hardening-windows-endpoint-with-cis-benchmark

CIS Benchmark を使用した Windows エンドポイントの強化

使用するタイミング

次の場合にこのスキルを使用します。

• セキュリティ強化が必要な新しい Windows 10/11 または Server 2019/2022 エンドポイントを展開するとき
• CIS レベル 1 またはレベル 2 プロファイルを使用して、組織全体のセキュリティベースラインを確立するとき
• CIS ベンチマークを参照するコンプライアンス監査（PCI DSS、HIPAA、SOC 2）の指摘事項を修正するとき
• 既存のエンドポイント構成を最新の CIS ベンチマークバージョンに照らして検証するとき

このスキルは使用しないでください。Linux エンドポイントには使用しないでください（hardening-linux-endpoint-with-cis-benchmark を使用してください）。また、CIS クラウドベンチマークが必要なクラウドネイティブワークロードにも使用しないでください。

前提条件

• 対象エンドポイントが Windows 10/11 Enterprise または Windows Server 2019/2022 であること
• エンタープライズ展開用の Active Directory グループポリシー管理コンソール（GPMC）
• ベンチマークを自動評価する CIS-CAT Pro Assessor または CIS-CAT Lite
• 対象エンドポイントまたはドメインコントローラーへの管理者アクセス
• 対象の Windows バージョンに対応した最新の CIS Benchmark PDF（cisecurity.org からダウンロード）

ワークフロー

手順 1：CIS Benchmark のプロファイルレベルを選択する

CIS は Windows エンドポイント向けに、次の 2 つのプロファイルレベルを提供しています。

レベル 1（L1）- 企業／エンタープライズ環境：

• ほとんどの組織に適用できる、実用的なセキュリティ強化設定
• 機能やユーザーエクスペリエンスへの影響を最小限に抑えます
• 対象：パスワードポリシー、監査ポリシー、ユーザー権利、セキュリティオプション、Windows ファイアウォール

レベル 2（L2）- 高セキュリティ／機密データ：

• すべての L1 設定に加え、追加の制限を含みます
• 使いやすさに影響する場合があります（自動実行の無効化、リモートデスクトップの制限、監査ログの強化）
• PII、PHI、PCI データ、または機密情報を扱うシステムに適しています

エンドポイントのデータ分類とリスク許容度に基づいて、プロファイルを選択してください。

手順 2：CIS GPO ベースラインをインポートする

CIS は、各ベンチマークバージョン向けに、事前構築済みの GPO テンプレート（Build Kit）を提供しています。

# Download CIS Build Kit from CIS WorkBench (requires CIS SecureSuite membership)
# Extract the GPO backup to a staging directory

# Import the CIS GPO into Active Directory
Import-GPO -BackupGpoName "CIS Microsoft Windows 11 Enterprise v3.0.0 L1" `
  -TargetName "CIS-Win11-L1-Baseline" `
  -Path "C:\CIS-GPO-Backups\Win11-Enterprise" `
  -CreateIfNeeded

# Link GPO to target OU
New-GPLink -Name "CIS-Win11-L1-Baseline" `
  -Target "OU=Workstations,DC=corp,DC=example,DC=com" `
  -LinkEnabled Yes

手順 3：主要な CIS Benchmark カテゴリを適用する

アカウントポリシー（セクション 1）：

Password Policy:
  - Minimum password length: 14 characters (1.1.4)
  - Maximum password age: 365 days (1.1.3)
  - Password complexity: Enabled (1.1.5)
  - Store passwords using reversible encryption: Disabled (1.1.6)

Account Lockout Policy:
  - Account lockout threshold: 5 invalid logon attempts (1.2.1)
  - Account lockout duration: 15 minutes (1.2.2)
  - Reset account lockout counter after: 15 minutes (1.2.3)

ローカルポリシー - 監査ポリシー（セクション 17）：

Audit Policy Configuration:
  - Audit Credential Validation: Success and Failure (17.1.1)
  - Audit Security Group Management: Success (17.2.5)
  - Audit Logon: Success and Failure (17.5.1)
  - Audit Process Creation: Success (17.6.1)
  - Audit Removable Storage: Success and Failure (17.6.4)

セキュリティオプション（セクション 2.3）：

  - Interactive logon: Do not display last user name: Enabled (2.3.7.1)
  - Interactive logon: Machine inactivity limit: 900 seconds (2.3.7.3)
  - Network access: Do not allow anonymous enumeration of SAM accounts: Enabled (2.3.10.2)
  - Network security: LAN Manager authentication level: Send NTLMv2 response only (2.3.11.7)
  - UAC: Run all administrators in Admin Approval Mode: Enabled (2.3.17.6)

Windows ファイアウォール（セクション 9）：

  - Domain Profile: Firewall state: On (9.1.1)
  - Domain Profile: Inbound connections: Block (9.1.2)
  - Private Profile: Firewall state: On (9.2.1)
  - Public Profile: Firewall state: On (9.3.1)
  - Public Profile: Inbound connections: Block (9.3.2)

手順 4：CIS-CAT 評価で検証する

# Run CIS-CAT Pro Assessor against target endpoint
# CIS-CAT produces an HTML/XML report with pass/fail per recommendation

.\Assessor-CLI.bat `
  -b "benchmarks\CIS_Microsoft_Windows_11_Enterprise_Benchmark_v3.0.0-xccdf.xml" `
  -p "Level 1 (L1) - Corporate/Enterprise Environment" `
  -rd "C:\CIS-Reports" `
  -nts

# Review report for failed controls
# Score target: 95%+ for L1, 90%+ for L2 (due to operational exceptions)

手順 5：例外と代替コントロールを文書化する

適用できない CIS 推奨事項ごとに、次の手順を実施します。

1. 推奨事項の ID とタイトルを具体的に記載します
2. 例外を認める業務上の根拠を記載します
3. 残存リスクに対処する代替コントロールを定義します
4. 例外を再評価するレビュー日（四半期ごと）を設定します
5. 情報セキュリティ責任者の承認を得ます

例外の例：

Recommendation: 2.3.7.3 - Interactive logon: Machine inactivity limit: 900 seconds
Exception: Kiosk systems in manufacturing floor require 1800 seconds
Compensating Control: Physical badge-access to manufacturing area, CCTV monitoring
Review Date: 2026-06-01
Approved By: CISO

手順 6：継続的なコンプライアンス監視

スケジュールされたタスクまたは SCCM を使用して、CIS-CAT スキャンを定期的に実行するよう設定します。

# Create scheduled task for weekly CIS-CAT assessment
$action = New-ScheduledTaskAction -Execute "C:\CIS-CAT\Assessor-CLI.bat" `
  -Argument "-b benchmarks\CIS_Win11_v3.0.0-xccdf.xml -p Level1 -rd C:\CIS-Reports -nts"
$trigger = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Sunday -At 2am
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -RunLevel Highest
Register-ScheduledTask -TaskName "CIS-Benchmark-Scan" -Action $action `
  -Trigger $trigger -Principal $principal

ドリフト検出とダッシュボードでのレポート作成のため、結果を SIEM に送信します。

主な概念

用語	定義
CIS Benchmark	政府、産業界、学術界の意見を取り入れて CIS が策定した、コンセンサスに基づくセキュリティ構成ガイド
レベル 1 プロファイル	運用への影響を最小限に抑えながら、ほとんどの組織に適用できる実用的なセキュリティベースライン
レベル 2 プロファイル	高セキュリティ環境向けの拡張セキュリティベースライン。機能が制限される場合があります
CIS-CAT	ベンチマークへの準拠状況の確認を自動化する CIS Configuration Assessment Tool
Build Kit	ベンチマークの推奨事項を実装するために CIS が提供する、事前構成済みの GPO テンプレート
スコアリング	CIS の推奨事項は、スコア対象（準拠状況を測定可能）またはスコア対象外（ベストプラクティスのガイダンス）に分類されます

ツールとシステム

• CIS-CAT Pro Assessor：自動ベンチマークコンプライアンススキャナー（CIS SecureSuite ライセンスが必要です）
• Microsoft Security Compliance Toolkit (SCT)：Microsoft 独自の GPO ベースライン（CIS を補完します）
• Group Policy Management Console (GPMC)：エンタープライズ向け GPO の展開と管理
• LGPO.exe：スタンドアロン（ドメイン非参加）システムに GPO を適用する Microsoft のツール
• Nessus/Tenable：CIS ベンチマーク監査ファイルを備えた脆弱性スキャナー

よくある落とし穴

• すべてのエンドポイントに L2 を適用する：Level 2 の制限（自動再生の無効化、リモートデスクトップの制限など）は、標準的なワークステーションのワークフローを妨げます。L2 は機密データを扱うエンドポイントに限定してください。
• パイロット OU で GPO をテストしない：組織全体に展開する前に、代表的なハードウェア／ソフトウェアを備えたテスト OU に CIS GPO を展開し、業務アプリケーションへの影響を防いでください。
• CIS ベンチマークのバージョン更新を無視する：CIS ベンチマークは Windows の各機能リリースに合わせて更新されます。古いベンチマークを使用すると、新しいセキュリティ設定を見逃し、誤ったコンプライアンスレポートが生成されます。
• ローカル管理者アカウントを忘れる：CIS ベンチマークは、ドメイン参加済みのエンドポイントを前提としています。スタンドアロンシステムでベースラインを適用するには、LGPO.exe または Microsoft Intune が必要です。
• 例外プロセスがない：CIS の推奨事項を 100％適用することは、現実的でない場合がほとんどです。正式な例外プロセスがなければ、チームはハードニングを無視するか、アプリケーションを動作不能にしてしまいます。