Windows Server セキュリティの基本ルール

Windows Server は標準の状態でも安全だと考えられていますが、IT インフラのあらゆる部分と同様に、標的型攻撃にさらされないようにするには、パッチ適用、監視、設定が必要です。Windows Server を保護するのに役立つツールやベストプラクティスをいくつか見ていきましょう。

Baseline Security を構成する

攻撃対象領域（attack surface）を最小限に抑えるために、Windows Server のモジュール設計では、必要に応じてサーバーの役割や機能を追加できます。とはいえ、Windows Server は既定の状態でレガシー システムとの相互運用性および下位互換性を提供するように構成されています。これは便利で Windows Server を使いやすくしますが、その一方でシステムを脆弱にしてしまう可能性もあります。

IT リソースが限られている中小企業は Security Configuration Wizard (SCW) を使用して Windows Server をロックダウンできます。SCW は Windows Server 2012 R2 に既定でインストールされており、Server Manager の Tools メニューから見つけることができます。このウィザードは、サーバーについて入力する一連の質問に基づいてセキュリティ ポリシーを作成し、そのポリシーをローカル デバイスに適用することも、Group Policy Object（GPO）に変換して、Active Directory を利用している場合は、1 台以上のサーバーの構成に使用できます。

Microsoft の無料ツールである Security Compliance Manager（SCM）は、Windows Server およびクライアント デバイスを保護するための一連のテンプレートと一緒に提供されています。SCM は SCW よりも、適用される設定に対して管理者がより細かな制御を行えるようにし、カスタムのセキュリティ ベースラインを作成したり、テンプレート間で設定を比較したりできます。

管理業務の分離と最小権限のセキュリティ

仮想化技術により、サーバーの役割を分離することがかつてないほど容易になっています。そのため、ドメイン コントローラーが他のサーバーの役割やアプリケーションをホストしないようにし、また日常的な管理作業を行う用途に決して使わないようにしてください。サーバーの役割とアプリケーションを別々のサーバーにインストールすることで、管理者権限をより適切に制御でき、さらに、重要なシステムへのアクセスを適切に制限できるようにすることでセキュリティの向上にもつながります。

これと同様に、ドメイン管理者アカウントは、どうしても必要な場合に限って使用してください。たとえば、ドメイン管理者アカウントでワークステーションを管理すると、攻撃者がその認証情報にアクセスすることがかなり容易になります。そうなった時点で、あなたの全体的な Windows インフラが侵害されたと考えてよいでしょう。

監視と監査

Windows Server には、イベント ビューアー（Event Viewer）や便利な PowerShell コマンドレットなど、監視および監査のための組み込みツールがあります。イベント ビューアーでカスタム ビューを使うのは、サーバー イベントの概要を把握するのに役立ちます。また、独自のソリューションを作成するための時間とリソースがある場合は、PowerShell も選択肢になります。しかし、Windows Server を安全に保ち、構成変更を監視する最善の方法は、 サードパーティの変更監査ソリューションを導入することです。

監査ソリューションは、誰が何をいつどこで変更したのかについて重要かつ詳細な情報を提供し、変更前（“before”）および変更後（“after”）の構成データも含めるため、何が変更されたのかを簡単に理解できます。レポート機能により、Active Directory や Exchange などのアプリケーションを含む Windows Server 環境全体で発生している変更を、ソフトウェアに付属する事前構成済みのレポートを使って、さまざまな読みやすい形式で容易に把握できるため、すぐに始められます。さらに、Windows Server に標準搭載された監査機能を超えて、より多様な情報源から情報を取り込むことで、システムをより適切に保護するのにも役立ちます。また、ユーザーのアクティビティのビデオ記録などの追加機能も備えています。

「Windows Server のセキュリティ 」に関する詳しいヒントは 「SysAdmin Magazine」の5月号 をご覧ください。