ゲート2: 昇格

ランサムウェア対策の昇格ゲート、ローカル管理者グループからユーザーを外す最小権限ポリシー

対象: 多層のKeeper EPMランサムウェア対策ベースラインを展開するWindows管理者向けです。

---

多層ランサムウェア対策モデルの概要と、このゲートの位置づけはランサムウェア対策ポリシーをご参照ください。

本ポリシーは、Windows上で多層展開するKeeper EPMランサムウェア対策における昇格ゲートです。適用範囲内のユーザーからローカル管理者グループへの恒常的な所属を外し、永続的な管理者権限をKeeperの一時アカウント機構によるポリシー管理下のジャストインタイム昇格に置き換えます。ユーザーセッションで動作するランサムウェアはユーザーのトークンを引き継ぎますが、そのトークンに管理者権限がなくなれば、Defenderの無効化、バックアップサービスの停止、サービスとしての永続化、保護されたシステム領域への書き込み、他ユーザーのファイル変更ができません。実害の大きいランサムウェアがほぼ必ず依存する昇格ステップが失敗します。

手順: ポリシーの作成

1

ロールアウトの計画

最小権限はEPM展開全体で摩擦が最も大きいポリシーです。ローカル管理者グループからユーザーを外すと、業務アプリのインストーラー、Program Files や HKLM への書き込みを前提とするレガシーアプリ、開発ツール、ベンダーエージェントなど、文書化されていない管理者依存ワークフローが表面化します。初日から環境全体に展開しないでください。

ポリシー作成前に段階的ロールアウトの計画のガイダンスを確認し、以下を特定します。

1. パイロット用マシンコレクション。 典型的なワークロードを代表し、問題を明確に報告できる5〜10台。C-suite、ヘビーな開発者、決算期の財務部門は避けます。
2. 除外。 サービスアカウント、ブレークグラス管理者アカウント、恒常的な管理者権限が正当な役割を持つユーザー (稀ですが存在します)。別途優先度の高いポリシーで扱うか、対象外のエンドポイントから除外します。
3. 特権昇格の伴走ポリシー。 最小権限は管理者権限を外しますが、正当な作業のための昇格経路は必要です。特定アプリケーションを許可する (または正当な理由の入力/MFA/承認を要求する) 特権昇格ポリシーと組み合わせ、昇格作業の定義された経路を用意します。

2

マシンコレクションの作成

最小権限はマシンコレクションで適用範囲を決めます。対象マシン上のユーザーは管理者権限が外され、対象外マシン上の同じユーザーには影響しません。

1. Keeper管理コンソールで [エンドポイント特権マネージャー] → [コレクション] → [マシン] に移動します。
2. [新しいコレクション] をクリックします。
3. 名前: Least Privilege Pilot Endpoints (Windows)
4. 手順1で特定した5〜10台のパイロットエンドポイントを追加します。
5. コレクションを保存し、UIDを控えます。

追加のマシンコレクション (Least Privilege Cohort 1、Cohort 2、Broad Deployment) を作成し、本ポリシーを MachineCheck だけ変えて複製するか、各コホートのパイロットが成功したら既存コレクションのメンバーを拡大します。

3

ポリシーの作成

1. [エンドポイント特権マネージャー] → [ポリシー] に移動し、[ポリシーの作成] をクリックします。
2. ポリシー詳細を入力します。

   • ポリシー名: Least Privilege — Remove Local Admin (Windows)
   • ポリシータイプ: Least Privilege
   • ステータス: 初期パイロットは Monitor。[監視] モードでは、実際には外さずにローカル管理者グループから外されるユーザーがログに記録され、適用前の影響をプレビューできます。

4

フィルターの設定

1. ユーザーグループ: 対象マシン上の全ユーザーに適用するなら空のまま (またはワイルドカード)。特定の除外ユーザーコレクションがある場合は、ここで除外せず別途優先度の高いポリシーで扱います。
2. マシンコレクション: 手順2の Least Privilege Pilot Endpoints (Windows) コレクションを選択します。
3. アプリケーション: 該当なし。最小権限はユーザーアカウントレベルで動作し、アプリケーション単位ではありません。
4. 日時範囲は未設定のままにします。

5

通知とリスクレベルの設定

1. 通知メッセージ: Keeper EPM has removed your standing local administrator rights as part of your organization's least-privilege security policy. When you need to perform an administrative task, use the Keeper Agent to request elevation.
2. [ポリシーを承認する]: チェックしない。通知はポリシー適用時に1回表示され、毎回の確認は不要です。
3. リスクレベル: 50。予防的な統制でありインシデントイベントではないため、ゲート3・4のDENYイベントより低く設定します。

6

保存とパイロット

1. [保存] をクリックします。ポリシーは約30分以内に適用範囲内のすべてのエンドポイントへ配布されます。
2. 少なくとも2週間監視モードで運用します。監査ログで影響を受けるユーザーと、行っていた昇格操作を確認します。このデータで以下を進めます。

   • 業務クリティカルなワークフローが恒常的管理者権限に静かに依存していないか検証
   • 正当な管理作業向けの伴走特権昇格ポリシーを整備
   • 除外が必要なユーザーの特定
3. [監視] モードで問題がなく、昇格経路が整ったら、[ステータス] を Enforce に変更します。約30分以内にユーザーがローカル管理者グループから外され、対象ユーザーに通知メッセージが表示されます。
4. 全社展開が完了するまで、マシンコレクションを1コホートずつ拡大します。

参考: ポリシーJSON

以下は完成したポリシーのエクスポート形式です。<generated-policy-uid> と <uid-of-Least-Privilege-Pilot-Endpoints-collection> のプレースホルダーは、管理コンソールでポリシーとコレクションを作成すると自動で埋まります。

{
	"PolicyName": "Least Privilege — Remove Local Admin (Windows)",
	"PolicyType": "LeastPrivilege",
	"PolicyId": "<generated-policy-uid>",
	"Status": "enforce",
	"Actions": {
		"OnSuccess": {
			"Controls": []
		},
		"OnFailure": {
			"Command": ""
		}
	},
	"NotificationMessage": "Keeper EPM has removed your standing local administrator rights as part of your organization's least-privilege security policy. When you need to perform an administrative task, use the Keeper Agent to request elevation.",
	"NotificationRequiresAcknowledge": false,
	"RiskLevel": 50,
	"Operator": "And",
	"Rules": [
		{
			"RuleName": "UserCheck",
			"ErrorMessage": "This user is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckUser()"
		},
		{
			"RuleName": "MachineCheck",
			"ErrorMessage": "This Machine is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckMachine()"
		},
		{
			"RuleName": "ApplicationCheck",
			"ErrorMessage": "This application is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckFile(false)"
		},
		{
			"RuleName": "DateCheck",
			"ErrorMessage": "Current date is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDate()"
		},
		{
			"RuleName": "TimeCheck",
			"ErrorMessage": "Current time is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckTime()"
		},
		{
			"RuleName": "DayCheck",
			"ErrorMessage": "Today is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDay()"
		},
		{
			"RuleName": "CertificateCheck",
			"ErrorMessage": "Certificate hash is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckCertificate()"
		}
	],
	"UserCheck": [],
	"MachineCheck": [
		"<uid-of-Least-Privilege-Pilot-Endpoints-collection>"
	],
	"ApplicationCheck": [],
	"DayCheck": [],
	"DateCheck": [],
	"TimeCheck": [],
	"CertificationCheck": [],
	"Extension": {}
}

伴走ポリシー: 特権昇格経路

昇格経路が定義されていない最小権限だけではユーザー体験が崩れます。署名済みインストーラー、IT承認済み構成ツール、ベンダー管理コンソールなど、承認済みアプリケーションへのオンデマンド管理者権限を付与する特権昇格ポリシーと組み合わせ、各アプリケーションのリスクに応じて正当な理由の入力、MFA、承認コントロールを設定してください。

伴走ポリシーがないと、ユーザーは正当な管理作業ができず、ヘルプデスク経由や包括的な除外要求で統制を迂回しがちです。伴走ポリシーがあれば、本来行うべき作業向けに明確で監査可能、摩擦もリスクに見合った昇格経路が得られ、マルウェアは正当化プロンプトやMFAチャレンジを完了できないため昇格できません。