[port139ml:04927] Re: イベント�ログ

[TAKAHASHI Motonobu <monyo@xxxxxxxxxxxxxx>]

たかはしもとのぶです。

|Port139 伊原です。
|
|On Sun, 01 Feb 2004 12:28:27 +0900
|TAKAHASHI Motonobu <monyo@xxxxxxxxxxxxxx> wrote:
|
|>現状としては、ポリシー変更の監査により、ポリシーを変更したこと自体は記
|>録に残りますので、結果として抑止力にはなるといったところかと思いますが、
|>これ以上はちょっと難しいのかなと思っています。
|
|運用上、システム管理者（administrator)の監査ポリシーに対する権利
|を制限したとして困ることってあるんでしょうか？
|
| 1.「監査とセキュリティ ログの管理」の権利を監査用カウントへ付与
| 2.administrator から「監査とセキュリティ ログの管理」権利を削除
| 3.管理者権限を持つユーザーが「監査とセキュリティ ログの管理」権
|   利を持っていない場合、自身へ権利を与えることを禁止する
|
|で足りるんですけど。こんな簡単なことさえ難しいんでしょうか？＞MS

ロジック上は簡単だと思ってます。

# ソースみたことないので、実際のところは分かりませんが(^_^;;

|これがシステム運用上、重大な問題を発生させるというのであれば別
|なんですけど・・・私には問題点が思いつきません。

逆に、上記を行なってもセキュリティ上有意な機能強化って行なわれないので
はないでしょうか。

Administrator であれば、監査用アカウントのパスワードを強制的に変更して、
そのアカウントとしてログオンして権限を監査ポリシーを変更できるので、本
質的に Administrator であれば、最終的に監査ポリシーの変更が可能という
点はあまり変わらないように思います。

監査用アカウントの各種変更を監査するということは可能だと思いますが、そ
れであれば、Administrator であれば監査用ポリシーの変更は可能だが操作は
記録されるという原状のレベルと同じになってしまうように思います。

多少操作が繁雑になることに意味があるということであれば、それは否定しま
せんが……

本質的には、そのだ先生が

|> 個人的には、Administrator の悪意ある行動を考慮するのであれば、
|> まず監査ポリシーなどに対する Administrator の権利を制限できる
|> よう、仕様が変更されないとダメぢゃないかと思います。
|
|SecureOSとかTrustedOS的な考え方ですよね。このあたりって。

とおっしゃっているように、OS 全体としてこのあたりの機能分散を考慮する
ポリシー/実装にならないと、実現は難しいように思います。

-----
TAKAHASHI, Motonobu (たかはしもとのぶ)         monyo@xxxxxxxxxxxxxx
                                               http://www.monyo.com/