過剰な特権および悪意のあるユーザー

IBM® MaaS360® エンドポイント脅威管理は、制限された権限でネットワークにアクセスしたり、組織内でセキュリティ問題を引き起こしたりする悪意のあるユーザーからデバイスを保護します。

Privileges 設定は、制限されたユーザー権限でネットワークにアクセスし、組織に深刻なセキュリティ脅威を引き起こす可能性のあるユーザーアカウントを検出して削除することで、エンドポイントのセキュリティを確保する。 ユーザー・デバイスのリスクは、デバイスで発生した違反の数に基づいて計算されます。

サポートされるデバイス
  • Windows
  • macOS
前提条件
  • Windows の場合、MES エージェントがユーザー・デバイスにインストールされている必要があります。 管理者は、デバイスを登録し、 MaaS360 アプリまたはエージェントをデバイスにインストールする必要があります。

デバイスまたはエンドポイント上のユーザーアカウントの権限の有効性を検出する（管理者権限が侵害されているかどうか、攻撃者がその権限を使用してネットワークにアクセスできるかどうかをチェックする）

管理者特権は、管理者ユーザーに付与される最高の権限レベルである。 これらの特権には、組織のほとんどすべてのネットワーク・エリアおよびシステム・エリアにアクセスする権限が含まれます。 管理者は、標準ユーザーに必要な特権のみを付与し、デバイス、エンタープライズ・データ、およびネットワークに対する脅威を引き起こすアクションをユーザーが実行できるようにする特定の特権を厳密に制限します。

標準的なユーザーは、マルウェアを通じて、意図的または非意図的に特定の制限された特権へのアクセス権を取得し、組織に深刻なセキュリティ脅威を引き起こす可能性のあるアクションを実行する可能性がある。 この場合、管理者権限を持つ標準ユーザーを追跡する、またはこれらの権限を持つユーザーがいる権限グループから選択するなど、過剰な権限を持つユーザーを検出し、改善アクションを開始するようにこの設定を構成します。

ユーザーが特権操作を実行しようとすると、システムはユーザーのアクセス・トークンを検査して、ユーザーが必要な特権を持っているかどうかを判別し、持っている場合は、特権が有効になっているかどうかを検査します。 ユーザーがこれらのテストに失敗した場合、システムは操作を実行しません。

デバイス／エンドポイント上のユーザーアカウントの有効性を検出する（攻撃者がネットワークにアクセスするためにユーザーになりすましていないか、つまり悪意のあるユーザー名をチェックする）

管理者が、特定のユーザー名が企業内で問題を引き起こしている疑いがある場合、 MaaS360 を使用して、Windows または macOS デバイス上のそのユーザーアカウントを（ユーザー名または正規表現パターンで）検索し、そのユーザーに対して対処することができます。

管理者は、以下の修復アクションを開始できます。
  • Windows デバイスまたは macOS デバイスのユーザーを報告します。
  • ユーザーがデバイスに再度ログインできない場合は、ユーザーをブロックします。
  • デバイスからユーザーを削除し、 MaaS360 ポータルからユーザー・レコードを削除します。

特権および悪意のあるユーザーの EPS ポリシーの構成

制限された権限を持つユーザーと悪意のあるユーザーの両方を検出し、管理対象デバイスに作用するようにEPSポリシーを設定し、プッシュすることができます。

以下の手順で設定を行います。
  1. IBM MaaS360 Portalのホームページから、 Security > Policiesに進みます。
  2. EPS ポリシーを開き、 「特権」をクリックします。
  3. 以下の設定を行う。
    ポリシー設定 説明 サポートされるデバイス
    過剰なユーザー・アカウント特権の検出 (有効になっている場合)
    過度のユーザー・アカウント特権の検出 チェックしたい特権を選択し、その特権へのアクセス権がどのアカウントに付与されているかを確認します。 このリストの特権について詳しくは、「 https://docs.microsoft.com/en-us/windows/win32/secauthz/privilege-constants」を参照してください。
    • プライマリー・トークンの割り当て特権
    • 監査特権
    • グローバル作成特権
    • バックアップ特権
    • ページ・ファイル作成特権
    • 永続作成特権
    • シンボリック・リンク作成特権
    • トークン作成特権
    • デバッグ特権
    • セッション・ユーザーの偽名委任特権
    • 委任の有効化特権
    • 偽名特権
    • 基本的な優先順位の増強特権
    • 割り当ての増強特権
    • メモリーのロック特権
    • ドライバーの読み込み特権
    • マシン・アカウント特権
    • ボリュームの管理特権
    • シングル・プロセスのプロファイル作成特権
    • ラベル付け直し特権
    • リモート・シャットダウン特権
    • セキュリティー特権
    • 復元特権
    • Sync エージェント特権
    • システム環境特権
    • システム・プロファイル特権
    • システム時刻特権
    • 所有権の取得特権
    • Tcb 特権
    • 信頼済み CredMan へのアクセス特権
    • 未承認入力特権
    		 Windows
    修復アクション ユーザー・アカウントで構成済みの特権が検出されたときにユーザーに対して実行するリアルタイム・アクション (特権を取り消すか、ユーザーを管理者に報告する) を構成します。
    ユーザー名による悪意のあるユーザーの検出 (有効な場合)
    名前によるローカル・ユーザー・アカウントの検出 MaaS360 で企業に対する潜在的な脅威を検索するユーザー・アカウント (任意、管理者、標準) のユーザー名を入力します。

    ユーザー名には、特定のストリングまたは正規表現を使用してください。 正規表現は、すべての英数字の組み合わせをサポートします (例: 123! #, abc、123_23 *)。

    		 Windows、 macOS
    複数のユーザーが存在するユーザー・アカウントを確認する (「その他のユーザー」設定) には、以下のようにします。
    • Windows: 設定その他のユーザー
    • macOS: アップルメニュー > システム環境設定 > ユーザーとグループ > 他のユーザー
    修復アクション 検出された悪意のあるユーザー・アカウントに対して実行するリアルタイム・アクションを構成します。
    • アクションなし: 構成されたユーザー名基準に一致するローカル・ユーザー名を持つデバイスを追跡および報告します。
    • ユーザーを無効にする: ユーザーがデバイスを使用できないようにします。
    • ユーザーの削除: デバイスからユーザーを削除します。
    		 Windows、 macOS

特権および悪意のあるユーザーのリスク・ルールの構成

リスク・インシデントが検出されると、 MaaS360 はそのリスク・インシデントをリスク・ルールに照らして検証し、デバイスとユーザーの重大度とリスク・スコアを計算します。

特権に関するリスク・ルールを表示または設定するには、以下の手順に従います。
  1. IBM MaaS360 Portal Home page から、 Security > Security Management > Risk Rule Configurator に進みます。 Privileges に設定されている以下の定義済みリスクルールが Risk Rule Configurator に表示されます。
    EPS ポリシーのタイプ/設定 事前定義されたリスク・ルール 説明
    特権/過剰なユーザー・アカウント特権の検出 Windows 特権違反 このルールは、Windowsユーザーデバイス上で特定の管理者権限を付与されたユーザーアカウントをチェックする。 標準ユーザーのアカウントで構成済みの管理者特権が検出された場合、インシデントは MaaS360に報告され、このリスク・ルール構成に基づいて、重大度の高いリスク・インシデントが作成され、リスク・スコアが追加されます。
    注:
    • このリスク・ルールは、Windows デバイスにのみ適用されます。
    • このリスク・ルールを機能させるには、「サービス」ページでエンドポイント・セキュリティー・サービスを有効にする必要があります。
    • ルール・セットは、デバイス・ベースのリスク・ルールに分類されます。これらのリスク・インシデントに関連付けられているリスク・スコアは、リスク・インシデントに関連付けられているすべての Windows 特権違反がユーザー・アカウントで修復され、セキュリティー・ダッシュボードから削除されると、即時に減少 (ゼロに) します。
    • 1 つのエンドポイント・セキュリティー・ポリシーに対して構成されている Windows 特権違反に対して 1 つのリスク・インシデントが作成されます。 1 つ以上のエンドポイント・セキュリティー・ポリシーが構成されていて、Windows 特権違反が検出された場合、違反が検出された各セキュリティー・ポリシーに対して 1 つのリスク・インシデントが作成されます。
    特権/ユーザー名による悪意のあるユーザーの検出 悪意のあるローカル・ユーザーの検出 このルールは、悪意のあるユーザーと想定される、Windows または macOS ユーザー・アカウント内の特定のユーザー名を検査します。 アカウントで特定のユーザー名が検出されると、インシデントが MaaS360に報告され、このリスク・ルール構成に基づいて、重大度が高いリスク・インシデントが作成され、リスク・スコアが追加されます。

セキュリティー・ダッシュボードでの Windows 特権違反および悪意のあるユーザー・インシデントの追跡

セキュリティダッシュボードで違反やインシデントを追跡する。
  • 「セキュリティー」 > 「セキュリティー・ダッシュボード」 > 「上位のリスク・インシデント」に移動します。
    • Windowsの権限違反について。
      1. 影響を受けるデバイス] リンクをクリックします。 影響を受けるデバイスの詳細が表示されます。
      2. ユーザー名をクリックする。 ユーザーサマリページが表示され、適用されたEPSポリシーのWindows権限違反が表示されます。
    • 悪意のあるユーザーに対して。
      1. 影響を受けるデバイスの番号をクリックします。 影響を受けるデバイスの詳細が表示されます。
      2. ユーザー名をクリックする。 適用されたEPSポリシーの悪意のあるユーザー違反を含む User Summary ページが表示されます。

        また、 「危険なデバイス 」セクションでデバイス名をクリックすると、違反に関する情報が表示されます。