セキュリティ ベストプラクティス
管理権限におけるデータ セキュリティとデータ可用性
最終更新日: 2002年4月30
作成者 Kenneth Pfeil
執筆協力者 David Swartzendruber
マイクロソフト ソリューション フレームワーク
メモ このホワイト ペーパーは、企業セキュリティのベストプラクティス シリーズの 1 つです。セキュリティ要素構成アーキテクチャも併せてご参照ください。
トピック
このホワイト ペーパーの趣旨
第 1 部 : データ セキュリティとデータ可用性の目標
第 2 部 : データ可用性
第 3 部 : データ セキュリティ
その他の有益な情報源
このホワイト ペーパーの趣旨
このホワイト ペーパーでは、管理権限におけるデータ セキュリティとデータ可用性の重要点の概要を示します。完全に安全な環境を目標とするのは、非現実的です。完全無欠な環境はありえません。環境が複雑になればなるほど、効果的な保護が困難になるという傾向があるのは確かですが、このホワイト ペーパーに記載されている情報をほかのホワイト ペーパーに記載されている基本事項と併せて活用すれば、安全性の高い環境を構築できます。
どのようなセキュリティ計画も、組織の方針、予算、スタッフ、技術、および実地的ノウハウなどの要因に左右されます。これらの要因には、実装前に慎重に検討しなければならない金銭的なコストと無形のコストが付随します。管理権限に問題があると、企業内全体に悪影響が及びます。したがって、安全なコンピューティング環境を確保するには、細心の注意が必要です。
このホワイト ペーパーでは、"企業" および "管理権限" を互いに置き換え可能な用語として使用しています。この 2 つには、同じ基本原則が適用するからです。このホワイト ペーパーは、次の 4 つの節に分かれています。
データ セキュリティとデータ可用性の目標 エンタープライズ コンピューティング環境内における責任分担の目標の概要を述べます。
データ可用性 企業内におけるデータ可用性の定義と、可用性を維持する上での推奨事項を示します。
データ セキュリティ データ セキュリティの定義と、エンタープライズ コンピューティング環境でデータを保護する方法について説明します。ファイアウォール、侵入の検出、およびデジタル鑑識についても述べます。侵入発生の検出と修復の手順を示し、侵入の証拠を取得して、詳しく分析したり、法的措置に訴えたりする方法も示します。
管理シナリオと最適な方法 データ可用性とデータ セキュリティを確保するために実際にどのような方法が採られているかを示します。
このホワイト ペーパーでは、マイクロソフト コンサルティング サービス (MCS) の最適な方法から取得されたセキュリティ情報のほか、権威ある標準機構や ICSA、CSI、ISSA、SANS、ISC2 および IETF などの独立系機関によって確立された理論、技術、および推奨事項について触れます。
第 1 部 : データ セキュリティとデータ可用性の目標
ユーザーに関する考慮点
企業内におけるユーザーの責任分担は、セキュリティを実装する上での基盤となります。どんなに頑丈な鎖でも、一箇所弱い部分があれば、そこから破断してしまいます。平均的なユーザーは、セキュリティに関心を持つどころか、自分には関係のないことだと考える傾向があります。しかし、実際にはまったく逆で、セキュリティはすべてのユーザーが取り組まなければならない課題です。ユーザーのパスワードが数ヶ月も変更されていなかったり、アカウント名と同じパスワードが使用されていたりすると、ハッカーが環境に侵入し、特権レベルの引き上げを悪用して環境全体を手中に収める危険性が生じます。これでは、ハッカーの思うがままに事が進んでしまいます。こういった問題は、組織内で防止策を講じていても、常に発生する危険性があります。ユーザーが帰宅することについても考慮が必要です。また、在宅勤務のユーザーがいる場合は、企業の規模が大きくなります。
IT およびシステムに関する考慮点
企業によっては、IT およびシステム関係のスタッフが、このホワイト ペーパーで後述するタスクを実行するほか、セキュリティ ポリシーの策定と適用に忙殺されることがある一方で、管理者ロールを拡張するだけで事足りることもあります。このどちらになるかは、会社で定めている組織構成、予算、および職能の範囲によって異なります。
管理者に関する考慮点
管理者のタスクと責任分担は多岐にわたるため、ここですべてを列挙することはできません。このホワイト ペーパーで言及する項目のほか、その責任範囲は幅広く、企業、ドメイン、サイト、および組織の各レベルにおいて指導者、トレーナー、監視人などの役割を担わなければならないこともあります。これらの責任をどのレベルで担うかは、会社によって異なるばかりか、組織ごとにも異なります。
第 2 部 : データ可用性
データ可用性とは
辞書的な定義によれば、可用性とは、データやリソースが存在しており、使用可能で取得可能な状態になっていることを意味します。この定義の限りにおいては、データの可用性とは単にデータを常にアクセス可能かつ取得可能な状態に維持することを意味するかのように思えますが、企業では、そんなに簡単には行きません。さまざまな要因を考慮しなければなりません。
デバイスとネットワーク接続手段の間の利用可能な帯域幅
高可用性確保のためのメカニズムと、それらのセキュリティおよびアクセス性
可用性を確保するデータの優先度と種類
回復のロールと責任分担
ファイル システムの種類とアクセスのレベル
記憶/読み出し用のデバイスまたはメディアの種類 (ハードウェアとソフトウェアの両方を含む)
責任者と関係者間のサービス レベル契約 (SLA)
影響を受けるメカニズムの処理オーバーヘッド
障害回復/業務再開計画 (BRP) (BRP については、このホワイト ペーパーで後述します)。
適切なプランニングが不可欠です。データ可用性をどのようにして確保するかを検討する際には、想定されるあらゆる局面とシナリオを慎重に評価する必要があります。誰が、何を、いつ、どこで、どのように、どういう理由で行うか (5W 1H) を明確にしてください。
企業における考慮点
企業のデータ可用性には、一見して想像されるよりも、はるかに複雑な性質があります。企業内の各システムについてロード マップを用意し、その重要性を判別すると共に、想定されるあらゆるシナリオに対応できるフェイルセーフ メカニズムを検討する必要があります。最初に全体像を把握し、システムのロールと重要度を定義すると、次のような、より詳細な項目を検討できます。
組織のロールとポリシー
可用性を確保するデータ
サービスのコスト (およびコストの負担先)
攻撃にさらされるリスクと攻撃にさらされたときにサービスや業務が被る損失の見積もり
可用性のために採用する技術
DoS (Denial of Service)
DoS とは
DoS (Denial of Service) は、正当なユーザーまたはプロセスに対してリソースの使用を拒否する攻撃を意味します。意図的な手段によるもの (SYN Flooding) と、意図的でない手段によるもの (偶発的なユーザー ディスク消費) があります。ほとんど毎日のように、新しい種類の DoS 攻撃が報告されています。特に、いくつかの有名なインターネット サイトが分散型 DoS 攻撃の被害に遭ったことはよく知られています。この種の攻撃は従来から知られていましたが、ハッカーたちは新しい創意工夫を凝らしており、分散型コンピューティング技術を応用して、攻撃力を強化してきています。このような攻撃を仕掛けるツールは、インターネット上に蔓延しており、スクリプトでの駆動が可能なので、平均的なコンピュータ ユーザーが使用できるリソースを制限してユーザーを混乱状態に陥れることは、さほど難しくありません。
攻撃にさらされるリスクを軽減する
攻撃にさらされるリスクを軽減するには、どうすればよいでしょうか。次のような対策が考えられます。
(ftp://ftp.isi.edu/in-notes/rfc2267.txt) に規定されている送信フィルタと受信フィルタの規則を適用することが、攻撃対策の第一歩となります。ICSA (https://www.icsa.net/) の基本モデリングによると、これらの規則をインターネット ルーターおよび組織ファイアウォールの 30% で適用するだけでも、単一の攻撃者からこのような攻撃が仕掛けられるリスクが約 100 倍も低くなります。
これらの問題に対処するチームやポリシーを設けていない場合は、それらを設けてください。攻撃にさらされるリスクを低減するには、早期に問題を特定して、対処することが非常に重要です。
リスクのあるシステムに対して、負荷とトラフィック量の基準を定めます。これらのパターンが基準を大きく超えた場合は、初期警告システムを作動させます。この機能は、今日の企業ネットワーク向け侵入検出システムのほとんどに搭載されています。
レジストリ設定値
Windows NT システムおよび Windows 2000 システムにおけるレジストリの推奨設定値を次の表に示します。詳細については、 https://technet.microsoft.com/library/cc750215.aspx を参照してください。
Windows NT システムおよび Windows 2000 システムにおける推奨設定値
| SYN アタックProtect キー : Tcpip\Parameters 値の種類 : REG_DWORD 有効範囲 : 0, 1, 2 0 = SYN アタックの保護なし。 1 = TcpMaxHalfOpen および TcpMaxHalfOpenRetried の設定値が適切であれば、再転送の試行回数が減り、RCE (ルート キャッシュ エントリ) の作成が遅延されます。 2 = 設定値 1 の場合の動作に加え、Winsock への指示が遅延されます。 |
既定値 : 0 (False) 推奨値 : 2 |
説明 : SYN-ACKS に対する再転送の量を減らします。これにより、リソースを減らすことができます。ルート キャッシュ エントリ リソースの割り当ては、接続確立まで遅延されます。SynAttackProtect を 2 に設定すると、スリーウェイ ハンドシェイクが完了するまで AFD への接続指示が遅延されます。また、保護メカニズムによる動作が行われるのは、TcpMaxHalfOpen と TcpMaxHalfOpenRetried の設定値が超過した場合だけです。 |
| TcpMaxHalfOpen キー : Tcpip\Parameters 値の種類 : REG_DWORD ―数値 有効範囲 : 100 ～ 0xFFFF |
既定値 : 100 (Professional/Server)、500 (advanced server) 推奨値 : 既定値 |
説明 : このパラメータでは、SYN-RCVD 状態の接続の数が何個を超えたときに SYN アタックの保護を作動させるかを指定します。SynAttackProtect を 1 に設定している場合は、保護対象ポートの AFD リッスン バックログより小さい値をこのパラメータに指定する必要があります。詳細については、SynAttackProtect パラメータを参照してください。 |
| TcpMaxHalfOpenRetried キー : Tcpip\Parameters 値の種類 : REG_DWORD ―数値 有効範囲 : 80 ～ 0xFFFF |
既定値 : 80 (Professional/Server)、400 (Advanced Server) 推奨値 : 既定値 |
説明 : このパラメータでは、SYN がこれまでに少なくとも 1 回再転送されている SYN-RCVD 状態の接続の数が何個を超えたときに SYN アタックの保護を作動させるかを指定します。詳細については、SynAttackProtect パラメータを参照してください。 |
| EnablePMTUDiscovery キー : Tcpip\Parameters 値の種類 : REG_DWORD ―ブール 有効範囲 : 0、1 (False、True) |
既定値 : 1 (True) 推奨値 : 0 |
説明 : このパラメータが 1 (TRUE) に設定されている場合は、TCP がリモート ホストへのパスの最大転送ユニット (MTU、最大パケット サイズ) の発見を試行します。TCP では、パス MTU を発見して TCP セグメントをそのサイズに制限することで、ネットワークを異なる MTU に接続するパスに沿って存在する各ルーターで断片化が行われるのを防ぐことができます。断片化は、TCP のスループットに悪影響を与え、ネットワークの輻輳を招きます。このパラメータを 0 に設定すると、ローカル サブネット上に存在しないホストへのすべての接続に対して、MTU が 576 バイトに設定されます。 |
| NoNameReleaseOnDemand キー : Netbt\Parameters 値の種類 : REG_DWORD ―ブール 有効範囲 : 0、1 (False、True) |
既定値 : 0 (False) 推奨値 : 1 |
説明 : このパラメータでは、コンピュータがネットワークから名前解放要求を受信したときに自分の NetBIOS 名を解放するかどうかを決定します。これは、名前解放を悪用した攻撃からコンピュータを保護するために追加されたパラメータです。 |
| EnableDeadGWDetect キー : Tcpip\Parameters 値の種類 : REG_DWORD ―ブール 有効範囲 : 0、1 (False、True) |
既定値 : 1 (True) 推奨値 : 0 |
説明 : このパラメータが 1 に設定されている場合は、TCP が停止ゲートウェイの検出を実行できます。この機能を有効にすると、複数の接続で問題が発生している場合に TCP が IP に対してバックアップ ゲートウェイへの切り替えを要求することがあります。バックアップ ゲートウェイは、ネットワーク コントロール パネルの [TCP/IP 設定] ダイアログの [詳細] タブで設定できます。詳細については、「停止ゲートウェイの検出」を参照してください。 |
| KeepAliveTime キー : Tcpip\Parameters 値の種類 : REG_DWORD ―ミリ秒単位の時間 有効範囲 : 1 ～ 0xFFFFFFFF |
既定値 : 7,200,000 (2 時間) 推奨値 : 300,000 |
説明 : このパラメータでは、TCP がアイドル状態の接続に Keep-alive パケットを送信して、その接続が維持されていることを確認する頻度を制御します。リモート システムが Keep-alive 転送に応答すれば、そのシステムがまだ到達可能で、機能しているものとみなされます。Keep-alive パケットは、既定では送信されません。この機能は、アプリケーションから接続に対して有効化されることがあります。 |
| **PerformRouterDiscovery** キー : Tcpip\Parameters\Interfaces\値の種類 : REG_DWORD 有効範囲 : 0,1,2 0 = 無効 1 = 有効 2 = DHCP がルーター発見オプションを送信する場合のみ有効 |
既定値 : 2 (DHCP によって制御されるが、既定ではオフ) 推奨値 : 0 |
説明 : このパラメータでは、RFC 1256 で規定されているルーター発見を Windows 2000 でインターフェイス別に実行するかどうかを制御します。「SolicitationAddressBcast」も参照してください。 |
| EnableICMPRedirects キー : Tcpip\Parameters 値の種類 : REG_DWORD 有効範囲 : 0、1 (False、True) |
既定値 : 1 (True) 推奨値 : 0 (False) |
説明 : このパラメータでは、ルーターなどのネットワーク デバイスから ICMP リダイレクト メッセージが送信されたときに Windows 2000 がルート テーブルを変更するかどうかを制御します。 |
| 長所 | 短所 |
|---|---|
| ファイアウォール コンピュータが 1 台だけなのでコストが低い。 | 構成をサポートしていないファイアウォールがある。 |
| 内部ネットワークへのアクセス レベルが異なる複数のスクリーンド セグメントを使用するように構成できる。 | ファイアウォールのセキュリティが侵害されると、内部ネットワークのすべてのセグメントが危険にさらされる。 |
| 長所 | 短所 |
|---|---|
| ハッカーは 2 つまたは 3 つのファイアウォールを破らないと内部ネットワークにアクセスできない。 | 複数のファイアウォールを使用するので、コストが高い。 |
| 種類の異なる 2 つのファイアウォールを使用することで、侵入されるリスクを軽減できる。 | 余分な構成が必要になる。 |
| 機能 | 利点 |
|---|---|
| マルチレイヤ ファイアウォール | パケット レベル、サーキット レベル、およびアプリケーション レベルのトラフィック遮蔽でセキュリティを最大化します。 |
| 高性能 Web キャッシュ | Web アクセスを高速化し、ネットワーク帯域幅を節約します。 |
| Windows 2000 との統合 | ISA Server のユーザー、構成、および規則を Windows 2000 Active Directory・サービスで管理します。認証、管理ツール、および帯域幅制御により、Windows 2000 の技術を拡張します。 |
| ステートフル インスペクション | ファイアウォールを通過するデータのプロトコルと接続状態をチェックします。 |
| スケーラビリティ | 動的負荷バランスと Cache Array Routing Protocol (CARP) を備えているので、サーバーの追加によるキャッシュのスケール アップを用意かつ効率的に実施できます。分散型の階層キャッシュにより、ネットワークの可用性が向上し、帯域幅を効率的に使用できます。 |
| 仮想プライベート ネットワーキング | Windows 2000 の仮想プライベート ネットワーキング サービスとの統合により、標準に準拠した安全なリモート アクセスが可能です。 |
| トラフィック管理の詳細な規則とポリシーの適用 | ユーザー、グループ、アプリケーション、コンテンツの種類、スケジュール、およびに宛先に基づいてアクセスを制御できます。 |
| 広範なアプリケーションのサポート | 数十種の事前定義プロトコルにより、主要なインターネット アプリケーションとの統合が可能です。 |
| すべてのクライアントに対する透過性 | どのプラットフォームのクライアントおよびアプリケーション サーバーとも互換性があり、クライアント ソフトウェアは不要です。 |
| スマート アプリケーション フィルタ | 特定の種類のコンテンツだけをブロックするデータ認知フィルタで電子メールやストリーム メディアなどのアプリケーション固有トラフィックを制御できます。 |
| スマート キャッシュ | ISA Server では、アクセスの多いオブジェクトが事前にキャッシュされるほか、Web サイト全体をキャッシュにプリロードするようにスケジュールを定義できるので、各ユーザーに対して常に最新のコンテンツを提供できます。 |
| 豊富な管理ツール | 強力なリモート管理機能、詳細なログ、カスタマイズ可能な警告、およびグラフィカル タスク パッドを使用して、セキュリティとキャッシュの管理を効率化できます。 |
| 動的パケット フィルタ | ポートを必要時にのみオープンすることで外部からの攻撃にさらされるリスクを軽減できます。 |
| 分散および階層キャッシュ | 複数の経路とバックアップ経路を通じて、可用性を最大化すると共に、ネットワークを効率的に使用できるように帯域幅を節約できます。 |
| 帯域幅制御の統合 | グループ、アプリケーション、サイト、またはコンテンツの種類に基づいて、帯域幅の割り当て優先度を設定できます。 |
| 安全な公開 | Web サーバーおよび電子商取引アプリケーションを外部の攻撃から保護します。 |
| コンテンツ配布の効率化 | Web サイトと電子商取引アプリケーションを配布およびキャッシュすることで、ユーザーが Web コンテンツにすばやくアクセスできるようにし、応答時間を短縮すると共に帯域幅の消費を節減します。 |
| 侵入検知の統合 | ポート スキャン、"WinNuke"、"Ping of Death" など、代表的な DoS (denial-of-service) 攻撃を検出します。 |
| 組み込みレポート | Web の使用状況、アプリケーションの使用状況、ネットワーク トラフィック パターン、およびセキュリティに関する標準的なレポートをスケジュールに基づいて生成します。 |
| システム強化 | オペレーティング システムを複数レベルのロックダウンで保護します。 |
| ストリーム メディアのサポート | ファイアウォール上でライブ メディア ストリームを分割して帯域幅を節約します。 |
| リソース/ユーザー | A | B | C | D | E | F | G | H | I | J |
|---|---|---|---|---|---|---|---|---|---|---|
| Fred | W | R | R | F | R | R | N | W | N | X |
| Jane | R | R | R | X | X | R | W | X | F | X |
| Bob | R | X | X | X | X | R | W | F | X | X |
| Alice | R | W | F | X | W | X | N | R | N | X |
| Mary | R | W | W | W | W | F | R | R | W | X |
| Ken | F | F | X | R | W | N | X | W | R | F |
| Joan | X | W | W | W | X | R | F | N | R | X |
| Mark | X | X | W | W | F | X | R | N | X | W |
| Harry | F | N | R | X | R | W | X | W | W | R |
| ディレクトリ | アクセス許可 |
|---|---|
| \WINNT およびその下層のすべてのサブディレクトリ | Administrators: フル コントロール CREATOR OWNER: フル コントロール Everyone: 読み取り SYSTEM: フル コントロール |
次に、\WINNT ツリー内で、次のアクセス権を例外として適用します。
| ディレクトリ | アクセス許可 |
|---|---|
| \WINNT\REPAIR | Administrators: フル コントロール |
| \WINNT\SYSTEM32\CONFIG | Administrators: フル コントロール CREATOR OWNER: フル コントロール Everyone: 一覧 SYSTEM: フル コントロール |
| \WINNT\SYSTEM32\SPOOL | Administrators: フル コントロール CREATOR OWNER: フル コントロール Everyone: 読み取り Power Users: 変更 SYSTEM: フル コントロール |
| \WINNT\COOKIES\WINNT\FORMS \WINNT\HISTORY\WINNT\OCCACHE \WINNT\PROFILES\WINNT\SENDTO \WINNT\Temporary Internet Files |
Administrators: フル コントロール CREATOR OWNER: フル コントロール Everyone: 特殊なディレクトリ アクセス ― 読み取り、書き込み、および実行、特殊なファイル アクセス ― なし System: フル コントロール |
Intel 80486 および Pentium ベースのシステムのシステム パーティションにあるルート ディレクトリには、オペレーティング システムの重要なファイルがいくつかあります。高度なセキュリティをインストールするには、これらのファイルに次のアクセス権を設定します。
| ファイル | C2 レベルのアクセス許可 |
|---|---|
| \Boot.ini, \Ntdetect.com, \Ntldr | Administrators: フル コントロール SYSTEM: フル コントロール |
| \Autoexec.bat, \Config.sys | Everyone: 読み取り Administrators: フル コントロール SYSTEM: フル コントロール |
| \TEMP ディレクトリ | Administrators: フル コントロール SYSTEM: フル コントロール CREATOR OWNER: フル コントロール Everyone: 特殊なディレクトリ アクセス ― 読み取り、書き込み、および実行、特殊なファイル アクセス ― なし |
レジストリの保護 (NT4.0)
高度なセキュリティを設定したい場合は、標準的なセキュリティに対する変更以外にも、レジストリの特定のキーに保護を設定することができます。
既定では、標準レベルのセキュリティとしてレジストリのさまざまなコンポーネントに保護が設定されています。特定のレジストリ キーにアクセス権を割り当て、高いレベルのセキュリティを設定することができます。ユーザーが業務上必要なプログラムは、ユーザーに代わって特定のキーをアクセスする必要があるため、この操作には注意が必要です。
次の各キーについて、指定された変更を行います。
アクセス許可
| Everyone グループ : | 値の照会、サブキーの列挙、通知、および読み取り制御 |
| ハイブ | HKEY_LOCAL_MACHINE |
| キー | System\CurrentControlSet\Control\SecurePipeServers |
| 名前 | \winreg |
| レジストリ キー | 推奨アクセス許可 |
|---|---|
| HKEY_LOCAL_MACHINE \Software \Microsoft \Windows NT\CurrentVersion\Winlogon | CREATOR OWNER: フル コントロール Administrators: フル コントロール SYSTEM: フル コントロール Everyone: 読み取り |
Windows 2000 の既定設定値
ファイル システム
次の表は、Windows 2000 の新規インストール時に Power User と User のファイル システムに適用される既定のアクセス コントロール設定をまとめたものです。かっこ内に但し書きがある場合を除き、ディレクトリ、サブディレクトリ、およびファイルすべてにアクセス許可が適用されます。
%systemdir% は %windir%\system32 を意味します。
*.* はそのディレクトリに含まれるファイル (ディレクトリではない) を意味します。
RX は読み取りと実行を意味します。
| ファイル システム オブジェクト | 既定の Power User アクセス許可 | 既定の User アクセス許可 |
|---|---|---|
| C:\boot.ini | RX | なし |
| C:\ntdetect.com | RX | なし |
| C:\ntldr | RX | なし |
| C:\ntbootdd.sys | RX | なし |
| C:\autoexec.bat | 変更 | RX |
| C:\config.sys | 変更 | RX |
| \Program Files | 変更 | RX |
| %windir% | 変更 | RX |
| %windir%\*.* | RX | RX |
| %windir%\Config\*.\* | RX | RX |
| %windir%\Cursors\*.\* | RX | RX |
| %windir%\Temp | 変更 | 同期、スキャン、ファイルの追加、サブディレクトリの追加。 |
| %windir%\repair | 変更 | 一覧 |
| %windir%\addins | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\Connection Wizard | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\Fonts\*.\* | RX | RX |
| %windir%\Help\*.\* | RX | RX |
| %windir%\inf\*.\* | RX | RX |
| %windir%\java | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\Media\*.\* | RX | RX |
| %windir%\msagent | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\security | RX | RX |
| %windir%\Speech | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\system\*.\* | 読み取り、実行 | RX |
| %windir%\twain_32 | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %windir%\Web | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir% | 変更 | RX |
| %systemdir%\*.\* | RX | RX |
| %systemdir%\config | 一覧 | 一覧 |
| %systemdir%\dhcp | RX | RX |
| %systemdir%\dllcache | なし | なし |
| %systemdir%\drivers | RX | RX |
| %systemdir%\CatRoot | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir%\ias | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir%\mui | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir%\os2\*.\* | RX | RX |
| %systemdir%\os2\dll\*.\* | RX | RX |
| %systemdir%\ras\*.\* | RX | RX |
| %systemdir%\ShellExt | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir%\Viewers\*.\* | RX | RX |
| %systemdir%\wbem | 変更 (ディレクトリ \ サブディレクトリ) RX （ファイル) |
RX |
| %systemdir%\wbem\mof | 変更 | RX |
| %UserProfile% | フル コントロール | フル コントロール |
| All Users | 変更 | 読み取り |
| All Users\Documents | 変更 | 変更 |
| All Users\Application Data | 変更 | 変更 |
| レジストリ オブジェクト | 既定の Power User アクセス許可 | 既定の User アクセス許可 |
|---|---|---|
| HKEY_LOCAL_MACHINE | ||
| \SOFTWARE | 変更 | 読み取り |
| \Classes\helpfile | 読み取り | 読み取り |
| \Classes\.hlp | 読み取り | 読み取り |
| \Microsoft | ||
| \Command Processor | 読み取り | 読み取り |
| \Cryptography\OID | 読み取り | 読み取り |
| \Cryptography\Providers\Trust | 読み取り | 読み取り |
| \Cryptography\Services | 読み取り | 読み取り |
| \Driver Signing | 読み取り | 読み取り |
| \EnterpriseCertificates | 読み取り | 読み取り |
| \Non-Driver Signing | 読み取り | 読み取り |
| \NetDDE | なし | なし |
| \Ole | 読み取り | 読み取り |
| \Rpc | 読み取り | 読み取り |
| \Secure | 読み取り | 読み取り |
| \SystemCertificates | 読み取り | 読み取り |
| \Windows\CV\RunOnce | 読み取り | 読み取り |
| \Windows NT\CurrentVersion | ||
| \DiskQuota | 読み取り | 読み取り |
| \Drivers32 | 読み取り | 読み取り |
| \Font Drivers | 読み取り | 読み取り |
| \FontMapper | 読み取り | 読み取り |
| \Image File Execution Options | 読み取り | 読み取り |
| \IniFileMapping | 読み取り | 読み取り |
| \Perflib | 読み取り (Interactive で) | 読み取り (Interactive で) |
| \SecEdit | 読み取り | 読み取り |
| \Time Zones | 読み取り | 読み取り |
| \Windows | 読み取り | 読み取り |
| \Winlogon | 読み取り | 読み取り |
| \AsrCommands | 読み取り | 読み取り |
| \Classes | 読み取り | 読み取り |
| \Console | 読み取り | 読み取り |
| \EFS | 読み取り | 読み取り |
| \ProfileList | 読み取り | 読み取り |
| \Svchost | 読み取り | 読み取り |
| \Policies | 読み取り | 読み取り |
| \SYSTEM\CurrentControlSet | 読み取り | 読み取り |
| \Control\SecurePipeServers\winreg | なし | なし |
| \Control\Session Manager\Executive | 変更 | 読み取り |
| \Control\TimeZoneInformation | 変更 | 読み取り |
| \Control\WMI\Security | なし | なし |
| \HARDWARE | 読み取り (Everyone で) | 読み取り (Everyone で) |
| \SAM | 読み取り (Everyone で) | 読み取り (Everyone で) |
| \SECURITY | なし | なし |
| HKEY_USERS | ||
| \USERS\.DEFAULT | 読み取り | 読み取り |
| \USERS\.DEFAULT\SW\MS\NetDDE | なし | なし |
| HKEY_CURRENT_CONFIG | = HKEY_LOCAL_MACHINE \SYSTEM CurrentControlSet\HardwareProfiles\Current |
|
| HKEY_CURRENT_USER | フル コントロール | フル コントロール |
| HKEY_CLASSES_ROOT | = Merge of HKEY_LOCAL_MACHINE \SOFTWARE \Classes + HKEY_CURRENT_USER \SOFTWARE \Classes |
| ファイル名 | 用途 | MD5 チェックサム |
|---|---|---|
| explorer.exe | Windows エクスプローラ | 72 51 75 97 85 c6 0e d0 e3 d3 f8 37 9c 89 a0 79 |
| taskmgr.exe | タスク マネージャ | b2 e4 32 b3 4d cc bc 68 88 fa 3a aa 71 94 c5 c2 |
| logon.scr | ログオン画面 | 79 80 b0 36 2c ce ec f2 55 72 e8 64 f9 7c 2b b1 |
| cmd.exe | コマンド プロンプト | 53 fc da 64 f7 12 2b cb 4b 60 12 87 03 9a 80 75 |
| rundll32.exe-* | DLL をアプリケーションとして実行 | 1e d5 27 48 25 cd 1e eb be 10 2b 9f f7 c9 ec 31 |