Ctrlk
HomepageSystem Status
For the complete documentation index, see llms.txt. This page is also available as Markdown.

ゲート1: 実行

ランサムウェア対策の実行ゲート、LOTLバイナリ起動前の正当化を要求するファイルアクセスポリシー

対象: 多層のKeeper EPMランサムウェア対策ベースラインを展開するWindows管理者向けです。

多層ランサムウェア対策モデルの概要と、このゲートの位置づけはランサムウェア対策ポリシーをご参照ください。

本ポリシーは、Windows上で多層展開するKeeper EPMランサムウェア対策における実行ゲートです。ランサムウェアのローダー、ドロッパー、ポストエクスプロイトツールキットが日常的に悪用するLiving-off-the-Land (LOTL) バイナリ (powershell.exe、powershell_ise.exe、cmd.exe、wscript.exe、cscript.exe、wmic.exe、certutil.exe、mshta.exe、regsvr32.exe、rundll32.exe) の起動前に、ユーザー全員へ正当な理由の入力を要求します。ランサムウェアのローダーは正当化プロンプトを満たせないため、攻撃は最初の段階で止まります。正当な管理者利用はブロックされず、監査ログにユーザーの申告理由が記録されます。

Keeper EPMがWindowsランサムウェアを止める仕組み

Windows上でランサムウェアが実害を与えるには3つのゲートを通過する必要があります。Keeper EPMは各段階でポリシーを適用します。

  1. 実行ゲート: LOTLバイナリへのファイルアクセスポリシーにより、実行前に正当な理由の入力、MFA、または承認を要求します。ランサムウェアのローダーはいずれのワークフローも満たせません。本ポリシーが該当します。

  2. 昇格ゲート: 最小権限の下では、ユーザーはローカル管理者グループに属しません。昇格の試みはすべてポリシー評価の対象となり、ランサムウェアプロセスはユーザーの非管理者トークンを引き継ぎ、Defenderの無効化、バックアップサービスの停止、保護パスへの書き込みができません。

  3. 復旧破壊ゲート: 破壊ユーティリティ (vssadmin.exe、wbadmin.exe、bcdedit.exe など) に DENY コントロールを設定したファイルアクセスポリシーにより、どのシェルやパスから起動されても復旧手段の削除ステップをハードブロックします。

プロンプトとブロックのたびに監査イベントが管理コンソールとSIEMストリームに送られます。1台のエンドポイントで、異常なコマンドライン引数を伴う正当化プロンプトが短時間に集中する事象は、SOCが重視する高信頼度のランサムウェア検知シグナルです。

手順: ポリシーの作成

1

アプリケーションコレクションの作成

ポリシー作成前に、LOTLバイナリをアプリケーションコレクションにまとめます。ファイル名のみのリソースは、ディスク上の場所に関係なく実行ファイルに一致します。

  1. Keeper管理コンソールで [エンドポイント特権マネージャー] → [コレクション] → [アプリケーション] に移動します。

  2. [新しいコレクション] をクリックします。

  3. [新しいコレクション] モーダルで以下を設定します。

    • タイプ: Applications

    • 名前: LOTL Binaries (Windows)

    • [次へ] をクリックします。

  4. [コレクションへのアイテム追加] モーダルで [リソースを手動で定義する] にチェックを入れ、各バイナリをカスタムリソースとして追加します。

  5. 以下を1件ずつ追加し、都度 [追加] をクリックします。

    • powershell.exe

    • powershell_ise.exe

    • cmd.exe

    • wscript.exe

    • cscript.exe

    • wmic.exe

    • certutil.exe

    • mshta.exe

    • regsvr32.exe

    • rundll32.exe

  6. コレクションを保存します。コレクションのUIDを控えておきます。ポリシーJSONのインポート時に ApplicationCheck で参照するか、UIでポリシーを作成するときにピッカーから選択します。

一部の環境では powershell.exe を正当なワークフロー (構成管理、監視エージェント、展開スクリプト) で多用しています。パイロット監視で powershell.exe 向けのプロンプトが過剰な場合は、適用対象のユーザーを狭める (標準ユーザーのみに適用し、ITサービスアカウントを除外) か、証明書制約付きの別ポリシーに分離して、署名済みMicrosoftビルドはプロンプトなしで許可することを検討してください。

2

ポリシーの作成

  1. [エンドポイント特権マネージャー] → [ポリシー] に移動し、[ポリシーの作成] をクリックします。

  2. ポリシー詳細を入力します。

    • ポリシー名: Justify LOTL Binary Execution (Windows)

    • ポリシータイプ: File Access

    • ステータス: 初期パイロットは Monitor。プロンプト件数が運用上許容できることを確認したら Enforce に切り替えます。

3

正当な理由コントロールの追加

  1. [コントロールを追加] をクリックします。

  2. [正当な理由が必要] を選択します。

監査レビューで不正または説明不足の正当化が見つかった場合は、本ポリシーを編集して [MFA必須] を追加して摩擦を高めるか、正当な理由の入力を [承認が必要] に置き換えて実行を承認者に回してください。コントロールは加算的に重なり、ポリシー上のすべてのコントロールを満たして初めて操作が続行されます。

4

フィルタの設定

  1. ユーザーグループ: [すべてのユーザーとグループ] (ワイルドカード) を選択します。除外すべきサービスアカウントやIT管理者のユーザーコレクションがある場合は、ここで除外するのではなく、そのコレクション向けの優先度の高い許可ポリシーを別途作成します。

  2. マシンコレクション: Windowsマシンコレクション、またはベースライン展開なら [すべて選択] を選択します。

  3. アプリケーション: 手順1で作成した LOTL Binaries (Windows) コレクションを選択します。

  4. 日時範囲は未設定のままにします。ランサムウェアは時間帯を問いません。

5

通知とリスクレベルの設定

  1. 通知メッセージ: Keeper EPM requires justification before this tool can run. These utilities are commonly abused by malware. Please enter a brief reason describing your legitimate business need.

  2. [ポリシーを承認する]: チェックを入れます。正当な理由の入力に加え、ユーザーがプロンプトを明示的に確認する必要があり、監査記録が強化されます。

  3. リスクレベル: 75。LOTL正当化イベントをセキュリティレビューで目立たせつつ、復旧破壊ゲートのDENYイベントほど重大度を上げすぎない値です。

6

保存とパイロット

  1. [保存] をクリックします。ポリシーは約30分以内に適用範囲内のすべてのエンドポイントへ配布されます。影響を受けるエンドポイントのユーザーは、Keeperエージェントの [ポリシーを更新] で即時同期できます。

  2. [監視] モードで7〜14日間運用します。[エンドポイント特権マネージャー] → [ダッシュボード] の監査ログでプロンプト件数を確認し、除外が必要なサービスアカウントを特定します。

  3. プロンプト件数が運用上許容でき、正当な自動化向けの除外ポリシーが整ったら、ポリシーを編集して [ステータス] を Enforce に変更します。

参考: ポリシーJSON

以下は完成したポリシーのエクスポート形式です。<generated-policy-uid> と <uid-of-LOTL-Binaries-collection> のプレースホルダーは、管理コンソールでポリシーとコレクションを作成すると自動で埋まります。

前へランサムウェア対策ポリシー次へゲート2: 昇格

最終更新