管理者として、ドメイン コントローラーに関連するリスクを低減または排除するためにできることは数多くあります。この記事では、そのために役立ついくつかのツールを紹介します。
攻撃面（Attack Surface）――この概念は、サーバーが機能を提供するために使用するソフトウェア、プロトコル、ポートを指します。これらは脆弱性となり得る領域であり、必要に応じて監視し、場合によっては無効化する必要があります。攻撃面を減らすことで、攻撃者が現在または将来の脆弱性にアクセスできる可能性を大幅に下げられます。以下に挙げるツールとアプリケーションは、全体的な攻撃面を減らすのに役立ちます。
セキュリティ構成ウィザード
セキュリティ構成ウィザード（Security Configuration Wizard、SCW）は「管理ツール」から起動できます。このツールは、サーバーが割り当てられた役割を実行できるように、サービス、ファイアウォール ルール、およびその他の設定を有効にするポリシーを作成するのに役立ちます。これにより、不要なサービス、プロトコル、およびポートを無効にすることもできます。ウィザードは、サーバーにインストールされている役割に対するポリシーの作成または編集の手順を順を追って案内します。下の図 1 は、セキュリティ構成ウィザードの画面のスクリーンショットを示しています。サーバー上で管理者権限を持っている必要があります。
図 1
SCW で作成したセキュリティ ポリシーは Group Policy を使用して展開できます。SCW を適切に動作させるには、SCW を起動するときに、IP プロトコルとポートを使用するすべてのアプリケーションがサーバー上で実行されている必要があります。
Microsoft Security Compliance Manager
Security Compliance Manager (SCM) は、セキュリティのベストプラクティスに基づいてベースライン ポリシーを作成し、Active Directory 環境内のコンピューターを構成および管理できる無料のツールです。
AppLocker
AppLocker は、アプリケーションの実行を許可または拒否するルールを作成できます。AppLocker では、次の種類のアプリケーションを制御できます：.exe、.com、.js、.ps1、.vbs、.cmd、.bat、.mst、.msi、.msp、.dll、.ocx。ユーザーが自分のホーム ドライブに実行ファイルを保存できないようにしたい場合は、AppLocker を使って制限できます。また、ドメイン コントローラーで実行を許可するアプリケーションも制限できます。
パッチと更新
ドメイン コントローラーには、最新のパッチと更新プログラムを適用しておく必要があります。ただし、関連するパッチだけをインストールすることが重要です。環境内の他のコンピューターとは別に、ドメイン コントローラーに対してパッチと更新を行う必要がある場合もあります。そうすることで、不必要なソフトウェアをインストールせずに、ドメイン コントローラーに必要な更新が適用されます。
リモートデスクトップ
ドメイン コントローラーへのリモート アクセスは、グループ ポリシーを使用して、認可されたユーザーのみに制限する必要があります。
ドメイン コントローラーでの Web ブラウジング
ドメイン コントローラーからの Web ブラウジングを許可するのは好ましくありません。管理者としてログオンしていると、意図せずに悪意のあるソフトウェアをダウンロードしてしまう可能性があるためです。
共有する
もっと詳しく
著者について
Troy Thompson
ネットワーク管理者
Troy は25年以上にわたりネットワーク管理の分野で働いており、国防省（Department of Defense）にてネットワークエンジニアおよび Microsoft Exchange の管理業務を担当してきました。また、技術記事、チュートリアル、ホワイトペーパーの執筆や技術編集も行っています。Troy は Cisco Certified Academy Instructor（CCAI）であり、CCNA、MSCE+I、Network+、A+、Security+ を含む多数の資格も保有しています。