はじめに

企業のIT環境では、PCやサーバーなどのエンドポイントを狙ったサイバー攻撃への対策がますます重要になっています。

その中でも特に注意したいのが、管理者権限 (特権) の悪用です。ユーザーに必要以上の管理者権限が付与されていると、マルウェアへの感染やアカウントの侵害が発生した際に、その権限を悪用されて被害が拡大する可能性があります。

一方で、すべてのユーザーから管理者権限を取り上げてしまうと、業務に必要なアプリケーションのインストールや実行ができなくなるなど利便性や運用面で新たな課題が生じます。

そこで重要になるのが、ユーザーやアプリケーションに対して必要なときに必要な範囲だけ権限を与える「最小特権」の考え方です。

本記事では、この最小特権をエンドポイントで実現するソリューション「Idira Endpoint Privilege Manager (Idira EPM)」についてご紹介します。

　

Idira EPMとは

PCやサーバーなどのエンドポイントに最小特権を適用し、管理者権限の悪用や不正なアプリケーションの実行を防ぐセキュリティソリューションです。ユーザーに常時管理者権限を付与するのではなく、業務に必要なアプリケーションやプロセスに限定して権限を昇格できます。また、ポリシーに基づいてアプリケーションの実行を制御することも可能です。

これにより、ユーザーの利便性を維持しながらエンドポイントのセキュリティリスクを低減できます。

　

Idira EPMでできること

Idira EPMでは、エンドポイントの特権を適切に管理し、アプリケーションの実行を制御できます。ここでは、主な機能である「特権管理」と「アプリケーション制御」についてご紹介します。

■ユーザーの権限管理 (特権管理)

Idira EPMの特権管理では、ユーザーに常時ローカル管理者権限を付与するのではなく、必要なアプリケーションやプロセスだけに管理者権限を付与することができます。

例えば、通常は標準ユーザーとしてPCを利用しながら、「特定の業務アプリケーションを実行するときだけ権限を昇格する」といった運用が可能です。これにより、ユーザーは業務に必要な操作を行える一方、端末全体に対する強力な管理者権限を持つ必要がなくなります。

ユーザーから管理者権限を取り除きつつ、必要な操作だけを許可することで、利便性を維持しながら最小特権を実現できる点がIdira EPMの大きな特徴です。

　

■アプリの実行管理

Idira EPMのアプリケーション制御では、エンドポイント上で動作するアプリケーションを識別し、ポリシーに基づいて実行の許可・制限・ブロックを行うことができます。

例えば、業務で利用することが確認されているアプリケーションは許可し、利用を認めていないアプリケーションはブロックするといった制御が可能です。また、まだ安全か脅威か判断されていないアプリケーションについてもイベントとして収集し、評価結果に応じて実行を許可するのか、制限するのか、ブロックするのかを判断できます。

さらに、ソフトウェア配布システムや特定のネットワーク共有などを「信頼するソース」として定義し、そこから配布されたアプリケーションを信頼する、といった柔軟なルールも設定できます。

このようにIdira EPMでは、単純にアプリケーションを一律で禁止するのではなく、「誰が」「どのアプリケーションを」「どのような条件で実行できるか」をポリシーとして管理することができます。

特権管理とアプリケーション制御を組み合わせることで、ユーザーの利便性を大きく損なうことなく、エンドポイントの攻撃対象領域を縮小してより安全な利用環境を実現できます。

　

Idira EPMを使ってみた

EPMエージェントのインストール

Idira EPMでは、デバイスにEPMエージェントを導入して管理者権限やアプリの実行を制御します。エージェントのインストーラーは、EPM管理画面から取得することができます。Windows、macOS、Linuxをサポートしています。

エージェントインストールキットをダウンロードすると、一意のインストールキーが生成されます。このキーはエージェントをインストールする際に必要です。

デバイスにてインストーラーを実行し、インストールウィザードで先ほどのキーを入力します。

エージェントのインストール完了後、システムトレイ (通知領域) からエージェントにアクセス可能です。

About CyberArk EPM Agentから、ソフトウェアのバージョンやポリシーの最終更新日時を確認できます。

　

ローカル管理者権限の剥奪

ローカル管理者グループからユーザーを削除することで、管理者権限を剝奪します。
※ローカル管理者権限を維持するユーザーを指定して除外することも可能です

ポリシー適用後、デバイスにてユーザーが所属するグループを確認すると、ローカル管理者グループ (Administrators) からユーザーが削除されていることがわかります。これで、ユーザーは管理者権限を必要とする操作を実行できない状態となります。

ユーザデバイス上でPowerShellを「管理者として実行」してみると、管理者権限を要求するための通知ダイアログが表示されます。

　

拡張ポリシーの設定

一般ユーザーにおいても管理者権限を使用する場合がありますが、その都度管理者が対応する運用では業務負荷が高まってしまいます。Idira EPMでは、拡張ポリシーによる制御を適用することで、アプリケーション毎に管理者権限の利用を許可することができます。

実行ファイルやインストーラ、管理者タスクなどに対して自動昇格やブロックなどのアクションを定義し、きめ細かいルールを作成することが可能です。

　

アプリ登録の簡素化

ハッシュ等によるアプリケーションの個別登録は運用負荷が課題となることがあります。Idira EPMでは、信頼ポリシーによって最小限の工数でアプリケーションの登録が可能となります。

指定した署名によって署名されたアプリケーションを、「管理者特権が必要な際に昇格」もしくは「昇格なしで実行 (許可)」することができます。

　

まとめ

本記事では、Idira EPMの概要や主な機能、実際の設定についてご紹介しました。
Idira EPMを活用することで、ユーザーの利便性を維持しながら最小特権を実現し、エンドポイントのセキュリティリスクを低減できます。管理者権限の適切な管理やアプリケーション制御を検討されている方は、ぜひIdira EPMの活用をご検討ください。

　

__________________________________________________________________________________

※本ブログの内容は投稿時点での情報となります。
　今後アップデートが重なるにつれ正確性、最新性、完全性は保証できませんのでご了承ください。

「Palo Alto Networksコンシェルジュ」
製品パンフレットのDLからお見積り依頼まで受け付けております