Windowsのセキュリティ機能
AppLockerはアプリケーションの実行の許可・不許可を設定できるツールである。具体的には、「「実行可能ファイル(EXE)」「Windowsインストーラ・ファイル」「スクリプト」「DLL」の各カテゴリに対して、それぞれ「ファイルのパス」「ハッシュ値」「発行元(デジタル署名)」を設定し、これに「許可」「拒否」「例外」という3種類のルールが適用できる」。「AppLockerによるプログラムの実行制御は、ローカル・セキュリティ・ポリシーかグループ・ポリシーを使って行う」。
またApplockerでは「規則の実施」か「監査のみ」を選ぶことができ、前者を選ぶと実行の許可・不許可がAppLockerにより制御されるが、後者を選んだ場合には、AppLockerは実行を制御せず、実行結果がログに記載されるのみである。
Active Directory(以下、AD)はユーザ、グループ、およびコンピュータアカウントを管理するディレクトリサービスである。マイクロソフトはソフトウェアとしてADを提供しているのみならず、Azure Active Directory(Azure AD)としてクラウド提供もしている。
ADはこれらのアカウントをActive Directoryドメイン(略してADドメイン、あるいは単にドメイン)としてまとめられる。さらに複数のドメインをツリー型の階層構造を持つドメインツリーとしてまとめられ、ドメイン・ツリー同士を結び合わせたフォレストを作る事ができる。Windows Server 2003以降ではフォレスト間の信頼関係(クロスフォレスト信頼)も設定可能である。
企業を例に取ると、例えば以下のように上記分類を利用できる:
ドメイン:部署
ドメインツリー:関西支社といった拠点
フォレスト:企業全体
各ドメインはドメインコントローラーというサーバで管理できる。ドメインコントローラーの主な役割は、ユーザアカウントを管理し、ユーザが自身の端末にログオンする際ADが管理しているユーザアカウント情報と照らし合わせてログオン認証することと、アカウントに特権・権利を認可する事である。
各ドメイン内のアカウントはOU(Organizational Unit、組織単位)という単位でまとめる事ができ、さらにOU内にOUをいれるなど階層的な管理も可能である。なお、OU毎に別の管理者を割り当て管理委任する事も可能である。
BitLockerはディスク全体を暗号化することができるセキュリティ機能。他のPCにディスクを接続されても、中身を読むことはできない。コンピューターにTrusted Platform Module(TPM)が搭載されていれば、それを使用して暗号化を行う。BitLocker To GoはUSBメモリなどのリムーバブル・ディスクの暗号化を行える。
(リングプロテクションと違い、数字が大きいほど特権レベルが高い事に注意)。
VTL 0、VTL 1はリングプロテクションのRing 0、Ring 3とは独立した特権レベル概念であり、VTLが0か1か、リングプロテクションレベルが0か3かの組み合わせで計4つの特権レベルがある事になる。
WindowsではVBSを使うことで以下の3つのセキュリティ機能を実現している:
Windows 10 Fall Creators Update(バージョン1709)ではDevice Guardに代わる機能としてWindows Defender Application Guard(WDAG)が導入されている。WDAGと並び、AppLockerもWindowsが持つもう一つのアプリケーションホワイトリスト機能であるが、両者はいわば補完関係にある。WDAGは自組織にとって可能な制限レベルに対してのみ強制すべきで、それより低いレベルに関してはAppLockerによる保護で補完する。
ユーザアカウントはそのアカウントが持つ権限により、以下の2つに分類される:
User:標準ユーザ
Administrator:特権ユーザ
User、AdministratorはそれぞれUsersグループ、Administratorsグループに属している。なおWindows XPにはこの他にPower Userという区分が存在したが、Windows 7以降は廃止された。
またマシンを他のユーザに貸したりするときのためのGuestアカウントがあるが、Guestアカウントはセキュリティ上危険な事もあり、Windows 7以降はデフォルトでGuestアカウントはオフになっている。
Active Directory(後述)ではこれらの他に
Domain Administrator:ドメイン管理者
Enterprise Adiminstator:フォレスト管理者
がある。
Windows 10ではユーザアカウントに家族という概念が導入されており、家族のアカウントには、保護者やお子様がある。保護者アカウントはお子様アカウントのPC 使用時間の制限、閲覧ウェブページの制限、アプリやゲームの年齢制限の設定、利用履歴の確認といったペアレンタルコントロールを行う事ができる。
Windowsの標準ファイルシステムの一つであるNTFSではDACL(Discretionary Access Control List、随意アクセス制御)というアクセス制御機構を導入している。これはTCSECC2レベルセキュリティ(=コモンクライテリア・ISO/IEC15408のEAL3に対応)を実現するために導入されたものである。
NTFS DACLはリソースの所有者が任意にアクセス権を規定できるアクセス制御方式(任意アクセス制御方式)で、具体的にはファイルやフォルダの「プロパティ」から「セキュリティ」を選択する事でアクセス制御を設定できる。
アクセス制御は複数のACE(Access Control Entry)からなっており、各ACEは以下の4つの項目の組み合わせとして記述される:
NTドメインという単位でマシンやアカウントなどを管理する仕組み。ユーザアカウント、グループアカウント、システムポリシーが利用可能。「ドメインコントローラー(DC)」と呼ばれるサーバーでユーザアカウントやグループアカウントを一括管理しており、DCに(ユーザないしグループ)アカウントがNTドメイン内でどのような権限(書き込み権限、読み込み権限など)を持つかを一度登録すればNTドメイン内の全てのマシンでこの登録情報が共有される。このためワークグループと違い、個々のマシンにユーザ登録する必要はない。
ただし、NTドメインやアカウント管理に階層構造がない事やアカウント数に上限があるといった欠点がある。
Active Directoryが登場したこともあり、Windows 2000以降は新規にNTドメインが利用される事はほとんどなくなった。