アカウントの権限

PC

WindowsXPのアカウントは、以下の4つが用意されています。

  • Administrators: コンピュータに対して、完全かつ無制限なアクセス権を持ちます。
  • Power Users: ファイルの共有、ローカル プリンタのインストール、システム時刻の変更など、多くの制限された管理者権限を持ちます。Power Users は、Windows システム フォルダ内のファイルにアクセスできるアクセス許可も持っています。
  • Users: ユーザー権限が制限されており、偶発的または故意によるシステム全体への変更は許可されません。このグループ メンバのユーザー アカウントのみが、"制限付きユーザー アカウント" と呼ばれます。
  • Guests: 制限付きユーザーより少ない権限しか持ちません。


これらのアカウントを適切に運用する事により不要な攻撃を防ぐ事が出来ます。
しかし、恥ずかしながら私も普段からadministrator相当のアカウントで運用しています。


何故かというと、Usersでは、アプリケーションをインストールする度に
Usersアカウントのログアウト
administratorアカウントでログイン
インストール
administratorアカウントのログアウト
Usersアカウントのログイン
という非常に面倒で時間のかかる作業をしなければならないから。

そして、administratorでしか動作しないアプリケーションが多いのも理由です。


しかし、逆を返せばその特定のアプリケーション以外は、制限されたアカウントで動かせば良いわけです。
特に、ブラウザなどは、外からの攻撃を受けやすいアプリケーションですから。
ブラウザだけでも制限アカウントで。


そんな時に便利なものがあります。
それが、DropMyRights


DropMyRightsで実行する事で以下が禁止になります。

  • system32へのファイル書き込み
  • プロセス・サービスの終了
  • Windows Firewallの設定変更
  • Program Filesへのファイル書き込み
  • ローカルマシンレジストリ(HKLM)への追加・変更・削除


簡単な設定をすればアプリケーションはUsers権限で動作する様になります。
これなら1回設定すればいいので危険を回避するには簡単で良い方法だと思います。


DropMyRightsは、Browsing the Web and Reading E-mail Safely as an Administratorからダウンロード出来ます。


と言う事で、簡単な設定方法。

  • デスクトップを右クリックして[新規作成]-[ショートカット]
  • ショートカットの作成というウィンドウが開くので、その項目に

D:\DropMyRights\DropMyRights.exe "C:\Program Files\Internet Explorer\iexplore.exe"と記述。*1

  • ショートカットの名前を任意のものに変更
  • 作成したショートカットを右クリックして[プロパティ]-[ショートカット]にある[実行時の大きさ]を[最小化]に変更


以上でokです。
非常に簡単なのでいかがでしょうか?


と言っても、過信は禁物です。
本来は、Users権限のアカウントで運用すべきです。


その他にも方法があります。
知りたい方は、Windows XP でユーザー アカウントに最小特権の原則を適用するへ、どうぞ。

*1:前述はDropMyRightsのパス。後述はUsers権限で実行したいアプリケーションのパス