ポリシー変更診断 ICT Tips

ポリシー変更

Windowsサーバーのセキュリティ診断・ポリシー変更の診断項目は、以下の通りです。
・ＯＳの一部として機能
・ドメインにワークステーションを追加
・ファイルとディレクトリのバックアップ
・スキャンチェックのバイパス
・システム時刻の変更
・永続的共有オブジェクトの作成
・プログラムのデバッグ
・リモート強制シャットダウン
・スケジュール優先順位の繰り上げ
・デバイスドライバのロードとアンロード
・監査とセキュリティログの管理
・プロセスレベルトークンの置き換え
・ファイルとディレクトリの復元
・システムのシャットダウン
・オブジェクト所有権の取得

ＯＳの一部として機能

イベントID 608 と 609で説明に「seTcbPrivilege」があるイベントは、ＯＳの一部として機能を示します。

ドメインにワークステーションを追加

イベントID 608 と 609で説明に「SeMachineAccountPrivilege」があるイベントは、ドメインへのワークステーション追加を示します。

ファイルとディレクトリのバックアップ

イベントID 608 と 609で説明に「SeBackupPrivilege」があるイベントは、ファイルとディレクトリのバックアップを示します。

スキャンチェックのバイパス

イベントID 608 と 609で説明に「SeChangeNotifyPrivilege」があるイベントは、スキャンチェックのバイパスを示します。ユーザーがこのユーザー権利を使用すると、ディレクトリにアクセスするほかのアクセス許可を持っていない場合でも、ディレクトリツリーをスキャンできます。

システム時刻の変更

イベントID 608 と 609で説明に「SeSystemtimePrivilege」があるイベントは、システム時刻の変更を示します。このユーザー権利を使用すると、セキュリティプリンシパルはシステム時刻を変更できます。イベントが発生した時間をごまかせる可能性があります。

永続的共有オブジェクトの作成

イベントID 608 と 609で説明に「SeCreatePermanentPrivilege」があるイベントは、共有オブジェクトの作成を示します。このユーザー権利を持っているユーザーは、ファイルとプリンタの共有を作成できます。

プログラムのデバッグ

イベントID 608 と 609で説明に「SeDebugPrivilege」があるイベントは、プログラムのデバッグを示します。このユーザー権利を持つユーザーは、どのプロセスにもアタッチできます。既定では、この権利は Administrators のみに割り当てられています。

リモート強制シャットダウン

イベントID 608 と 609で説明に「SeRemoteShutdownPrivilege」があるイベントは、リモートコンピュータからの強制シャットダウンを示します。

スケジュール優先順位の繰り上げ

イベントID 608 と 609で説明に「SeIncreaseBasePriorityPrivilege」があるイベントは、スケジュール優先度の繰上げを示します。この権限を持つユーザーは、プロセスの優先順位を変更できます。

デバイスドライバのロードとアンロード

イベントID 608 と 609で説明に「SeLoadDriverPrivilege」があるイベントは、デバイスドライバのロードとアンロードを示します。このユーザー権利を持つユーザーは、トロイの木馬型のデバイスドライバをロードすることができます。

監査とセキュリティログの管理

イベントID 608 と 609で説明に「SeSecurityPrivilege」があるイベントは、監査とセキュリティログの管理を示します。このユーザー権利を持つユーザーは、セキュリティログを表示すること、および消去することができます。

プロセスレベルトークンの置き換え

イベントID 608 と 609で説明に「SeAssignPrimaryTokenPrivilege」があるイベントは、プロセスレベルトークンの置き換えを示します。このユーザー権利を持つユーザーは、開始されたサブプロセスに関連付けられた既定のトークンを変更することができます。

ファイルとディレクトリの復元

イベントID 608 と 609で説明に「SeRestorePrivilege」があるイベントは、ファイルとディレクトリの復元を示します。

システムのシャットダウン

イベントID 608 と 609で説明に「SeShutdownPrivilege」があるイベントは、システムのシャットダウンを示します。このユーザー権利を持つユーザーは、新しいデバイスドライバのインストールを初期化するのにシステムをシャットダウンすることができます。

オブジェクト所有権の取得

イベントID 608 と 609で説明に「SeTakeOwnershipPrivilege」があるイベントは、オブジェクト所有権の取得を示します。このユーザー権利を持つユーザーは、オブジェクトまたはファイルの所有権を取得することで、NTFS ディスク上のどのオブジェクトやファイルにでもアクセスすることができます。

イベントID= 608: ユーザー権利が割り当てられました。
イベントID= 609: ユーザー権利が削除されました。