“The Dark Side of Microsoft Windows – Administrative Privilege and Access Security Weaknesses” June 27, 2022 by Morey J. Haber より
ITのエコシステムの観点ではMicrosoftのWindowsが明らかな市場優位性を持っていることは否定できません。 互換性、認証、生産性、アーキテクチャに優れたサーバーOSとデスクトップOSのペアを成功させたベンダーは他にありません。同じ基盤によるプラットフォームに基づいたデスクトップとサーバーのアーキテクチャの統合には明らかなメリットがあります。
一方で、Microsoftソリューションには、1990年代半ばのWindows for Workgroups 3.11以降、悩ましい1つの欠陥があります。Windowsのセキュリティは常に後から考えられ、徐々に再設計されてソリューションに反映されてきました。 セキュリティはイノベーション、そして最近では急速なデジタルトランスフォーメーションと最新のクラウドインフラストラクチャへの移行に繰り返し後れを取っています。
このブログでは、次のことを考察してみます。
- Microsoft Windowsエコシステムにおけるイノベーションと、セキュリティの間の遅れ（ラグ）を作り出してきた要因（つまり、技術的負債）
- そのセキュリティラグで生じるリスクに関する最大の問題
- Microsoftエコシステムに固有の脅威を軽減して、さら排除するための実証済みの方法
なぜセキュリティがMicrosoft Windowsの最大かつ最も永続的なハードルなのか
イノベーションがテクノロジーの主要な推進力である場合、セキュリティは伝統的に二次的な考慮事項でした。これは90年代半ばから変わっていません。OSとその機能の革新は、依然として最も重要なものとして歓迎されています。市場での関心を維持するためには、テクノロジーの先端性に依存する部分があるとみられているからです。
こうお話する一方、Appleのような一部のベンダーは、セキュリティとイノベーションを同等に開発して販売しているようです。ただし、Microsoftは、大まかに言えばセキュリティを機能の一つとみているようです。これは議論の余地もある見方ですが、それぞれのベンダーの製品の歴史がこの結論を示唆しており、彼らのマーケティングについて、この想いを強めています。AppleのマーケティングがmacOSがコンピュータウイルスを受けることはできないと述べたときのことを憶えていますか？ 今では皆よく知っています。 Microsoft Windowsは、その真偽は別としても同様の方法でセキュリティ・マーケティングに採用したことはありません。
クラウド、またはデジタルトランスフォーメーションへの移行について考えてみてください。どちらも、パンデミック時に正規化された、どこからでも仕事ができる要求で加速されました。しかし、「CD / DVDやUSBリムーバブルメディアの自動実行、ゲストファイル共有、C＃を介したルートディレクトリへのアクセスなどの機能」についてもよく考えてみてください。当時、これらは素晴らしいアイデア、つまり競争の上で必要な優位性をもたらしたイノベーションです。しかし、急速な性質のイノベーションはリスクにもつながります。このイノベーションのセキュリティが後から付け加えられたものである場合、脅威の攻撃者は、これらのイノベーションを悪用した行為の経路に使用する方法をすばやく習得することができます。
何かがうまくいかない可能性があったり、これら革新的な機能を保護する方法の分析は、脆弱性が発見されて、攻撃が業務にリスクをもたらすとわかってから初めて提示されます。結局のところ、OneDrive、DropBox、Google Driveなどのすべてのクラウド機能があるのに、なぜ個別の環境でサーバー上のファイル共有を使用するのでしょうか。さらに、市場に出回っている高度なリモートアクセスソリューションがある中、なぜいまだにRDPを使用しているのでしょうか。それは、技術的負債や、それらに依存するバックアップユーティリティのような他のソリューションがあるためです。これらはすべて、革新を念頭に開発、リリースされて、セキュリティは後付けで追加されました。
最近の実例 — Follinaの脆弱性
Follinaの脆弱性は、製品のリリース後にWindowsアクセスのセキュリティに関する憂慮事項が具体的になったときに発生する可能性がある問題の一例です。 Follinaの脆弱性は、Microsoft Support Diagnostic Tool（MSDT）で発見されたゼロデイリモートコード実行（RCE）の脆弱性（CVE-2022-30190P）です。 これにより、攻撃者はMicrosoft Officeドキュメントを悪用して任意のコードを実行することができます。 Follinaは、ほとんどの場合、フィッシングメールを介して悪用されます。
Microsoftによると、「この脆弱性を悪用した攻撃者は、呼び出し元のアプリケーションの権限で任意のコードを実行する可能性があります。 攻撃者は、プログラムのインストール、データの表示、変更、削除、またはユーザーの権限で許可されたコンテキストで新しいくアカウント作成を行うことができます。」
Follinaの脆弱性の詳細については、ここをクリック
何が変わったのか — これらのセキュリティリスクが今日受け入れられないのはなぜか？
これまで、セキュリティはイノベーションの妨げと見なされることがよくありました。適切なセキュリティチェックを実装すると、イノベーションが遅くなり、競争力が失われたり、市場ニーズとの関連性が低くなったりする可能性があるためです。現在、セキュリティの脅威が非常に蔓延し、悪意があり、組織にとって著しく有害である世の中では、Windowsアクセスセキュリティ、つまり革新的なセキュリティは、単に革新的であるだけよりもニーズとの関連性が高い可能性があります。
Windowsの最大の欠陥：管理者権限
Follinaの脆弱性は、すべてのコンピューティングデバイスに蔓延する1つの欠陥 ー 管理者権限ー の結果であり、Microsoft Windowsにとっては特に苦痛です。管理者権限を除去して、真の最小権限（十分な権限とジャストインタイムアクセス）を適用すると、ほとんどのマルウェアと攻撃者が横展開の移動を実行できなくなります。
大多数のマルウェアと攻撃の実行は特権を必要とします。これは、必要なレベルのアクセスを取得するために、横方向の移動と特権の昇格を利用する場合があるため、最小権限の原則（principle of least privilege、PoLP）はかなりの量のサイバー保護力を提供します。PoLPを導入するということは、攻撃者のコードが標的ユーザーのコンテキスト内でのみ実行される際、管理者権限のない標準ユーザーに対しては、管理者ユーザーよりもはるかに少ないリスクをもたらすことを意味します。これは、この永続的な問題の軽減のために、エンドユーザーのWindowsアカウントを管理する際、組織が実施できる最大の戦略的な調整を表しています。
管理者権限は必ずしも本質的な悪ではありません。組織が管理者権限をきめ細かく制御できない、または失敗する場合に問題が発生します。ネットワーク機能が組み込まれたWindowsの初期のバージョンに戻ると、ネットワーク内のあらゆることを管理者権限で実行し、アクセスできました。当時、OS自体には、きめ細かくアクセスを制御し、ロールベースのアクセスと職務の分離を提供できるだけのセキュリティが組み込まれていませんでした。当時、ほとんどのITプロフェッショナルは、ローカルシステムに対する管理者権限をすべての人に与えていました。これは、すべての人が仕事をするために必要な、さまざまなレベルのアクセス権を確実に持つための最も簡単な方法だったからです。包括的な管理者権限をプロビジョニングするリスクは十分に理解されておらず、ローカル管理者であるという基本的な能力はほとんどすべての場所で採用されていました。
管理者権限をきめ細かく制御できないことは、今日の多くの組織にとって依然として問題となっています。これは、2つの資格情報を配布することにでリスクを軽減しようとした環境に特に当てはまります。
1つは日常業務の標準ユーザーとして、もう1つは昇格された特権を必要とするタスクの管理者としてです。
これら2つが同じワークステーションで一緒に動作している場合、パス・ザ・ハッシュなどのメモリ詐取攻撃や、稼働中プロセスから秘密情報を盗む可能性のあるmimikatzなどのパスワード盗用ツールを原因とした環境へのリスクが高くなります。現在、OSの革新は依然としてセキュリティリスクの背後にあり、EMETのような技術でさえもボルトで固定されてしまいました。
アプリケーション、マルウェア、またはユーザーが管理者権限を取得すると、システムに対して効果的に何でもできるようになります。スーパーユーザーアカウントが侵害されたときに何が起こるか想像してみてください。組織が侵害を検出する必要がある限り、攻撃者はネットワーク全体に無制限にアクセスできる可能性があります。対象のアカウント情報が複数のシステムで有効である場合、脅威の範囲はさらに拡大します。管理者の権限から保護するように設計されたツールでさえ、横方向の動きと脆弱性の悪用（つまり特権の昇格）を使用して、創造性とハッキングで阻止される可能性があります。
管理者権限に対する脅威を管理するための最良の方法は何か？
可能である限り、常に、すべてのユーザーから管理者権限を削除してください。管理者権限はまだ十分に進化しておらず、この脅威を実際に管理する最善の方法は、代替案を検討することです。
最も効果的なアプローチは、文字通り可能な限り管理者権限を削除し、標準ではなく、例外として昇格させた権限を必要とするタスクを処理することです。これは、Windows XP以降も当てはまります。WindowsXPは、ご使用の環境に存在しなくなっていることを願っています。ただし、特権アクセスの問題は、最新のMicrosoftソリューションにも存在します。
緩和策として管理者権限を削除することはどの程度効果的か？
BeyondTrust Microsoft Vulnerabilities Reportによると、2015〜2020年の調査結果によると、管理者権限の削除によって、重大な脆弱性の75％が軽減できた可能性があります。これらの傾向とWindows Microsoftの状況の理解に基づいて、レポートの2022版では、管理者権限の削除と最小権限の適用が、Windowsの脆弱性の継続的な管理と攻撃対象領域の全体的な削減に極めて重要であると推定しています。 。
サイバーセキュリティの専門家であるMVPのシニアテクニカルフェローであるSami Laihoが2022年版のレポートで共有したように、彼の顧客は、管理者権限を削除した後、サービスデスクのチケットが75％少なく、コンピューターの再インストールも65％少ないことを観測しました。
Sami Laiho、シニアテクニカルフェロー、MVP（Microsoft Vulnerabilities Report 2022）
今日のMicrosoft Windows – 脅威のパターンは継続しているのか？
これまで、Microsoft Windowsは、Windowsのセキュリティ上の懸念事項がOSの懸念事項よりも遅れることを許容してきました。ただし、Windowsのセキュリティは、これらの問題のいくつかにより適切に対処するために、近年大幅に成熟しています。 BeyondTrust Microsoft Vulnerabilities 2022レポートによって編集されたデータによると、次のようになります。
- Windows OS全体の脆弱性の数は507に減少（2020年の907から）
- Windowsの脆弱性は前年比で40％減少
- Windowsサーバーの脆弱性は前年比41％減少
- Windowsの重大な脆弱性は前年比で50％減少
重大なWindowsの脆弱性が過去5年間で半減したことは、より安全なOSを構築するためのWindows Microsoftの継続的な投資を反映しています。ただし、脆弱性の軽減の理由はわずかにとらえどころのないままであるため、全体的な脆弱性の全体像は依然として複雑です。減少は次の結果である可能性があります。
- より良いセキュリティとコーディング慣行
- Windows 7などの製品の寿命
- サービスのクラウドへの移行
- または、大半の場合は上記3つすべての組み合わせ
2021年のMicrosoft Windowsの脆弱性のほとんどは、オンプレミス・テクノロジのリスクが高いことを示していますが、ほとんどの組織がクラウドに移行しているという事実は、脅威パターンに対する顕著な潜在的な変化を表しています。クラウドへの移行は、リスクを軽減するためのより効率的な方法を提供し、ITセキュリティチームからの修復の負担を取り除くことで組織のセキュリティを向上させる可能性があります。これは、クラウドの脆弱性が存在しないことを意味するのではなく、SaaSプロバイダーによって修正されています。
この記事の執筆時点では、SaaSベンダーはオンプレミスのベンダーのようにCVEを公開する義務を負っていないことに注意してください。これにより、実際に悪用されない限り、クラウドの脆弱性の影響に関する統計を収集することは最終的に困難になります。これにより、オンプレミスまたはクラウドの資産に関係なく、エクスプロイト(攻撃手段・ツール)の被害を軽減するために管理者権限を削除することの重要性が高まります。
マイクロソフトは、平均的な人によって操作されている場合の、OSが日々直面する脅威に対するソリューションを提供しています。最も深刻な脅威の1つであるエンドユーザーによる管理者権限保持は、全員を標準ユーザーにするだけで解決できます。
2022年のMicrosoft脆弱性レポートで、Petri IT Knowledgebaseの編集ディレクターであるRussell Smithは、「組織がMicrosoftのソフトウェアの脆弱性から保護するために、管理者権限の使用を注意深く管理し続けることが重要です」と述べています。
Smith氏は、次のように付け加えています。「システムとデータを保護するために標準のユーザー権限で操作することの重要性にもかかわらず、今日のWindowsではネイティブで管理することはまだ不可能です。組織は、エンドポイントへの特権アクセスを柔軟かつ安全な方法で管理する必要があります。これにより、従業員が仕事を行えるようにしながら、ビジネスへのリスクを軽減できます。」
エンドユーザーがいくつかのあいまいなタスクのためにローカル管理者権限を本当に必要とする場合、二次管理者資格を与えるリスクなしに、ユースケースに対応するためのマイクロソフトおよびサードパーティベンダーからのネイティブツールがあります。これは元の問題に対する「ボルトオン」アプローチのように聞こえるかもしれませんが、規制コンプライアンスイニシアチブの特権アクセスを文書化するなどのメリットを備えた実行可能なソリューションです。
Windowsの特権管理
Russell Smithは、Microsoft Windowsを成功に導いたネイティブ機能を中断することなく、Windowsアクセスセキュリティを追加できるサードパーティソリューションに関して、BeyondTrust Privilege ManagementforWindowsを最上位に置いています。
Russell Smith, Petri IT Knowledgebase 編集ディレクター
BeyondTrustのWindows用特権管理を非常にユニークなものにしているのは、最小特権管理とアプリケーション制御機能の組み合わせであり、ソリューションが以下を提供できるようにしていることです。
- すべての人間/非人間のIDとアカウントからすべての管理者権限を削除して、必要に応じて適切なコンテンツに基づいてアプリケーションへのアクセスを昇格させ、必要な期間のみ（最小権限とジャストインタイムアクセス）、エンドポイントのセキュリティを予防
- 管理者権限の削除、最小権限の適用、Windowsデスクトップ/サーバー間での永続的な特権アクセス（永続的な特権）の停止、ジャストインタイムプロトコルに従ったアプリケーションの権限の動的な昇格などのゼロトラスト制御
- 横方向の動き、ランサムウェア、マルウェア、内部脅威に対する高度な保護。管理者権限の削除は、攻撃対象領域を減らし、横方向の動きから保護して、外部と内部の両方の脅威（マルウェア、電子メールベースの脅威、実地攻撃、ファイルレス脅威、ゼロデイ脅威など）から防御するための最も強力な方法の1つ
- 必要な機能（つまり、管理者権限の削除、真の最小権限の原則の適用、アプリケーション制御など）と、すばやくアクセスできる単一の監査証跡の提供で、コンプライアンスとびサイバー保険の基準を満たす機能
- アプリケーション制御、ネイティブ統合、複数のオペレーティングシステムにわたる可用性、および複数の展開オプション（クラウド、ハードウェア、仮想アプライアンスなど）による高いユーザビリティ
参考 BeyondTrustが提供するWindows特権アカウントソリューションについてもっと詳しく
結論：セキュリティを優先するツールを導入して、新しいテクノロジーを採用する
セキュリティの優先順位付けを管理するのに役立つツールとソリューションが整っている限り、新しいテクノロジーの採用や革新的な機能の出現を恐れる必要はありません。
全体的なアプローチで管理者権限を管理することでWindowsアクセスのセキュリティリスクが軽減されます。また、多くの機能（つまり、OSにすでに組み込まれている標準のユーザーアカウント）を使用する場合、少なくとも脆弱性、マルウェア、およびエクスプロイトの観点から、イノベーションが必要とされるセキュリティに追いつくことをまさしく可能にすることができます。
Morey J. Haber、BeyondTrust社 最高情報セキュリティ責任者
Morey J. Haberは、BeyondTrustの最高情報セキュリティ責任者です。IT業界での経験は25年以上に及び、Apress社から『Privileged Attack Vectors (2版)、『 Asset Attack Vectors』、『Identity Attack Vectors』という本を3冊【原文は「4冊」とありますが、見つかった限りでは3冊でした】出版しています。2018年、BeyondTrustはBomgarに買収されましたが名前はそのまま残りました。彼はもともと2012年、eEye Digital Securityの買収の際にBeyondTrustに加わりました。現在は特権アクセス管理やリモートアクセスソリューションに関するBeyondTrustの戦略を統括しています。2004年、セキュリティエンジニアリングの統括長としてeEyeに加わり、フォーチュン500掲載企業である顧客の戦略的業務に関する協議や脆弱性管理アーキテクチャを担当しました。eEye入社前は、Computer Associates, Inc. (CA)の開発マネージャーとして、新製品のベータサイクルや指定されたカスタマーアカウントなどの業務を担っていました。またその経歴は、飛行訓練シミュレータを構築する政府の委託先における信頼性と保全性に関するエンジニアとして築かれました。ストーニーブルックにあるニューヨーク州立大学の電子エンジニアリング科で理学士の学位を取得しています。