LINE2019.07.15少し期間が空きましたが続きをやっていきます。今回はControl4についてです。Controlsには多少触れるのでは?と思っています。この記事の内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。4:管理権限のコントロールされた使用このコントロール目的としては以下となっています。コンピュータ、ネットワーク、アプリケーションの管理権限の使用、割り当て、設定を追跡/管理/防止/修正するためのプロセスとツールです。このコントロールが重要な理由として以下に纏めますと。・管理権限の誤使用は、攻撃者が標的とする企業内に侵入するための主たる手段となる。・攻撃のテクニックとしては大きく分けて二つ存在する・一つ目(標的型攻撃):標的型攻撃メールの添付ファイル開封や悪意のあるWebサイトへの誘導による攻撃、添付ファイルまたはエクスプロイトに攻撃コードが含まれており、被害者PC上で実行されるか、攻撃者のコンテンツを実行するようユーザを騙すことによって実行される。被害者が管理権限を保持していた場合、被害者のマシンをコントロールし、キーストロークロガー、スニファー、およびリモートコントロールソフトウェアをインストールして、管理者パスワードとその他の機密データを見つけ出すことが可能。・二つ目(パスワードクラッキング):管理ユーザのパスワード推測またはクラッキングによって権限を昇格させ、ターゲットマシンへのアクセスを取得する。管理権限が厳密ではなく広く分散されている場合や重要性の低い他のシステムで使用されているパスワードと同一の場合、容易にシステムを完全にコントロールすることができる。上記について実際にどのような対応をすればいいのかについて、以下の表が用意されています。次に上記点を踏まえて個人的な考察を行っていきます。4の検討(考察)経験上この問題は対策されていない場合が多いですね。この問題が頻発する箇所として、社内ネットワークに対するペネトレーションテストを行っている時ではないでしょうか。対象のサーバが複数あり、そのうち一台の管理が不十分で、既知の脆弱性等によりユーザ又は管理者のパスワードが判明できる場合があります。その際に判明したパスワードを他のサーバに対して試した場合に、そのままログインできる場合が多々観測されています。内部のサーバであってもパスワードはそれぞれ別の値にするべきです。テスト時にデフォルトのままである事もありますね。デフォルトのパスワードは公開されているマニュアルに記載されている場合も多いので、すぐに変更するべきです。4.6、4.7については小規模の組織だと管理は難しいかもしれません。4.7については営業、経理の作業のみを行うマシンだと、PowerShell等は使えないようにしておくのは良い方法かなと思いました。最近の標的型攻撃等は、クライアントのPowerShellを使用した乗っ取り等が多くなってきています。業務で使用しない場合、ユーザ権限では使用できないようにするのはいい方法であるかと考えています。不明点や要望、こういったこともやって欲しいとの希望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。Controlsについて解説していきたいと思います。書かれた文章なので、読み解くのに時間がかかりますね。力にはなるので、興味がある方は是非ともこの記事と実際の本文も読んでみてください。7について2019/6/12にISACA東京支部の情報セキュリティ研究会にお試し参加をしてきました。Controlsに対して議論をさせていただき、個人的にも纏めたいな~という思いに駆られましたので、記事にしていきます。3についてCISの投稿が続き、今回はControl3についてです。20まであるので、まだまだ先は長いですが頑張ります。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。3に「継続的な脆弱性管理」というものがあります。それを調べていた際に「OpenSCAP」という面白そうなツールを見つけたのでそれについて記事にしていきます。1について解説を行いました。2について解説を行っていきます。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。Liteというツールを使ってみたいと思います。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。