業務PCのキッティング(初期設定)を効率化するために、全台のローカルAdministratorに同じパスワードを設定している組織は少なくありません。運用としては合理的に見えますが、この状態は1台の侵害を全台の侵害に変える構造を持っています。この記事では、なぜそうなるのかと、どう解消するかを整理します。
なお、サーバー側の管理者アカウントの扱いはWindows Serverの特権アカウント管理、権限設計そのものはアカウントの権限管理とはで扱っています。本記事はクライアントPCのローカル管理者パスワードに絞ります。
なぜ全台同一パスワードになるのか
意図的に決めているわけではなく、運用の積み重ねでそうなるのが実情です。典型的な経緯は次のようなものです。
- マスターイメージの複製 — 1台を作り込んでイメージ化し、それを展開する。ローカルAdministratorのパスワードもそのまま複製される
- キッティング手順書への記載 — 「Administratorのパスワードは○○に設定する」と手順に書かれ、以後すべての端末で同じ値が使われる
- サポート対応の都合 — 利用者のPCで管理者権限が必要になったとき、担当者がその場で入力できるように統一しておく
- 変更する手段がない — 全台のパスワードを変えるには1台ずつ触るしかなく、現実的でないため放置される
4つ目が本質です。変更が困難だから固定されるという構造なので、担当者の意識ではなく手段の問題として扱う必要があります。
1台の侵害が全台に広がる仕組み
ローカルAdministratorのパスワードが全台共通の場合、次の順で被害が広がります。
- 1台が侵害される — フィッシングや不正なファイルの実行など、経路は何でも構いません
- その端末からローカル管理者の資格情報が取り出される — 管理者権限を得た攻撃者は、端末内に保持されている資格情報を回収します
- 同じ資格情報で他の端末に入る — 全台共通であるため、回収した1組がそのまま社内の他のPCに通用します
- ドメイン管理者の資格情報を探す — 端末を渡り歩くうちに、管理者が作業でログオンした端末に残る資格情報に到達します
ここで重要なのは、この横移動はドメインのパスワードポリシーでは止まらないことです。グループポリシーで設定するパスワード要件はドメインアカウントに適用されるもので、各端末のローカルアカウントには及びません。GPOで扱える範囲と扱えない範囲はグループポリシーでできるアカウント保護設定で整理しています。
ランサムウェアの被害が「1台の感染」ではなく「全社の停止」に至るのは、多くの場合この横移動の段階を止められていないためです。侵入後の広がりについてはランサムウェア対策の基本も参照してください。
LAPSとは何をする仕組みか
この問題への標準的な対処が、ローカル管理者のパスワードを端末ごとに異なる値へ自動で変更し、その値を組織側で安全に保管する仕組みです。Windows環境ではLAPS(Local Administrator Password Solution)として提供されており、現在はWindowsに組み込まれた形で利用できます。
動作を分解すると、行っていることは次の3つです。
- 端末ごとにランダムなパスワードを生成し、定期的に変更する — 全台共通という状態が構造的に発生しなくなります
- 生成した値を組織のディレクトリまたはクラウド側に保管する — 担当者は必要なときに参照して使います
- 参照できる担当者を限定し、参照の記録を残す — 誰がいつどの端末のパスワードを見たかが追えます
つまり、パスワードを人が覚えて使い回す運用を、必要なときに調べて使う運用に置き換えるものです。管理者が値を知らなくても業務が回る状態を作ることが目的になります。
導入前に決めておく4つのこと
仕組み自体は追加費用なしで導入できますが、決めずに始めると運用で止まります。
- 誰がパスワードを参照できるか — 全情シスに開放するのか、対応者を限定するのか。限定する場合、担当者が不在のときの代替を誰にするか
- ネットワークに繋がらない端末をどうするか — 自動変更は組織側と通信できる前提です。長期間持ち出されている端末や閉域網の端末は、保管されている値と実際の値がずれる可能性があります
- ローカル管理者を残すのか、無効化するのか — 使う場面が本当にあるかを先に確認します。日常業務で不要なら、パスワードを管理するより無効化するほうが確実です
- キッティング手順書を改訂するか — 手順書に固定パスワードが書かれたままだと、新規導入分だけ元の状態に戻ります
3つ目は最初に検討する価値があります。ローカル管理者を実際に使う場面が年に数回であれば、無効化して必要時のみ有効化する運用のほうが管理対象が減ります。
この対策で閉じない経路
誤解のないように整理しておくと、この仕組みが閉じるのは「1台から回収した資格情報で他の端末に入る」経路です。最初の1台に侵入される経路そのものは閉じません。
また、正規のドメインアカウントのID・パスワードが盗まれて正面からログインされる経路も別問題です。そちらはパスワード以外の要素を追加する話になります(Windows/Windows Server OSログインの二要素認証)。ローカル管理者パスワードの管理は被害の広がりを抑える対策であり、侵入そのものを防ぐ対策と組み合わせて意味を持ちます。
自社の状況を確認する
ローカル管理者パスワードが全台共通かどうかは、キッティング手順書と実機を突き合わせればすぐに判明します。applippliの無料診断では、約3分の質問に回答するだけで、こうしたアカウント管理・認証の対応状況を確認できます。