ファイルとディレクトリの復元

[ファイルとディレクトリの復元] セキュリティ ポリシー設定のベスト プラクティス、場所、値、ポリシー管理、およびセキュリティに関する考慮事項について説明します。

リファレンス

このセキュリティ設定では、バックアップされたファイルとディレクトリを復元するときに、どのユーザーがファイル、ディレクトリ、レジストリなどの永続的なオブジェクトのアクセス許可をバイパスできるかを決定します。また、オブジェクトの所有者として有効なセキュリティ プリンシパルを設定できるユーザーを決定します。

アカウントにこのユーザー権利を付与することは、アカウントに、システム上のすべてのファイルとフォルダーに対する次のアクセス許可を与えることとほぼ同じです。

• フォルダーのスキャン/ファイルの実行

• 書き込み

定数: SeRestorePrivilege

設定可能な値

• アカウントのユーザー定義一覧

• 既定値

• 未定義

ベスト プラクティス

• このユーザー権利を持つユーザーは、レジストリ設定の上書き、データの非表示、システム オブジェクトの所有権の取得を行うことができるため、信頼できるユーザーだけにこのユーザー権利を割り当てます。

場所

コンピューターの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\ユーザー権利の割り当て

既定値

既定では、この権利は、ドメイン コントローラー上では Administrators、Backup Operators、Server Operators の各グループに付与され、スタンドアロン サーバー上では Administrators と Backup Operators の各グループに付与されています。

次の表に、実際のポリシー値と有効な既定のポリシー値を示します。既定値はポリシーのプロパティ ページにも表示されます。

ポリシー管理

このセクションでは、このポリシーの管理に役立つ機能、ツール、ガイダンスについて説明します。

このポリシー設定を有効にするために、コンピューターを再起動する必要はありません。

アカウントのユーザー権利の割り当てに対する変更はすべて、アカウントの所有者が次にログオンしたときに有効になります。

グループ ポリシー

設定は、グループ ポリシー オブジェクト (GPO) によって次の順番で適用されます。これにより、次回のグループ ポリシーの更新時にローカル コンピューターの設定が上書きされます。

1. ローカル ポリシー設定

2. サイト ポリシー設定

3. ドメイン ポリシー設定

4. OU ポリシー設定

ローカル設定が灰色表示されている場合、その設定は現在 GPO に制御されています。

セキュリティに関する考慮事項

このセクションでは、機能やその構成が攻撃者によってどのように悪用される可能性があるかと、対策を実装する方法、対策の実装に伴う可能性のある悪影響について説明します。

脆弱性

[ファイルとディレクトリの復元] のユーザー権利を持つ攻撃者が重要なデータをコンピューターに復元し、新しいデータを上書きする可能性があります。その結果、重要なデータの損失、データ破損、サービス拒否状態が生じる可能性があります。攻撃者が、管理者特権の付与、データのセキュリティ侵害、デバイスに継続的にアクセスできるようにするプログラムのインストールを行う悪意のあるソフトウェアを含むバージョンで、正規の管理者やシステム サービスが使う実行可能ファイルを上書きする可能性があります。

注  

次の対策が構成されている場合でも、攻撃者が自分で制御しているドメイン内のコンピューターにデータを復元する可能性があります。そのため、組織がデータのバックアップに使ったメディアを慎重に保護することが重要です。

対策

バックアップ担当者と復元担当者の役割を組織が明確に定義している場合を除いて、[ファイルとディレクトリの復元] のユーザー権利はローカルの Administrators グループにのみ割り当てます。

潜在的な影響

[ファイルとディレクトリの復元] のユーザー権利を、Backup Operators グループとその他のアカウントから削除した場合、ローカルの Administrators グループのメンバーでないユーザーはデータのバックアップを読み込むことができません。組織の一部の IT スタッフにバックアップの復元を委任している場合、この変更が、組織の担当者の業務に悪影響を与えないことを確認する必要があります。

関連トピック

ユーザー権利の割り当て