Credential Guard

　Microsoftによれば、データ漏えいの約80～90％は認証情報の盗難によるもので、攻撃者は盗まれたドメインやユーザー認証情報を使って、ネットワーク内を動き回ったり、他のコンピュータにアクセスしたりしているという。ほとんどのWindows環境にはMicrosoftのチャレンジレスポンス型認証プロトコル「NT LAN Manager（NTLM）」が使われている。だが、NTLM認証には1つ大きな問題点がある。それは、攻撃者がリモートサーバやリモートサービスに認証されるには、必ずしもユーザーのプレーンテキストのパスワードを入手しなくても、パスワードのハッシュがあれば十分であるという点だ。システムにマルウェアをインストールし、ユーザーがWindowsにログインする際にハッシュを集め、そうしたハッシュを使ってそのユーザーになりすますことができる。こうした攻撃は、狙われる認証情報によって「Pass-the-Hash」攻撃や「Pass-the-Ticket」攻撃などと呼ばれる。Microsoftの「ケロベロス認証パッケージ」を使えばNTLMよりもセキュリティが強固だが、それでもまだ上述の攻撃手法を使って認証システムを回避される可能性はある。

　米連邦人事管理局（OPM）の職員の個人情報が流出した事件も含め、この種の攻撃は多くのデータ攻撃に使われている。こうした攻撃を防ぐべく、MicrosoftはWindows 10 Enterpriseに「Credential Guard」という新機能を追加した。認証仲介に使用するログオンサービスを実行するための必要最低限の機能を備えたVSMを用意し、そこにユーザー認証情報を隔離するという機能だ。総当り攻撃を回避するために、アクセストークンとチケットは完全にランダムな最大長のハッシュに保存され、管理される。Device Guardと同じハードウェアとVBSを使うことで、仮にマルウェアがフルシステム権限へのアクセスを入手したとしても、Credential Guardに格納されているデータにはアクセスできないようになっている。

　Windows 10 Enterpriseの新しいセキュリティ機能を活用するには、幾つかの満たすべき要件があり、多くの場合、ハードウェアとソフトウェアへの投資が必要となる。例えば、Device GuardとCredential Guardには以下のシステム要件がある。

• UEFI 2.3.1以降
• Intel VT-dまたはAMD-Viなどの仮想化支援機能
• 64bit版Windows 10 Enterprise
• IOMMU
• TPM 2.0
• セキュアブート

　米HP、台湾Acer、中国Lenovo、東芝などのハードウェアベンダーは既に「Device Guard-capable」または「Device Guard-ready」のマシンを販売しているが、これらは通常の軽量かつ低コストなコンシューマーモデルではない。Device Guard-readyは、そのデバイスがWindows 10 Enterpriseの新しいセキュリティ機能使うためのハードウェア要件を満たし、Device Guardに最適化されたカーネルドライバがインストールされており、セキュリティ機能が有効になっていることを示す。一方、Device Guard-capableは、そのデバイスがそれらのハードウェア要件を満たしているものの、ドライバのインストールと設定はシステム管理者がする必要があることを示している。もう1つの必要な要件として、ドメインコントローラーで「Windows Server 2016」を実行している必要がある。

Device Guardの導入

　Windows 10 Enterpriseの新しいセキュリティ機能を活用したい場合、ハードウェア要件を満たすデバイスのユーザー向けに、Device GuardとCredential Guardとその他各種の機能を有効にした新しいドメインを作成するのが良い。コード整合性ポリシーの作成方法は、システムをスキャンしてデバイスにインストールされている全てのアプリケーションのリストを作成するといった選択肢が用意されている。デフォルトでは、ポリシーは監査モードで作成される。つまり、ポリシーは実施されないが、代わりに、ブロックされていたであろうファイルが全てイベントログに記録される。これにより、管理者はポリシーを完全に実施する前にあらゆる問題を評価できる。アップグレードできないデバイスやレガシーシステムは既存のドメインに残し、そのドメインに関しては特権アカウントの保護に力を注ぐ。そして、マルウェアの検出と封じ込めのためのソリューションを導入するといいだろう。

　Microsoft PassportとWindows HelloにDevice GuardとCredential Guardを組み合わせれば、一般的な攻撃手法の多くは成功率が確実に下がり、Windows環境のロックダウンに大いに役立つはずだ。ただし、これらの機能を効果的に使用するには、適切なハードウェアだけでなく、スタッフのトレーニングも必要となる。

　米セキュリティ教育機関SANS Instituteは以前から、コンピュータセキュリティが脆弱（ぜいじゃく）である主要な原因の1つは、スタッフのトレーニングにあるという。SANS Instituteは、「トレーニングを受けていないスタッフをセキュリティ業務に就かせ、必要な知識を学んだ上で業務に取り組めるようにするトレーニングの時間も与えないことが脆弱性を生む原因だ」と主張している。Windows 10にはさまざまなセキュリティ機能が用意されている。IT部門のスタッフには、そうした機能の最適な使用方法と導入方法を学ぶための時間を与えるべきだ。

　Device Guardを使ってマルウェア感染を確実に阻止できるかどうかは、ハイパーバイザーベースのセキュリティの堅牢さ次第だ。だが、その点についてはまだあまり分かっていない。Device Guardは恐らく厳重に管理されたセキュアな実行環境で動作するだろうが、これまでも「セキュアな実行環境」は敗北を喫している。またCredential GuardはPass-the-Hash攻撃は阻止できても、入力を監視して記録する「キーロガー」に対する防御にはならない。さらに企業は、アプリケーションストア「Windows Store」に登録されるアプリケーションの審査プロセスのクオリティーにも左右されることになる。一方、企業とソフトウェアベンダーは署名証明書を厳重に守る必要がある。さもなければ、この信頼モデル全体が成り立たない。

　実際のところ、これだけのレベルのセキュリティの実装は非常に高くつく。レガシーハードウェアと古いOSをアップグレードするコストを考えると、採用の広がりには時間がかかりそうだ。ただし、欧州連合（EU）の新しいデータ保護指令では規則に違反した場合、罰金が年間世界売上高の最大4％と定められていることもあり、企業は恐らく、システムの完全性を確保するためであれば支払うに値するコストだと判断するのではないだろうか。