> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-examples/anti-ransomware-policies/gate-1-execution.md). # ゲート1: 実行
**対象:** 多層のKeeper EPMランサムウェア対策ベースラインを展開するWindows管理者向けです。 *** 多層ランサムウェア対策モデルの概要と、このゲートの位置づけは[ランサムウェア対策ポリシー](/keeperpam/jp/endpoint-privilege-manager/policies/policy-examples/anti-ransomware-policies.md)をご参照ください。 本ポリシーは、Windows上で多層展開するKeeper EPMランサムウェア対策における**実行ゲート**です。ランサムウェアのローダー、ドロッパー、ポストエクスプロイトツールキットが日常的に悪用するLiving-off-the-Land (LOTL) バイナリ (`powershell.exe`、`powershell_ise.exe`、`cmd.exe`、`wscript.exe`、`cscript.exe`、`wmic.exe`、`certutil.exe`、`mshta.exe`、`regsvr32.exe`、`rundll32.exe`) の起動前に、ユーザー全員へ正当な理由の入力を要求します。ランサムウェアのローダーは正当化プロンプトを満たせないため、攻撃は最初の段階で止まります。正当な管理者利用はブロックされず、監査ログにユーザーの申告理由が記録されます。 ### Keeper EPMがWindowsランサムウェアを止める仕組み Windows上でランサムウェアが実害を与えるには3つのゲートを通過する必要があります。Keeper EPMは各段階でポリシーを適用します。 1. **実行ゲート:** LOTLバイナリへのファイルアクセスポリシーにより、実行前に正当な理由の入力、MFA、または承認を要求します。ランサムウェアのローダーはいずれのワークフローも満たせません。**本ポリシーが該当します。** 2. **昇格ゲート:** 最小権限の下では、ユーザーはローカル管理者グループに属しません。昇格の試みはすべてポリシー評価の対象となり、ランサムウェアプロセスはユーザーの非管理者トークンを引き継ぎ、Defenderの無効化、バックアップサービスの停止、保護パスへの書き込みができません。 3. **復旧破壊ゲート:** 破壊ユーティリティ (`vssadmin.exe`、`wbadmin.exe`、`bcdedit.exe` など) に `DENY` コントロールを設定したファイルアクセスポリシーにより、どのシェルやパスから起動されても復旧手段の削除ステップをハードブロックします。 プロンプトとブロックのたびに監査イベントが管理コンソールとSIEMストリームに送られます。1台のエンドポイントで、異常なコマンドライン引数を伴う正当化プロンプトが短時間に集中する事象は、SOCが重視する高信頼度のランサムウェア検知シグナルです。 ### 手順: ポリシーの作成 {% stepper %} {% step %} ### アプリケーションコレクションの作成 ポリシー作成前に、LOTLバイナリをアプリケーションコレクションにまとめます。ファイル名のみのリソースは、ディスク上の場所に関係なく実行ファイルに一致します。 1. Keeper管理コンソールで **\[エンドポイント特権マネージャー]** → **\[コレクション]** → **\[アプリケーション]** に移動します。 2. **\[新しいコレクション]** をクリックします。 3. **\[新しいコレクション]** モーダルで以下を設定します。 * **タイプ**: `Applications` * **名前**: `LOTL Binaries (Windows)` * **\[次へ]** をクリックします。 4. **\[コレクションへのアイテム追加]** モーダルで **\[リソースを手動で定義する]** にチェックを入れ、各バイナリをカスタムリソースとして追加します。 5. 以下を1件ずつ追加し、都度 **\[追加]** をクリックします。 * `powershell.exe` * `powershell_ise.exe` * `cmd.exe` * `wscript.exe` * `cscript.exe` * `wmic.exe` * `certutil.exe` * `mshta.exe` * `regsvr32.exe` * `rundll32.exe` 6. コレクションを保存します。コレクションのUIDを控えておきます。ポリシーJSONのインポート時に `ApplicationCheck` で参照するか、UIでポリシーを作成するときにピッカーから選択します。 {% hint style="info" %} 一部の環境では `powershell.exe` を正当なワークフロー (構成管理、監視エージェント、展開スクリプト) で多用しています。パイロット監視で `powershell.exe` 向けのプロンプトが過剰な場合は、適用対象のユーザーを狭める (標準ユーザーのみに適用し、ITサービスアカウントを除外) か、証明書制約付きの別ポリシーに分離して、署名済みMicrosoftビルドはプロンプトなしで許可することを検討してください。 {% endhint %} {% endstep %} {% step %} ### ポリシーの作成 1. **\[エンドポイント特権マネージャー]** → **\[ポリシー]** に移動し、**\[ポリシーの作成]** をクリックします。 2. ポリシー詳細を入力します。 * **ポリシー名**: `Justify LOTL Binary Execution (Windows)` * **ポリシータイプ**: `File Access` * **ステータス**: 初期パイロットは `Monitor`。プロンプト件数が運用上許容できることを確認したら `Enforce` に切り替えます。 {% endstep %} {% step %} ### 正当な理由コントロールの追加 1. **\[コントロールを追加]** をクリックします。 2. **\[正当な理由が必要]** を選択します。 {% hint style="info" %} 監査レビューで不正または説明不足の正当化が見つかった場合は、本ポリシーを編集して **\[MFA必須]** を追加して摩擦を高めるか、正当な理由の入力を **\[承認が必要]** に置き換えて実行を承認者に回してください。コントロールは加算的に重なり、ポリシー上のすべてのコントロールを満たして初めて操作が続行されます。 {% endhint %} {% endstep %} {% step %} ### フィルタの設定 1. **ユーザーグループ**: **\[すべてのユーザーとグループ]** (ワイルドカード) を選択します。除外すべきサービスアカウントやIT管理者のユーザーコレクションがある場合は、ここで除外するのではなく、そのコレクション向けの優先度の高い許可ポリシーを別途作成します。 2. **マシンコレクション**: Windowsマシンコレクション、またはベースライン展開なら **\[すべて選択]** を選択します。 3. **アプリケーション**: 手順1で作成した `LOTL Binaries (Windows)` コレクションを選択します。 4. **日時範囲**は未設定のままにします。ランサムウェアは時間帯を問いません。 {% endstep %} {% step %} ### 通知とリスクレベルの設定 1. **通知メッセージ**: `Keeper EPM requires justification before this tool can run. These utilities are commonly abused by malware. Please enter a brief reason describing your legitimate business need.` 2. **\[ポリシーを承認する]**: チェックを入れます。正当な理由の入力に加え、ユーザーがプロンプトを明示的に確認する必要があり、監査記録が強化されます。 3. **リスクレベル**: `75`。LOTL正当化イベントをセキュリティレビューで目立たせつつ、復旧破壊ゲートのDENYイベントほど重大度を上げすぎない値です。 {% endstep %} {% step %} ### 保存とパイロット 1. **\[保存]** をクリックします。ポリシーは約30分以内に適用範囲内のすべてのエンドポイントへ配布されます。影響を受けるエンドポイントのユーザーは、Keeperエージェントの **\[ポリシーを更新]** で即時同期できます。 2. **\[監視]** モードで7〜14日間運用します。**\[エンドポイント特権マネージャー]** → **\[ダッシュボード]** の監査ログでプロンプト件数を確認し、除外が必要なサービスアカウントを特定します。 3. プロンプト件数が運用上許容でき、正当な自動化向けの除外ポリシーが整ったら、ポリシーを編集して **\[ステータス]** を `Enforce` に変更します。 {% endstep %} {% endstepper %} ### 参考: ポリシーJSON 以下は完成したポリシーのエクスポート形式です。`` と `` のプレースホルダーは、管理コンソールでポリシーとコレクションを作成すると自動で埋まります。 ```json { "PolicyName": "Justify LOTL Binary Execution (Windows)", "PolicyType": "FileAccess", "PolicyId": "", "Status": "enforce", "Actions": { "OnSuccess": { "Controls": [ "JUSTIFY" ] }, "OnFailure": { "Command": "" } }, "NotificationMessage": "Keeper EPM requires justification before this tool can run. These utilities are commonly abused by malware. Please enter a brief reason describing your legitimate business need.", "NotificationRequiresAcknowledge": true, "RiskLevel": 75, "Operator": "And", "Rules": [ { "RuleName": "UserCheck", "ErrorMessage": "This user is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckUser()" }, { "RuleName": "MachineCheck", "ErrorMessage": "This Machine is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckMachine()" }, { "RuleName": "ApplicationCheck", "ErrorMessage": "This application is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckFile(false)" }, { "RuleName": "DateCheck", "ErrorMessage": "Current date is not covered by this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckDate()" }, { "RuleName": "TimeCheck", "ErrorMessage": "Current time is not covered by this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckTime()" }, { "RuleName": "DayCheck", "ErrorMessage": "Today is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckDay()" }, { "RuleName": "CertificateCheck", "ErrorMessage": "Certificate hash is not included in this policy", "RuleExpressionType": "BuiltInAction", "Expression": "CheckCertificate()" } ], "UserCheck": [ "*" ], "MachineCheck": [ "*" ], "ApplicationCheck": [ "" ], "DayCheck": [], "DateCheck": [], "TimeCheck": [], "CertificationCheck": [], "Extension": {} } ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-examples/anti-ransomware-policies/gate-1-execution.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.