セキュリティを向上させるグループ ポリシー エディターの 6 つの調整

IT 管理者であっても、Windows PC のセキュリティをさらに強化したいと考えている一般ユーザーであっても、これらのグループ ポリシー エディターの調整により、PC のセキュリティが強化されます。

安全なユーザー アカウント制御 (UAC)

UAC は、PC への不正な変更を防ぐための Windows セキュリティ機能です。グループ ポリシー エディターには、UAC の動作を制御できる多くの調整機能が用意されています。

グループ ポリシー エディターで、[コンピューターの構成] -> [Windows の設定] -> [セキュリティの設定] -> [ローカル ポリシー] -> [セキュリティ オプション]に移動します。

セキュリティを強化するために、一番下までスクロールし、以下に示すようにそれぞれのポリシー設定を調整します。

• ユーザー アカウント制御: 組み込みの管理者アカウントの管理者承認モード:有効
• ユーザー アカウント制御: UIAccess アプリケーションがセキュリティで保護されたデスクトップを使用せずに昇格を要求することを許可する:無効
• ユーザー アカウント制御: 管理者承認モードでの管理者の昇格プロンプトの動作:同意を求める
• ユーザー アカウント制御: 標準ユーザーに対する昇格プロンプトの動作:資格情報の入力を求める
• ユーザー アカウント制御: アプリケーションのインストールを検出し、昇格を求める:有効
• ユーザーアカウント制御: 署名され検証された実行可能ファイルのみを昇格する:有効
• ユーザーアカウント制御: 安全な場所にインストールされている UIAccess アプリケーションのみを昇格する:有効
• ユーザーアカウント制御: 管理者承認モードですべての管理者を実行する:有効
• ユーザーアカウント制御: 昇格を求めるときにセキュリティで保護されたデスクトップに切り替える:有効
• ユーザー アカウント制御: ファイルおよびレジストリの書き込みエラーをユーザーごとの場所に仮想化する:有効

上記の調整を適用した後、UAC プロンプトをより頻繁に承認し、資格情報も提供する必要がありますが、これにより全体的なセキュリティが向上します。

安全なパスワード

デフォルトでは、Windows ユーザー アカウントのパスワード要件は非常に緩やかです。ローカル グループ ポリシー エディターを使用すると、パスワードのセキュリティを確保するルールを適用できます。

グループ ポリシー エディターで、[コンピューターの構成] -> [Windows の設定] -> [セキュリティの設定] -> [アカウント ポリシー] -> [パスワード ポリシー]に移動します。

次のように、次のポリシーを調整します。

• パスワード履歴の強制: 8 以上
• パスワードの最大有効期間: 30～60日
• パスワードの最小文字数: 12文字以上
• パスワードは複雑さの要件を満たす必要があります:有効

ゲストアカウントを無効にする

Windows ゲスト アカウントは既定で無効になっていますが、誰かがさまざまな方法でゲスト アカウントを有効にして、機密データにアクセスする可能性があります。ゲスト アカウントを使用すると、誰でも PC に自由にアクセスできます。アクセスが制限されているにもかかわらず、マルウェアに悪用される可能性があり、誤ってEveryoneグループとデータを共有してしまう可能性があります。グループ エディター ポリシーで完全に無効にすることをお勧めします。

[コンピューターの構成] -> [Windows の設定] -> [セキュリティの設定] -> [ローカル ポリシー] -> [セキュリティ オプション]に移動し、[アカウント: ゲスト アカウントの状態]ポリシーを無効にします。

アカウント監査ポリシーを有効にする

グループ ポリシー エディターでアカウント監査を有効にすると、ファイルの変更、セキュリティ設定の変更、ログイン試行などの重要なセキュリティ情報が記録されます。この情報を使用して PC への変更を追跡し、不正アクセスやユーザー以外の構成がないことを確認することができます。

グループ ポリシー エディターで、[コンピューターの構成] -> [ Windows の設定] -> [セキュリティの設定] -> [ローカル ポリシー] -> [監査ポリシー] に移動します。ここで、これらのすべてのオプションに対して、成功と失敗の監査を有効にします。

生成されたログは Windows イベント ビューアーで表示できます。Windows 検索で「イベント ビューアー」と入力し、イベント ビューアーをクリックします。ログを表示するには、Windows ログ->セキュリティに移動します。

シャットダウン時に仮想メモリをクリアする

ページファイル (仮想メモリ) は、PC がスムーズに動作するために必要です。ただし、ページファイルには断片的なデータが記録されるため、適切なアクセス権とツールを持つ人物によって盗まれる可能性があります。リスクを冒したくない場合は、PC をシャットダウンするたびにページファイルを自動的に削除してください。

[コンピューターの構成] -> [Windows の設定] -> [セキュリティの設定] -> [ローカル ポリシー] -> [セキュリティ オプション]に移動し、[シャットダウン: 仮想メモリのページファイルをクリアする]ポリシーを有効にします。

このポリシーを有効にすると、シャットダウン プロセスに若干の遅延が発生することに注意してください。

アカウントロックアウト設定の管理

不正なアクセスを防止するために、Windows には、不正なログイン試行が複数回続くとアカウントをロックするアカウント ロックアウト ポリシーがあります。ただし、このポリシーは少し緩いので、セキュリティのニーズに応じて、関連するグループ ポリシー エディター ポリシーを調整することをお勧めします。

ロックアウト ポリシーにアクセスするには、[コンピューターの構成] -> [ Windows の設定] -> [セキュリティの設定] -> [アカウント ポリシー] -> [アカウント ロックアウト ポリシー]に移動します。

調整できるロックアウト ポリシーは 4 つあります。必要に応じて調整してください。以下の推奨値は、強力な保護とスムーズなユーザー エクスペリエンスのバランスをとることを目的としています。

• アカウントロックアウト期間: 30 分
• アカウント ロックアウトのしきい値:無効なログオン試行 3 回
• 管理者アカウントのロックアウトを許可する:有効
• アカウントロックアウトカウンターをリセットする時間: 30 分

これらのグループ ポリシー設定はすべて、追加の確認 (タスク マネージャーを開くための UAC プロンプトなど) を引き起こす可能性がありますが、セキュリティの強化は、多少の不便さを上回ります。変更が気に入らない場合は、グループ ポリシー エディターをリセットしてください。

画像クレジット: DALL-E。すべてのスクリーンショットはKarrar Haiderによるものです。