Jones思い出してみてください。して知られることになります)。関する多くの報道がなされました。自体に特別な構成を行う必要がありました。既定の構成では実行されなかったということです。同梱されないことを既に発表していました。空騒ぎだったというわけです。万回以上ダウンロードされています。使用して悪意のあるスクリプトが作成される可能性が高まったとも言えます。すべての管理ツールは悪意のある攻撃に使用される可能性があります。ファイルが安全であると決めつけることはできません。スクリプトを実行しないように既定で構成されているため、ユーザーによる操作がなければ、悪意のあるスクリプトは実行されません。今月の記事では、この状況がどのようにして発生することが予想されるかについて説明します。印象を悪くすることを目的としているわけではありません。シェルを設計したと思います。今回の内容は、この予想される攻撃を回避するための準備という目的のためだけでも論じる価値があります。構想を発表した後に初めて設計した言語であるということは注目に値します。しての役割を果たしました。彼の支援によって、可能な限り安全なコードが記述されていること、そしてこれが最も重要ですが、シェルの既定の構成が安全であることが保証されました。初期設定を簡単に見ていきましょう。ファイルをダブルクリックしても、そのファイルは実行されません。この拡張子はメモ帳に関連付けられています。実は、このシェルの既定の設定でどのスクリプトも実行されない理由は、実行ポリシーと呼ばれる組み込みの機能が動作するためです。実行ポリシーには、スクリプトの実行条件が記述されています。設定されており、どのスクリプトも実行されません。シェルは対話形式でのみ使用できます。ダウンロードできます)。設定可能な実行ポリシーを示しています。**(画像を拡大するには、ここをクリックします)実行ポリシーの例外はごくわずかです。ファイルは、シェルによるインポートを許可されます。オブジェクト型に使用されるレイアウトの既定の書式設定などの特定の機能を提供するために使用されます。このため、これらのファイルはシェルの起動時に必ず読み込まれる必要があります。これらのファイルには実行可能コードが含まれている可能性があり、実際に含まれていますが、マイクロソフトによってデジタル署名されています。ファイルが改ざんされると、この署名は無効になり、シェルの起動時にファイルがインポートされなくなります。ファイルを強力に保護できます。スクリプトも起動時に実行されません。つの特定の場所から特定の名前を持つファイルが検索されます。スクリプトの検索に使用されるフォルダ名とファイル名が詳しく記載されています)。このプロファイルは、これから説明する攻撃にとって重要な役割を果たします。このコマンドレットは、デジタル署名されたスクリプトを調べて、署名の詳細情報を提供します。特定のファイルを指定するだけで、ファイルが署名されているかどうかだけでなく、署名が破損しているかどうか、どの証明書がファイルの署名に使用されたかなどの情報を確認できます。スクリプトだけでなく、次のような署名付きの実行可能ファイルも指定できます。発行された証明書を使用して署名されていることがわかります。非常に難しいということです。これには悪意のあるコードも含まれます。コードを実行するには、悪意のあるスクリプトも実行できる状態に実行ポリシーを変更する必要があります。プラクティスを紹介することです。この実行ポリシーでは、すべてのスクリプトが何の疑いも持たれずに制約なしで実行されます。ファイルによって攻撃されるシナリオと実質的に同じ状態です。設定するということは、悪意のあるスクリプトで攻撃して損害を与えてほしいと言っているようなものです。設定した正当な理由を用意し、ウイルスによって環境が破壊された状況を説明するときに、自分が下した判断について白状する覚悟をしておきましょう。インターネットからダウンロードされたスクリプトの検出を試行し、それらを実行する前に警告を表示します。設定することはやはり良い考えではありません。署名されたスクリプトのみを実行します。コード署名証明書が必要です。実装されている場合は、そこから入手できます。購入することもできます。スクリプトへの署名に使用できる証明書がコンピュータにインストールされているかどうかを確認するには、次のコマンドレットを実行します。コマンドレットを使用してデジタル証明書を作成および適用します。この証明書は、外見上は意味のない一連のコメント行としてスクリプトの末尾に記述されます。ファイルに署名を適用する便利なオプションが提供されている場合もあります。運用環境での使用に最適な実行ポリシーです。コンピュータが構成されていることを前提としていますが、コラムの内容から少しそれるため、これに関する説明は割愛します)。設定して、同じようにデジタル署名を要求することもできますが、実際にこの設定を使用している管理者にはほとんど出会ったことがありません。ここまで説明した内容を簡単にまとめてみましょう。設定すると、悪意のあるスクリプトの攻撃を受けずに済みますが、有用なスクリプトを実行することもできません。設定すると、シェルでは署名されたスクリプトのみが実行されます。悪意のあるスクリプトの作成者が、身元を突き止めることができる検証済みの身分証明をスクリプトに含めることはほとんどないため、この設定は非常に安全です。非常に安全性が低い設定です。安全ではありませんが何かを偽った設定ではなく、おそらく何の目的もなく使用されることはないため、特定の脆弱性であるとは考えていません)。これは最近ほとんどの管理者が使用している設定だと思います。厄介な設定ではないためです。スクリプトに署名が要求されません。ファイルは、署名されていなくても実行されます。スクリプトは署名されていなければ実行されません。使用してインターネットからダウンロードされたスクリプトなどがあります。設定した場合、安全であるという誤った認識が生まれる可能性があります。スクリプトをダウンロードすることは簡単です。クライアントではこのフラグが設定されません。スクリプトと見なされ、署名されていなくても実行されるということです。それでもまだ、これが深刻な脆弱性であるとは考えられません。起動して手動で実行する必要があるためです。自ら実行するはずもありません。スクリプトのことを覚えているでしょうか。起動するたびに実行されます。スクリプトに署名が要求されません。このシナリオを次に示します。スクリプトに悪意のあるコードを挿入します。アカウントを使用して実行されます。スクリプトを変更するためのアクセス許可が与えられています。コードが実行され、システムは攻撃を受けます。使用してなんらかの操作を実行するには必ず管理者特権が必要であるため、通常はこの規模の被害を受けます。実行ポリシーが設定されている場合、上記のようにプロファイルを利用すれば、悪意のあるコードを含むどのようなコードでも、ユーザーが気付かないうちに実行することができます。実行ポリシーを使用するしかありません。スクリプトもデジタル署名されている必要があります。起動時に実行されません。スクリプトは実行されません。起動時に通知されます。安全な実行ポリシーの設定であることは間違いありません。別の方法もありますが、より複雑で信頼性も低下します。ファイルを作成します。アクセス許可を設定します。他のアカウントには読み取り専用アクセス許可を与えます。プロファイルを編集するとき以外は、プロファイル編集者アカウントでログオンしないようにしてください。スクリプトを変更できなくなります。スクリプトは変更されません。プロファイル編集者としてログオンしたときにマルウェアが実行されたらどうなるでしょうか。いずれにしろ、プロファイル編集者としてログオンしたときはプロファイルを編集するため、プロファイルが変更されていれば気付くはずです。スクリプトを作成し、上記で説明したような厳密なアクセス許可で制御することによって、セキュリティを強化することもできます。コマンドレットを使用するコードを記述し、シェルが検索するその他のプロファイル上のデジタル署名が確認されるようにします。スクリプトに署名が要求され、他のスクリプトには署名が要求されないことになります。実行ポリシーが適しています。実行ポリシーを適用することをお勧めします。この設定はローカルの設定よりも優先されるため、ドメインに新しいコンピュータを追加した場合、そのコンピュータでスクリプトの実行が拒否されるように自動的に設定することができます。ポリシーを適用します。すべてのスクリプトにデジタル署名する必要はありますが、身元を確認できる開発者が作成した信頼できるスクリプトのみが環境内で実行されるため、攻撃について心配する必要はなくなります。アクセスしてください。Cookie利用条件サイトのフィードバック。