ユーザー アカウント制御: 昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える
[ユーザー アカウント制御: 昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える] セキュリティ ポリシー設定のベスト プラクティス、場所、値、ポリシー管理、およびセキュリティに関する考慮事項について説明します。
リファレンス
このポリシー設定は、対話ユーザーのデスクトップまたはセキュリティで保護されたデスクトップに、昇格要求のプロンプトを表示するかどうかを決定します。
セキュリティで保護されたデスクトップでは、ログオン UI が表示され、ログオン要件が満たされるまで機能とシステムへのアクセスが制限されます。
セキュリティで保護されたデスクトップとユーザー デスクトップの主な違いは、セキュリティで保護されたデスクトップでは、SYSTEM として実行される信頼されたプロセスだけが実行を許可される (つまり、ユーザーの特権レベルで実行されるプロセスはない) という点にあります。ユーザー デスクトップからセキュリティで保護されたデスクトップに到達するまでのパスも、チェーン全体を通じて信頼されている必要があります。
設定可能な値
有効
すべての昇格要求は、既定でセキュリティで保護されたデスクトップに送られます。
無効
すべての昇格要求は、対話ユーザーのデスクトップに送られます。
ベスト プラクティス
- [ユーザー アカウント制御: 昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える] 設定を有効にします。セキュリティで保護されたデスクトップは、信頼されたシステム プロセスしかアクセスできない保護されたメモリ セクション内で資格情報のダイアログ ボックスを表示します。これにより、入出力のスプーフィングを防ぐことができます。
場所
コンピューターの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\セキュリティ オプション
既定値
次の表に、このポリシーの実際の値と有効な既定値を示します。既定値は、ポリシーのプロパティ ページにも表示されます。
| サーバーの種類または GPO | 既定値 |
|---|---|
既定のドメイン ポリシー |
未定義 |
既定のドメイン コントローラー ポリシー |
未定義 |
スタンドアロン サーバーの既定の設定 |
有効 |
DC の有効な既定の設定 |
有効 |
メンバー サーバーの有効な既定の設定 |
有効 |
クライアント コンピューターの有効な既定の設定 |
有効 |
ポリシー管理
このセクションでは、このポリシーの管理に役立つ機能やツールについて説明します。
再起動の必要性
なし。このポリシーに対する変更がローカルに保存された場合、またはグループ ポリシーを通じて配布された場合、その変更はデバイスを再起動しなくても有効になります。
グループ ポリシー
すべての監査機能がグループ ポリシーに統合されています。管理者は、ドメイン、サイト、または組織単位 (OU) のグループ ポリシー管理コンソール (GPMC) またはローカル セキュリティ ポリシー スナップインにこれらの設定を構成、展開、および管理できます。
セキュリティに関する考慮事項
このセクションでは、機能やその構成が攻撃者によってどのように悪用される可能性があるかと、対策を実装する方法、対策の実装に伴う可能性のある悪影響について説明します。
脆弱性
昇格時のプロンプトのダイアログ ボックスが偽装されると、ユーザーが悪意のあるソフトウェアにパスワードを入力してしまう可能性があります。マウス カーソルについても、本物のカーソルを非表示にし、位置をずらして置き換えることで、実際にはカーソルが [許可] ボタンをポイントするように偽装する手口があります。
対策
[ユーザー アカウント制御: 昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える] 設定を有効にします。セキュリティで保護されたデスクトップは、信頼されたシステム プロセスしかアクセスできない保護されたメモリ セクション内で資格情報のダイアログ ボックスを表示します。これにより、入出力のスプーフィングを防ぐことができます。
潜在的な影響
なし。これは既定の構成です。