管理者権限とは？

01管理者権限とは

管理者権限は、パソコンやシステムの設定を何でも変えられる強い権限です。ソフトのインストール、ほかの人のアカウントの作成や削除、セキュリティ機能の停止までできます。Windowsでいえば「管理者」のアカウント、会社のネットワークでいえばサーバーやクラウドの管理者アカウントがこれに当たります。

強い権限は、攻撃者にとって一番ほしいものです。JPCERT/CCは、社内の複数のシステムで同時に暗号化の被害が出た場合、ドメインコントローラーなどの管理サーバーの管理者アカウントが乗っ取られ、その権限でランサムウェアを一斉に配って実行されたおそれがあるとしています。

02危ない使い方の例

• ふだんの仕事を管理者のアカウントのまま行っている。メールの添付ファイルを開いて感染すると、ウイルスも管理者の権限で動きます
• 全員に管理者権限を配っている
• 1つの管理者アカウントを複数人で使い回している
• 機器に最初から作られている「admin」などのアカウントを、そのまま残している
• 辞めた人や外部業者の管理者アカウントが残っている

03防ぐには

考え方は「必要な人に、必要なときだけ、必要な分だけ」です。警察庁は、アカウントに割り当てる権限やアクセスできる範囲を必要最小限にすることが、アカウントが乗っ取られたときの被害の拡大を防ぐとし、特に管理者権限は渡す相手を絞って厳しく管理する必要があるとしています。

1. ふだんの仕事は権限の弱いアカウントで行い、管理者のアカウントは設定のときだけ使う
2. 管理者権限を持つ人を一覧にし、本当に必要な人だけに絞る（IPAは、過剰な管理者権限を与えないこと、定期的なアカウントの棚卸を挙げています）
3. 同じアカウントを複数人で共用しない。誰が操作したかがログで分からなくなります
4. 管理者アカウントには多要素認証を設定する
5. 機器の初期アカウントは無効にするか、パスワードを変える
6. 退職や契約の終了のときに、すぐ削除する

04被害にあったら

管理者アカウントが乗っ取られた疑いがあるときは、JPCERT/CCは、管理者アカウントが侵害されたかを調べ、パスワードを変え、変えられた設定やポリシーを無効にするよう書いています。侵害されたシステムに不審な操作やアカウント、プロセスがないかも調べます。範囲が広い場合は、専門の会社にインシデント対応を頼みます。