攻撃者が悪用するコマンドを制限してみた

「攻撃者が悪用するWindowsコマンド」
のランキングが発表されたそうです。
こちらやこちら。

　ということで、
こちらやこちらを参考にコマンドの使用を制限してみました。
AppLockerというのを使って設定するようです。

　ところで、
コマンドのパスを調べるには、コマンドプロンプトから
例えば > where tasklist とか入力すれば分かります。
ただ、
ver はコマンドシェルのビルトインなコマンドのようなので、
ファイルとして存在してないようです。

　なお、
規則の初回追加時は以下のようなダイアログが出るので、
「はい」を選ぶようにします。

　ちなみに、
私が拒否設定にしてみたのは、
tasklist, net, ping, reg, at, wmic　
の６つ。
よく分かってないけど、これらを使えなくしておけば、良さげ？
qprocess や query も要らなそうだなぁ。
というか、初めて知ったコマンドが結構ある(^_^;)
個人的にたぶん使いそうにないので問題ないかと。
ipconfig はたまに使うので除外しました。