与えたくないとします。
- DNS 関連の PowerShell コマンドレットの使用のみを許可する特定の JEA ロールを定義します。
- これらのコマンドに制限された PowerShell エンドポイントを作成し、指定されたユーザーにのみ権限を割り当てます。
- 一時的な権限を持つ仮想アカウントを使用するようにセッションを構成します。
- これで、技術者は Active Directory やファイル システムへのアクセスを含め、他のものを変更することなく作業を実行できるようになりました。
この方法により、ユーザーを Domain Admins グループに追加する必要がなくなります。 また、実行された各コマンドを記録し、その後の監査を容易にします。
Windows 11 における安全な管理の重要な側面
管理者アカウントの無差別な有効化を防止します
アカウントを有効にしたくなる 管理者 複雑なタスク用のウィンドウですが、これは非常に制御された一時的な状況でのみ実行する必要があります。 管理者アカウントを継続的に使用すると、最大の権限を持つマルウェアの攻撃や不注意による実行のリスクが大幅に高まります。.
アカウントプロパティを正しく設定する
- Windows 11で管理者アカウントを有効化する必要がある場合は、ローカルユーザー管理（lusrmgr.mscと）、無効なアカウント オプションのチェックを外します。
- 強力で一意のパスワードを割り当て、デバイスやユーザー間でそのパスワードを再利用しないでください。
地域依存関係の分離を強化する
- オンプレミスとクラウド リソース間の関係を最小限に抑えます。たとえば、絶対に必要な場合を除き、オンプレミスの Active Directory と Azure の間で管理アカウントを同期しないようにします。
- 侵害されたオンプレミス システムから攻撃が広がるリスクを軽減するため、可能な限り、ネイティブにクラウドで管理および監視されるワークステーションを選択してください。
管理活動を継続的に監査および監視します
- チェック ログ アクセスと管理アクションを定期的に実行します。
- 高度な SIEM ツールを使用して、イベントを相関させ、異常なパターンをリアルタイムで検出します。
ポリシーと手順を見直し、更新する
- 脅威は進化しており、ポリシーも同様に進化する必要があります。ポリシー、ワークフロー、ツールは少なくとも年に1回、または重大なセキュリティインシデントが発生した後に見直し、調整してください。
- 最新の情報を入手するには、Microsoft の公式ドキュメントと推奨事項を活用してください。
Windows 11 の最新かつ安全な管理のポイント
- 安全のために柔軟性を犠牲にする必要はありません。: JEA や LAPS などのテクノロジーのおかげで、各タスクに必要な権限を正確に提供できます。
- 自動化と監視はあなたの最高の味方です: 人的エラーを削減し、異常を迅速に検出して対応できるようにします。
- 少ないです: 特権アカウントと永続的な権限が少ないほど、制御が強化され、インシデントが発生した場合の影響が少なくなります。
これらの推奨事項をすべて適用し、Microsoftが提供するツールを正しく使用することで、Windows 11環境はより安全で柔軟性が高く、今日のサイバーセキュリティの課題に備えることができます。これを真剣に実行すれば、攻撃者がネットワークやコンピュータ内を移動することがはるかに困難になり、 重大な事故の可能性を大幅に減らすことができます適切な構成と具体的な実践が、システムの保護に大きな違いをもたらします。
バイトの世界とテクノロジー全般についての情熱的なライター。私は執筆を通じて自分の知識を共有するのが大好きです。このブログでは、ガジェット、ソフトウェア、ハードウェア、技術トレンドなどについて最も興味深いことをすべて紹介します。私の目標は、シンプルで楽しい方法でデジタル世界をナビゲートできるよう支援することです。