アプリケーションのアクセス制御 / 実践ガイド
コンピュータ上の不正なソフトウェアをブロックする方法
従業員が実行できるアプリケーションを制御し、未承認のインストールを減らし、テストされたルールと明確な例外に従って正当な作業を継続します。
従業員は、無料の PDF コンバータ、ブラウザ拡張機能、またはリモート アクセス ユーティリティを便利だと考えてインストールします。 IT 部門がそれを発見するまでに、そのツールは企業データを漏洩したり、マルウェアを導入したり、企業デバイスへの未承認のパスを作成したりしている可能性があります。 コンピュータ上の不正なソフトウェアをブロックする機能は、セキュリティ、生産性、ライセンスコスト、説明責任を直接制御します。
中小企業の場合、目標は、会社所有のエンドポイントで、既知のセキュリティ設定と明確なビジネス目的を備えた承認済みツールを確実に実行することです。それには、スタッフにソフトウェアをインストールしないよう指示する以上のことが必要です。それには、技術的な強制、何が実行されているかの可視性、および正当な例外を承認するプロセスが必要です。
01不正なソフトウェアとそれが生み出すリスクを特定する
不正なソフトウェアが警告ラベルとともに届くことはほとんどありません。それは、クライアントとファイルを共有するために使用される消費者向けクラウド ストレージ アプリ、トレーニング用にインストールされた画面録画ツール、ダウンタイム中にダウンロードされたゲーム、または有料ソフトウェアのライセンスのないコピーである可能性があります。それぞれのケースで異なる問題が発生しますが、それらはいずれもエンドポイントに対する企業の制御を低下させます。
未調査のアプリケーションにはマルウェアが含まれている可能性があり、認証情報を収集し、承認されたストレージ外にファイルを送信したり、セキュリティ ソフトウェアと競合したりする可能性があります。リモート コントロール ユーティリティは、従業員や外部の関係者が IT 部門の監視なしでワークステーションにアクセスできるようにする可能性があるため、特に注意が必要です。正規のソフトウェアであっても、古くなったり、設定が間違っていたり、非公式のソースからインストールされていたりすると、リスクが生じる可能性があります。
運用コストもかかります。未承認のアプリは帯域幅、ディスク容量、サポート時間を消費します。従業員は、データがどこに保存されているかを知らずに、個人メッセージング、ファイル共有、または AI ツールを使用して会社情報を処理する可能性があります。ソフトウェアとライセンスの正確な記録を維持すると、ベンダーのライセンス審査への対応も容易になります。
承認されたソフトウェア ベースラインを作成する
アプリケーション名、発行者、サポートされているバージョン、ビジネス所有者、承認されたソース、およびそれを必要とするチームを記録します。そのベースラインを、インストールされているソフトウェア インベントリおよびアプリケーションの使用記録と比較します。インストールされたアプリケーションは使用されていない可能性があります。ポータブルな実行可能ファイルは、従来のインストール済みプログラムのリストに表示されずに実行される場合があります。どちらもレビューに関連します。
未承認のリモート アクセス ツール、消費者向け同期クライアント、ライセンスのないソフトウェア、ゲーム、および見慣れない実行可能ファイルなど、最も大きな危険にさらされるカテゴリから始めます。ルールを作る前に事業目的を確認しましょう。エンジニアリングに必要な専門ユーティリティは、不明なダウンロードと同じように扱うのではなく、定義された所有者と範囲を持つ必要があります。
02ソフトウェアのインストールを最小限の特権アクセスで制限する
標準ユーザーは、業務で本当に必要な場合を除き、会社のコンピュータ上でローカル管理者権限を持つべきではありません。管理者権限により、ユーザーは多くのアプリケーションをインストールしたり、セキュリティ設定を変更したり、既存の保護を弱めたりすることができます。日常的なアカウントを、承認された管理に使用されるアカウントとは別に確認してください。
これは、IT 部門がビジネスの速度を低下させなければならないという意味ではありません。ソフトウェア リクエストに対して定義された承認パスを確立し、管理されたインストール プロセスを通じて承認されたツールを展開するか、正当な場合には制御された一時的な昇格を提供します。厳格な権限制御は、特殊なソフトウェアを必要とする技術スタッフや従業員にストレスを与える可能性があります。これらの役割には、カスタマイズされた権限と実際的なサポート プロセスが必要です。
インストールのブロックは実行のブロックとは異なります
管理者権限の削除は重要な開始点ですが、これは完全なアプリケーション ポリシーではありません。一部のソフトウェアはユーザーのプロファイル内にインストールされ、ポータブル アプリケーションは従来のインストールなしで実行できます。 Microsoft は、AppLocker ポリシー計画ガイダンスで、標準ユーザーがパッケージ化されたアプリをインストールできることにも言及しています。何を実行できるか、また誰がソフトウェアをインストールできるかを決定します。
たとえば、個人用ファイル同期クライアントのインストール許可を拒否しても、すでに存在するコピーは削除されません。既存のソフトウェア インベントリを確認し、適切な制御で未承認の実行を制限し、管理プロセスを通じて不要なインストールを削除します。
03アプリケーションの許可リストまたは対象を絞ったブロック ルールを選択します
単一の設定では、すべての未承認アプリケーションを停止することはできません。実践的なプログラムは、予防と検出を組み合わせたものです。防止により、ユーザーがインストールまたは実行できるものが制限されます。検出により、ポリシーのギャップ、繰り返された試行、および制御が導入される前にすでに存在していたソフトウェアが特定されます。
特定の禁止されたアプリケーションに対してブロックリストを使用する
ブロックリストは、指定されたアプリケーションを制限し、他のプログラムは使用可能なままにします。これは、チームがさまざまなツールを必要とし、IT 部門が特定の不要なソフトウェアを特定した場合の実用的な出発点です。例には、未承認のリモート アクセス ユーティリティ、ピアツーピア クライアント、ゲーム、未承認のクラウド ドライブなどがあります。
拒否リストには継続的なメンテナンスが必要です。新しいアプリケーション、名前変更されたファイル、更新された実行可能ファイル、および付随プロセスは、コントロールがソフトウェアとどのように一致するかに応じて、結果を変更する可能性があります。表示名がすべての関連コンポーネントをカバーしていると想定するのではなく、実際の実行可能ファイルとルールの一致動作を確認してください。
定義された一連の作業ツールにホワイトリストを使用する
ホワイトリストは、承認されたアプリケーションのセットを許可し、選択した制御の範囲内でその他のアプリケーションを制限します。安定したビジネス ツールのセットを備えたキオスク、共有ワークステーション、または部門に適しています。リストを適用する前に、サインイン ヘルパー、印刷コンポーネント、更新サービス、アクセシビリティ ソフトウェアなどの依存関係を計画します。
厳密な許可リストを作成するには、特に特殊な基幹業務アプリケーションを使用するチームの場合、より多くの準備が必要です。よく理解されているデバイス グループから始めて、必要なプログラムを文書化し、パイロットによって正当な作業が継続していることが実証された後に拡張します。以前のポリシーを復元するためのテスト済みの方法を維持してください。
ポリシーを適用テクノロジーに一致させます
管理対象の Windows デバイスでは、専用のアプリケーション制御システムが発行者、ファイル ハッシュ、またはパスに基づくルールをサポートする場合があります。 Microsoft では、App Control for Business と AppLocker を Windows アプリケーション コントロール オプションとして文書化しています。選択したツールのサポートされているルール タイプ、オペレーティング システム、展開要件を確認してください。監査モードが利用可能な場合は、適用する前にその結果を確認してください。
ファイル タイプまたはフォルダーの制限には特に注意が必要です。ダウンロード フォルダーや一時フォルダー内のインストーラー、スクリプト、またはファイルのルールは、正当なセットアップ タスクやメンテナンス タスクに影響を与える可能性があります。デスクトップ アプリケーションの名前ベースの制限は、発行者検証、スクリプト制御、またはコードの実行を阻止するセキュリティ ポリシーと自動的に同等になるわけではありません。
04ブラウザ拡張機能とソフトウェア ダウンロード ソースの制御
ブラウザ拡張機能には、独自の管理対象ブラウザのポリシーと検証が必要です。実行可能ルールをここに保持し、拡張機能/プロファイル設定をブラウザーのベースラインに保持します。どちらも自動的に他方を設定しません。
管理対象 Chrome ブラウザについては、Google のアプリと拡張機能のポリシー ガイダンスに許可設定とブロック設定が記載されています。対象のユーザーまたはブラウザにポリシーを適用し、実際の適用範囲を確認します。また、組織がサポートするブラウザも決定します。 1 つの管理対象ブラウザのポリシーによって、別のブラウザが自動的に設定されることはありません。
Web フィルタリングにより、不要なソフトウェアのダウンロードを減らすことができます。承認されたベンダーとアップデートの場所を利用可能な状態に保ちながら、文書化されたビジネス リスクを生み出すダウンロード ソースとサービスを制限します。設計チームは、会計には不要なベンダーのダウンロード ページを必要とする場合があります。
補完的な制御として、職場のコンピュータで Web サイトをブロックするを使用します。ダウンロード Web サイトをブロックしても、デバイス上にすでに存在するプログラムの実行は妨げられません。アプリケーション制限、ブラウザ ポリシー、Web サイト アクセスを互換性のあるものとして扱うことなく、一緒に確認します。
05Net Monitor for Employees Pro
Net Monitor for Employees Pro は、管理者に実行中のアプリケーションとプロセスを検査し、アプリケーション制限を適用するための中心的な場所を提供します。 アプリケーションとプロセスのヘルプでは、以下のコントロールについて説明します。部門にポリシーを適用する前に、パイロット コンピュータと無害なテスト アプリケーションから始めます。
- アプリケーションとそのプロセスを検査します。Applications タブには、表示されているアプリケーション ウィンドウまたはタスクがリストされます。バックグラウンド プロセスや、PID やコマンド ラインなどの詳細を確認するには、[Processes] タブを使用します。アクションを実行する前に、アイテムが不要なアプリケーションに属していることを確認してください。
- 適切なリストを作成します。Add to blocked/allowed list を使用して、選択した行からポリシー リストにアプリケーション名をコピーします。ホワイトリストを作成するときは、重要なビジネス アプリケーションとサポート コンポーネントを念頭に置いてください。
- ルールモードを選択します。Blocking Applicationsで、リストされたアプリケーションを制限するにはBlock listを選択し、リストされたセットを許可するにはAllow listを選択します。このタブには、Allow all と Block all もあります。いずれかのモードを適用する前に、その効果を理解してください。
- 対象範囲内のコンピュータを確認します。 Use same settings for all computers は、共有ポリシーをグローバルに適用します。共有設定をオフにすると、現在のコンピュータにポリシーをロードし、選択したコンピュータに適用できます。アクセス権を変更する前にスコープを確認してください。
- ルールを適用してテストします。Apply settings を選択し、テスト アプリケーションと従業員が必要とする承認済みプログラムを起動してみてください。 1 つのウィンドウが閉じたかどうかだけでなく、関連するプロセスや作業タスクを確認します。
- 起動時の動作と一時的なアクセスを確認します。 リモート コンピュータで制限を開始する必要がある場合は、Automatically start rules を構成し、再起動後にテストします。 Temporary allow all は、リストを保持しながら適用を無効にします。トラブルシューティング後に目的のポリシーを復元し、再度確認してください。
アプリを一度閉じても、進行中のルールは置き換えられません
End Task は、現在のコンピュータ上で選択したアプリケーションを閉じます。 End all tasks with same name は、選択したすべてのコンピュータ上のそのアプリケーションを対象とします。プロセス コントロールには、Kill processとKill all processes with same nameが用意されています。これらは即時的な管理措置です。永続的な制限は、Blocking Applicationsで個別に設定します。
タスクを閉じる前に、保存されていない作業内容を考慮し、影響を受けるコンピュータを確認してください。アプリケーション制限は、プログラムをアンインストールしたり、マルウェアとして分類したり、エンドポイント保護を置き換えたりするものではありません。管理する各プラットフォームおよび構成でサポートされる動作を確認します。インターネット経由で管理する場合は、リモート接続とクラウド ライセンスのガイダンスに従ってください。
06アプリケーションのアクティビティを監視し、不正なソフトウェアに対応する
視界を確保せずにブロックすると死角が生じます。 IT 部門は、各エンドポイントでどのアプリケーションが実行されているか、および不要なソフトウェアが引き続き出現するかどうかを理解する必要があります。プロセス検査は、可視ウィンドウのないポータブル アプリケーションやユーティリティに特に役立ちます。
アプリケーション使用状況レポートとレポート フィルタを使用して、コンピュータ、ユーザー、および時間範囲ごとに記録されたアクティビティを確認します。現在の状態を確認する必要がある場合は、その履歴を関連するライブ画面表示と組み合わせます。アプリケーションの使用状況記録を、インストール イベントや起動ブロックされたログとは別に保管します。これらの記録が利用可能な場合は、オペレーティング システムまたは強制ツールを参照してください。
モニタリングは、書面化された社内ルールに関連付けられ、一貫して適用される必要があります。従業員は、会社のデバイスが管理資産であること、どのようなアクティビティが記録されるのか、例外をどのように要求できるのかを理解する必要があります。アクティビティ記録へのアクセスを、定義されたタスクに必要なスタッフに限定します。
対応を決定する前に調査してください
すべての発見を懲戒イベントとして扱わないでください。まず、ソフトウェアが何であるか、誰がそれをインストールしたか、記録が証明している場所、ソフトウェアにどのような権限があるか、会社データにアクセスまたは送信したかどうかを確認します。電卓アプリは、リモート デスクトップ ツール、資格情報マネージャー、クラウド同期クライアント、または不明な実行可能ファイルからのさまざまな質問を提示します。
潜在的に危険なソフトウェアについては、組織のインシデント対応手順に従ってください。これには、エンドポイントの分離、変更前の関連レコードの保存、プログラムの削除、公開された資格情報の変更、関連コンポーネントのスキャンなどが含まれる場合があります。同じアプリケーションが他のデバイスに表示されるかどうかを確認します。 1 つのインストーラーが部門全体で共有されている場合があります。
リスクの低い違反の場合は、承認された管理プロセスを通じてソフトウェアを削除し、インシデントを文書化し、承認された代替案を説明します。違反が繰り返される場合は、許可、トレーニング、状況の見直しが必要になります。一貫した適用が重要です。一部のデバイスで不正なソフトウェアが日常的に無視されている場合、ポリシーを維持することが困難になります。
07従業員が使用するソフトウェア承認プロセスを構築する
承認されたソフトウェアの取得に数日かかるため、今すぐ解決策が必要な場合、従業員はポリシーをバイパスします。短く予測可能なリクエスト プロセスにより、そのプレッシャーが軽減されます。要求者に、ソフトウェア、そのビジネス目的、ベンダー、アクセスするデータ、および要求の緊急性を特定するよう要求します。
IT 部門は、アプリケーションが正当であるか、ライセンスが付与されているか、既存のシステムと互換性があるか、関連するデータが受け入れられるかどうかを評価できます。可能であれば、承認された代替品を提供します。チームがパブリック ファイル共有ツールを要求した場合は、漠然と拒否するのではなく、会社のストレージ プラットフォームを指示してください。
通常リクエストおよび緊急リクエストの応答対象を設定します。すべてのツールがすぐに承認されるに値するわけではありませんが、従業員は正当なビジネス ニーズが検討されることを知っておく必要があります。迅速な承認プロセスにより、厳密なブロックの維持が容易になります。
- 例外は具体的にしてください。 アプリケーション、要求チーム、影響を受けるコンピュータ、ビジネス オーナー、承認者を記録します。
- レビュー日または有効期限を設定します。 一時的なプロジェクト ツールは、所有されていない永続的な例外になってはなりません。
- ポリシーの変更を記録します。どのルールまたはリストが変更されたか、および以前の設定を復元する方法をメモします。
この承認レコードは、サポートまたは変更管理プロセスで管理してください。ソフトウェア許可リストと一時的なバイパス制御自体は、承認ワークフローを提供しません。
08ロールアウトをテストし、コントロールが機能するかどうかを測定します
ブロッキング プログラムは時間の経過とともに改善されるはずです。ブロックされた起動またはインストールの試行（関連するコントロールによって記録されている場合）、不正なアプリケーションの使用の繰り返し、例外リクエスト、承認のターンアラウンド、およびルールによって中断された正当な作業を確認します。これらの指標は、政策が緩すぎるか、制限が強すぎるか、または不明確かどうかを示します。
パイロットでは、禁止されたアプリケーション、承認されたアプリケーション、サポートされているプロセス、通常のソフトウェア更新、および再起動をテストします。代表的な従業員のアカウントとデバイス構成を含めます。リモート ラップトップの場合は、従業員が実際に使用する接続条件のポリシーを確認してください。
承認されたソフトウェア インベントリも定期的に確認してください。不要になったアプリケーションを削除し、残っているアプリケーションにパッチを適用し、ライセンスが実際の使用状況と一致していることを確認します。未使用のアプリケーションはすべて、潜在的な攻撃対象領域とサポート義務を追加します。
最も大きなリスクを生み出すデバイスとソフトウェア カテゴリから始めて、検証された結果に基づいて拡張します。明確なポリシー、制限された権限、テストされたアプリケーション制御、および有用なアクティビティ記録により、会社のコンピュータは会社の仕事に集中し続けることができます。
アプリケーション ルールの受け入れチェック
- インストール済み、ポータブル、およびユーザー プロファイルのコピー: 標準の従業員アカウントを使用して、関連する各起動パスをテストします。
- ヘルパーのプロセスと更新: サインイン、印刷、アクセシビリティ、および次に承認されたソフトウェア更新が引き続き機能することを確認します。
- 再起動とリカバリ: 意図したルールが再開されることを確認し、文書化された一時例外をテストしてから、復元して施行を再チェックします。
テストごとに、実行可能ファイル、コンピューター、アカウント、期待される結果、実際の結果、ポリシー所有者、およびロールバックを記録します。窓が 1 つ閉じられたとしても、すべての発射ルートが制御されているという証拠にはなりません。
09コンピュータ上の不正なソフトウェアのブロックに関する質問
従業員が未承認のソフトウェアをインストールするのを防ぐにはどうすればよいですか?
不要な管理者権限を削除し、承認されたソフトウェア要求と展開プロセスを提供します。また、環境に合わせてアプリケーションとブラウザのポリシーを構成します。インストール許可だけでは、すべてのユーザーレベルのアプリケーション、拡張機能、またはポータブル プログラムをカバーできるわけではありません。
職場のコンピューターで承認されたアプリケーションのみを許可できますか?
はい、選択したアプリケーション制御ツールでサポートされている許可リストを使用します。 Net Monitor for Employees Pro には、Blocking Applicationsに Allow list モードが含まれています。制限的なリストを広範囲に適用する前に、必要なヘルパー プログラムと日常業務をテストします。
アプリケーションをブロックするとアンインストールされますか?
いいえ。制限は、ルールの範囲内でのアプリケーションの使用を制御します。インストールされているソフトウェアの削除は、別の管理アクションです。削除後、ルールが残っているコピーまたは再導入されたコピーにまだ対処していることを確認してください。
ポータブル アプリケーションは管理者権限なしで実行できますか?
できるものもあります。実行中のプロセスを確認し、インストールの制限とともに適切な実行制御を使用します。特定のアプリケーションとデバイスのポリシーをテストします。インストーラーが存在しないからといってプログラムが承認されるとは考えないでください。