GPOADmin

グループポリシーの管理はITセキュリティの最も重要な側面の1つです。ほとんどすべての組織が、Active Directoryの設定とセキュリティのためにGPOを使用しています。GPOはWindowsの全コピーに組み込まれているため、使用するためにインストールが必要なものは何もありません。GPO管理では、パスワードポリシーからスタートメニューのレイアウトまで、あらゆるものを制御することができ、適切なユーザとコンピューターだけに特定の設定が適用されるように、きめ細かく適用することができます。

GPOで管理できるものには数多くの具体例があります。

• 不正なパスワードが一定回数入力されたときにアカウントをロックする。
• リモートコンピュータの身元不明ユーザによるネットワーク共有への接続をブロックする。
• すべてのビジネスユーザに標準のブックマークセットを提供し、ヘルプデスクやその他の重要なリソースに簡単にアクセスできるようにする。
• 特定のフォルダへのアクセスを制限する。
• すべてのドメインコントローラー（DC）に同じソフトウェアをインストールする。
• ユーザのマシンでコマンドプロンプトを無効にする。
• Windowsのアップデートが速やかに適用されるようにする。
• NTLM v1認証プロトコル（Kerberosよりも弱い）の使用を無効にす

Active Directoryのグループポリシーはハッカーにとって魅力的なターゲットであり、複数の面で脆弱であるため、GPOの管理はこれまで以上に重要になっています。まず、オープンブックであることです。Active Directoryの設計により、すべてのユーザがポリシーの内容、適用場所、アクセス権を持つユーザを確認できます。通常、ITチームはActive Directoryのオブジェクトに説明的な名前を使用します。このため、チームにとって分かりやすくなりますが、ハッカーには悪用できる重要な情報を与えることになります。第2に、多くの場合、これは「一度設定すれば、その後の作業は不要」な技術です。グループポリシーの管理は非常に複雑で、何千ものポリシー、委任、変更を管理しなければなりません。適切な調査なしにポリシーや委任された管理者を削除するのは、解決が極めて難しい、危険な行為です。そのため、非常に多くの組織が試すこともしていません。その結果、ITエコシステムは極めて脆弱な状態になっています。