MicrosoftセキュリティベースラインでWindowsを強化する方法【GPO適用手順を解説】

Microsoftセキュリティベースラインとは

Microsoftセキュリティベースライン（Microsoft Security Baseline）は、Windowsのワークステーションやサーバーに対してマイクロソフトが推奨するセキュリティ設定の集大成です。ドメインコントローラー、サーバー、クライアントコンピューター、ユーザーを保護するための安全な構成を提供します。マイクロソフトはこのベースラインに基づいてリファレンスとなるグループポリシーオブジェクト（GPO）とテンプレートを公開しており、管理者はこれらを自社のActive Directoryドメインにそのまま適用できます。

セキュリティベースラインのGPOには、最新のグローバルなセキュリティベストプラクティスに準拠した設定が含まれており、Windowsインフラ全体を効率的に保護できます。本記事では、MicrosoftセキュリティベースラインのGPOをドメイン環境に導入する具体的な手順を解説します。

Microsoft Security Compliance Toolkitについて

リファレンスとなるセキュリティベースラインのグループポリシーは、Microsoft Security Compliance Manager（SCM）の一部として提供されています。SCMは無償のツールキットで、Windowsおよびその他のマイクロソフト製品に対するベストプラクティスや最新のセキュリティ推奨事項を分析・テスト・適用するための複数のツールが含まれています。

Microsoft Security Compliance Toolkitは以下のリンクからダウンロードできます。
https://www.microsoft.com/en-us/download/details.aspx?id=55319

現在、Security Compliance Toolkitでは以下の製品向けベースラインが提供されています。

• Windows 10 Version 20H2 / Windows Server Version 20H2
• Windows 10 Version 2004 / Windows Server Version 2004
• Windows 10 Version 1909 / Windows Server Version 1909
• Windows 10 Version 1903 / Windows Server Version 1903
• Windows 10 Version 1809 / Windows Server 2019
• Windows 10 Version 1607 / Windows Server 2016
• Microsoft Edge v88
• Office365 ProPlus
• Windows Server 2012 R2

同梱されている補助ツール

あわせて以下のツールもダウンロード可能です。

• LGPO：ローカルGPOの設定を管理するためのツール
• PolicyAnalyzer：既存のグループポリシーを分析し、セキュリティベースラインのリファレンスポリシーと比較できるツール
• SetObjectSecurity：オブジェクトのセキュリティ設定を行うツール

セキュリティベースラインアーカイブの構成

各Windowsバージョン向けのセキュリティベースラインのアーカイブには、次のフォルダーが含まれています。

• Documentation：ベースラインで適用される設定の詳細な説明が記載されたXLSXおよびPDFファイル
• GP Reports：適用されるGPO設定のHTMLレポート
• GPOs：さまざまなシナリオ向けのGPOオブジェクト。グループポリシー管理コンソール（GPMC）にインポート可能
• Scripts：GPO設定をドメインまたはローカルポリシーへ簡単にインポートするためのPowerShellスクリプト（Baseline-ADImport.ps1、Baseline-LocalInstall.ps1、Remove-EPBaselineSettings.ps1、MapGuidsToGpoNames.ps1など）
• Templates：追加のADMX/ADMLテンプレート（例：LAPSのローカルパスワード管理設定を含むAdmPwd.admx、MSS-legacy.admx、SecGuide.admx）

Active Directoryドメイン環境では、GPOを使ってセキュリティベースラインを展開するのが最も簡単です。ワークグループ環境の場合は、LGPO.exeツールを使用してローカルグループポリシー経由で推奨セキュリティ設定を適用できます。

提供されるGPOテンプレートの種類

セキュリティベースラインには、Windowsインフラの各要素に対応したGPOテンプレートが用意されています。コンピューター向け、ユーザー向け、ドメインサーバー向け、ドメインコントローラー向け（仮想DC用の個別ポリシーあり）のほか、Internet Explorer、BitLocker、Credential Guard、Windows Defenderウイルス対策などの設定ポリシーも含まれます。各種シナリオ向けに構成済みのグループポリシーは「GPOs」フォルダーに格納されています（Windows Server 1909およびWindows 10 1909の例）。

• MSFT Internet Explorer 11 — Computer
• MSFT Internet Explorer 11 — User
• MSFT Windows 10 1909 — BitLocker
• MSFT Windows 10 1909 — Computer
• MSFT Windows 10 1909 — User
• MSFT Windows 10 1909 and Server 1909 — Defender Antivirus
• MSFT Windows 10 1909 and Server 1909 — Domain Security
• MSFT Windows 10 1909 and Server 1909 Member Server — Credential Guard
• MSFT Windows Server 1909 — Domain Controller Virtualization Based Security
• MSFT Windows Server 1909 — Domain Controller
• MSFT Windows Server 1909 — Member Server

なお、Windows Serverの各バージョンやWindows 10の各ビルドごとに、個別のセキュリティベースラインセットが用意されている点に注意してください。

GPOへのセキュリティベースラインのインポート手順

使用しているWindowsのバージョンに合致するセキュリティベースラインのアーカイブを展開し、グループポリシー管理コンソール（gpmc.msc）を開きます。

1. ADMXテンプレートをDC上のSYSVOLのPolicyDefinitionsフォルダー（GPO中央ストア）にコピーします。
2. 新しいGPOを作成し、名前を「Windows 10 2004 Security Baseline」などにします。
3. GPOを右クリックして[設定のインポート]を選択します。
4. バックアップの場所として、使用中のWindowsバージョン向けセキュリティベースラインファイルのパスを指定します（例：C:\Tools\SCM\Windows 10 Version 2004 and Windows Server Version 2004 Security Baseline\Windows-10-Windows Server-v2004-Security-Baseline-FINAL\GPOs）。
5. ポリシーテンプレートの一覧が表示されます。ここではコンピューター設定のポリシーをインポートするため、「MSFT Windows 10 2004 – Computer」を選択します（[設定の表示]ボタンを押すと、gpresultレポート形式でポリシー設定を確認できます）。
6. セキュリティオブジェクトへの参照リンクやUNCパスを移行する方法を尋ねられるので、新しいポリシーの場合は[ソースから同一コピー]を選択します。
7. 以上で、Windows 10 2004向けのリファレンスとなるセキュリティベースラインのポリシー設定がGPOにインポートされます。

WMIフィルターで適用対象を絞り込む

グループポリシーオブジェクトを特定のWindowsビルドが稼働するコンピューターのみに適用したい場合は、GPOのWMIフィルターを使用します。たとえばWindows 10 2004であれば、次のようなWMIフィルターが使えます。

Select Version,ProductType from Win32_OperatingSystem WHERE Version LIKE "10.0.19041%" and ProductType = "1"

このフィルターをポリシーに適用し、対象の組織単位（OU）にポリシーをリンクしてください。

同じ手順で、ユーザー向け、ドメインコントローラー向け、ドメインメンバーサーバー向けなどのセキュリティベースラインもインポートできます。

本番適用前のテストが重要

セキュリティベースラインをユーザーのコンピューターに適用する前に、提案される設定内容を必ず入念に確認し、まずはテスト用のユーザーやコンピューターが所属するOUに適用して検証してください。必要に応じて、ベースラインが提案する一部の設定を無効化することも可能です。テスト環境での検証が成功して初めて、ドメイン内のすべてのコンピューターやサーバーへ展開するようにしましょう。

セキュリティベースラインに含まれる主な設定項目

セキュリティベースラインには数十から数百におよぶ設定が含まれており、すべてを一つの記事で紹介することはできません。ここでは、woshub.comの他の記事で解説したことのある主要なセキュリティ設定を紹介します。

• プログラムの起動・インストールルールの管理：AppLocker（ソフトウェアの制限ポリシー）、UAC、Windows Installer
• ドメインのパスワードポリシーとアカウントロックアウトポリシー
• 特権アカウントの制限
• 匿名アクセスの制限
• すべてのイベントやユーザーログオン履歴を取得するための監査ポリシー設定
• LSAメモリ保護
• 周辺機器へのアクセス制御（プリンターやUSBデバイスのインストールポリシーを含む）
• NetBIOSおよびNTLMプロトコルの無効化
• リモートアシスタンス、シャドウ接続、RDSタイムアウト、CredSSP Oracle Remediationの設定
• PowerShell実行ポリシー
• Windowsエラー報告の構成
• Windowsファイアウォールルールの管理
• WinRMの設定
• 組み込みAdministratorアカウントの無効化
• 強化されたUNCパス（Hardened UNC Paths）ポリシー
• SMBv1の無効化

ホームPC（非ドメイン参加環境）への適用方法

Windows 10が動作する家庭用コンピューターを保護したい場合は、用意されたPowerShellスクリプトを使ってセキュリティベースラインの設定を適用できます。

まず、署名されていないスクリプトの実行を許可します。

Set-ExecutionPolicy -Scope Process Unrestricted

続いて、次のコマンドでポリシーを適用します。

Baseline-LocalInstall.ps1 -Win10NonDomainJoined

まとめ

Microsoftセキュリティベースラインの設定を活用することで、Windowsインフラストラクチャのセキュリティを大幅に強化できます。また、企業ネットワーク上のすべてのコンピューター（新規導入マシンを含む）に同一のセキュリティ設定を確実に適用できる点も大きなメリットです。