前提：この順位は完全に個人的なランキングです
先に断っておきます。
このランキングは、CISベンチマークやMicrosoft Security Baselineの優先順位そのものではありません。現場で色々な環境を見てきた中で、「これが設定されていないと、危ないなあ、、」という実感をベースにした、個人的な順位付けです。
異論はあると思いますし、環境によって重要度は当然変わりますので予めご了承ください。
一方で、各項目の具体的な推奨設定値については、自分の感覚で数字を作らず、CISベンチマークやMicrosoft Security Baselineを参照するようにしています。「順位は主観、数字は公的基準」という切り分けで読んでもらえればと思います。
参照したドキュメント
- CIS Microsoft Windows Server 2022 Benchmark v5.0.0（2026年3月公開）
- Microsoft Security Baseline（Microsoft Learn、随時更新）
ベンチマークは今後も改定されていきます。本記事では意図的に具体的な数値（パスワード文字数・ロックアウト回数等）を記載していません。数値は上記ドキュメントの最新版を都度確認してください。項目の優先順位（ランキング自体）は経験ベースの見解のため、ベンチマークの改定があっても本記事の修正は行わない想定です。
参考：Microsoft Security Baseline 参考：CIS Microsoft Windows Server Benchmarks
一覧表
| 順位 | 設定項目 |
|---|---|
| 1 | LAPSによるローカル管理者パスワードの自動管理 |
| 2 | Administratorアカウントの名前変更・無効化 |
| 3 | SMB署名の必須化 |
| 4 | リモートデスクトップの制限（許可ユーザーの絞り込み・NLA必須化） |
| 5 | 監査ポリシーの詳細設定 |
| 6 | アカウントロックアウトポリシー |
| 7 | パスワードの複雑性要件・最小文字数 |
| 8 | USBメディアの使用制限 |
| 9 | Windows Defenderの改ざん防止設定 |
| 10 | スクリーンセーバーのパスワードロック |
1位：LAPSによるローカル管理者パスワードの自動管理
全端末で同じローカル管理者パスワードを使い回している環境、正直かなりの頻度で見かけます。（管理が楽なので気持ちはわかります、、笑）
ただ、1台が侵害されると、同じパスワードで他の全端末に横展開できてしまう、一番インパクトの大きい抜け漏れだと感じています。具体的な導入手順は「LAPSのセットアップガイド」で解説しています。
設定パス：
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → LAPS（Windows LAPSの場合、ADMXテンプレートの配置が必要です）
ADMXテンプレートについては、「GPOテンプレート（ADMX）の更新タイミングと判断基準」で解説しています。
2位：Administratorアカウントの名前変更・無効化
既定のAdministratorアカウントは、攻撃者が最初に狙う名前です。名前変更または無効化しておくだけで、単純な総当たり攻撃のハードルを上げられます。基本的な対策ですが、構築時に考慮されていないケースをよく見かけます。
設定パス：
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション → アカウント：Administrator アカウントの名前の変更
3位：SMB署名の必須化
NTLMリレー攻撃の踏み台にされやすいポイントです。署名を必須化するだけで、多くの中間者攻撃を防げます。ただし、署名非対応の古い機器・アプリがある環境では接続影響が出ることがあるため、導入前の影響範囲調査は必須です。
設定パス：
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション→
Microsoft ネットワーク サーバー：常に通信にデジタル署名を行う
（クライアント側は「Microsoft ネットワーク クライアント：通信にデジタル署名を行う（常に）」）
4位：リモートデスクトップの制限
RDPが誰でも接続できる状態のまま、というのも珍しくありません。
許可するユーザー・グループを絞り込み、NLA（ネットワークレベル認証）を必須化するだけで、攻撃対象がぐっと減ります。
設定パス：接続許可ユーザーは
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → ユーザー権利の割り当て →
リモート デスクトップ サービスを使ったログオンを許可する
（NLAの場合）
コンピューターの構成 → ポリシー → 管理用テンプレート → Windowsコンポーネント → リモート デスクトップ サービス → リモート デスクトップ セッション ホスト → セキュリティ →
リモート接続にネットワークレベル認証を使用したユーザー認証を必要とする
5位：監査ポリシーの詳細設定
基本監査ポリシーのままだと、いざ調査が必要になったときに肝心のログが記録されていない、という事態が起きます。
詳細な監査ポリシー（アカウント管理、ログオン、オブジェクトアクセス等のサブカテゴリ）への切り替えは、優先度高めで実施しておきたい設定です。
設定パス：
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → 監査ポリシーの詳細な構成
6位：アカウントロックアウトポリシー
しきい値を設定していない、または緩すぎる環境では、パスワードスプレー攻撃への耐性が低くなります。しきい値・監視期間・ロックアウト期間のバランスは、CISベンチマークの推奨値を出発点にするのが現実的です。
設定パス：
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → アカウント ポリシー → アカウント ロックアウトのポリシー
7位：パスワードの複雑性要件・最小文字数
古くからある基本項目ですが、いまだに緩い設定のまま運用されている環境があります。最小文字数の考え方は近年のベストプラクティスで変化してきている領域なので、独自の数字を決め打ちするより、都度最新のMicrosoft Security Baselineを確認するのが安全です。
設定パス：
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → アカウント ポリシー → パスワードのポリシー
8位：USBメディアの使用制限
情報持ち出し・マルウェア持ち込みの経路として、USBメモリは今も現役のリスクです。全面禁止が難しい場合でも、書き込み制限や許可デバイスのホワイトリスト化から始める価値があります。
設定パス：
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス
9位：Windows Defenderの改ざん防止設定
エンドポイント保護が有効になっていても、改ざん防止（Tamper Protection）が無効なままだと、ローカル管理者権限を奪われた時点で簡単に無効化されてしまいます。組み合わせて有効化しておくべき設定です。
設定パス：⚠️この設定は従来のグループポリシーでは構成できません。Microsoft 365 Defenderポータル（組織全体への一括適用）、Intune、またはローカルのWindowsセキュリティアプリ（
ウイルスと脅威の防止 → ウイルスと脅威の防止の設定 → 改ざん防止）のいずれかから設定する必要があります。他の9項目と設定経路が異なる点にご注意ください。
10位：スクリーンセーバーのパスワードロック
順位としては低めですが、地味に効きます。離席時の端末が無防備なまま、というのは物理的なアクセス経路をそのまま空けている状態です。タイムアウト時間とロック設定、意外と未設定の環境があります。
設定パス：
ユーザーの構成 → ポリシー → 管理用テンプレート → コントロール パネル → 個人設定配下の
「スクリーン セーバーを有効にする」
「スクリーン セーバーをパスワードで保護する」
「スクリーン セーバーのタイムアウト」
導入時の注意点
上位の項目ほど、既存の業務・システムへの影響範囲も大きくなる傾向があります。
特にSMB署名の必須化やロックアウトポリシーの厳格化は、古いシステムとの互換性やヘルプデスクへの問い合わせ増加につながることがあります。
一気に全部適用せず、影響範囲を確認しながら段階的に導入することをおすすめします。
今日から始めるチェックリスト
- 全端末でローカル管理者パスワードが使い回されていないか確認した
- Administratorアカウントが既定のまま有効になっていないか確認した
- SMB署名が必須化されているか確認した
- RDP接続が許可ユーザーで絞り込まれているか確認した
- 監査ポリシーが基本設定のままになっていないか確認した
- アカウントロックアウトのしきい値が設定されているか確認した
上から順番でなくても構いません。まずは自分の環境で、この6項目のうちいくつが未対応か数えるところから始めてください。
コメント