Windows Server セキュリティガイド：ハードニングとベストプラクティス

サーバーをデフォルトの状態で展開することは、最も迅速に運用を開始する方法ですが、セキュリティの観点では大きく不足しています。箱から出した状態のサーバーは、使いやすさのために最適化されており、これはしばしばセキュリティの犠牲を伴います。

この警告は、Windows Server システムにとって特に重要です。なぜなら、Microsoft エコシステムにおいて、認証と認可の両方で重要な役割を果たすからです。Windows Server システムを安全に構成するために少し余分な時間を投資することで、攻撃対象面を劇的に減らすことができます。

このガイドは、Windows Serverの強化に関するベストプラクティスの広範なチェックリストを提供します。まず、Windows Server自体、ユーザー、機能、役割、サービスなどをカバーします。しかし、その後、ネットワークやファイアウォールの構成、アプリケーションやサービスの構成、アクセス管理、監査ポリシーなど、Windows Serverのセキュリティと可用性に影響を与えるIT環境のさまざまな側面に対するWindows強化ガイドを提供します。最後に、サーバー強化プロセスを大幅に簡素化するソリューションを提供します。

サーバーの準備

サーバーのハードニングは、オペレーティングシステムをインストールする前から始まります。サーバーのセキュリティのための堅固な基盤を提供するために、次の手順を実行してください:

• すべてのサーバーの詳細なインベントリを確立し、維持します。
• 新しいサーバーを完全に強化されるまで、ネットワークとインターネットトラフィックから隔離します。
• 堅牢なパスワードでBIOS/ファームウェアを保護します。
• 回復コンソールへの自動管理ログオンを無効にします。
• 代替メディアからのブートを防ぐために、デバイスのブート順序を設定します。

Windows Serverのインストールを更新し、最新の状態を保つ

Windows Serverオペレーティングシステムをインストールした後、既知の脆弱性を軽減するために、すぐに最新のパッチで更新してください。更新はMicrosoftから直接ダウンロードするか、Windows Server Update Services (WSUS)またはSystem Center Configuration Manager (SCCM)を通じて行うことができます。

サーバーのセキュリティを維持するために、パッチの利用可能性に関する自動通知を有効にし、更新を迅速にインストールしてください。ただし、パッチ、ホットフィックス、またはサービスパックを展開する前に、それが特定の環境で適切に機能することを確認するために徹底的にテストしてください。

ユーザーアカウントのセキュリティ強化

サーバーがデプロイされ、セキュリティパッチが最新の状態になったら、無許可のアクセスのリスクを軽減するためにユーザーセキュリティ構成を進めてください。主要なユーザー構成のベストプラクティスは次のとおりです:

• 各サーバーでゲストアカウントを無効にします。
• ローカル管理者アカウントの名前を変更するか、無効にして一意の名前の新しいアカウントを作成してください。
• ローカルシステム (NT AUTHORITY\System)、ネットワークサービス (NT AUTHORITY\NetworkService)、管理者、バックアップオペレーター、ユーザー、およびEveryoneなどの組み込みグループのメンバーシップと権限を最小限に抑えてください。たとえば、サーバーへの無制限のリモートアクセスを防ぐために、Everyoneグループに「ネットワークからこのコンピューターにアクセスする」権限を付与するデフォルト設定を変更してください。
• システムおよび管理者アカウントのパスワードが 最良のパスワードの実践に従うことを確認してください。特に、これらのパスワードは少なくとも15文字以上で、文字、数字、特殊文字の組み合わせを使用し、90〜180日ごとに変更する必要があります。
• アカウントロックポリシーを次に従って構成します アカウントロックのベストプラクティス.
• 匿名SID/名前の翻訳を無効にします。
• 未使用のユーザーアカウントを迅速に無効にするか削除します。
• サーバー管理者に特権のあるドメインアカウントではなく、ローカル管理者アカウントを使用してログインするように要求し、ドメイン全体の問題や侵害のリスクを制限します。

機能と役割の設定

Windowsサーバーを強化するためのもう一つの重要なベストプラクティスは、サーバーの意図された目的に必要のない機能や役割を削除することです。この戦略は攻撃面を減らし、サーバーの管理を容易にします。

アプリケーションとサービスの構成

同様に、各サーバーにインストールされているアプリケーション、サービス、プロトコルの数を最小限に抑えてください。特に、サーバーに追加のウェブブラウザをインストールせず、すべてのユーザーのウェブアクセスを制限してください。

サーバー上で実行されているアプリケーションとサービスを制限することで、攻撃対象面が減少し、更新およびパッチ管理が簡素化されます。

ネットワーク構成

ネットワークの構成は、Windowsサーバーのセキュリティに大きな影響を与えます。従うべきいくつかの重要なネットワーク構成の実践があります。

• VLAN、サブネット化、またはその他のネットワーク分離技術を使用して、信頼できないネットワークまたはセグメントからサーバーを隔離します。この戦略は、サーバーの潜在的な脅威への露出を制限します。
• DNSおよびホスト名の設定が正確であることを確認し、DNS関連の操作を防ぎます。
• IP制限とフィルタリングルールを実装して、どのIPアドレスまたは範囲がサーバーと通信できるかを制御します。これにより、不正アクセスや攻撃への露出を制限できます。
• リモート管理が必要な場合は、RDPアクセスを特定のIPアドレスまたはネットワークに制限して、不正アクセスを防止してください。
• レガシーソフトウェアやハードウェアに必要な場合を除き、NetBIOS over TCP/IPとLMHostsのルックアップを両方無効にします。

ファイアウォール設定

Windows サーバーを不正アクセスや悪意のあるトラフィックから保護するために、次のファイアウォール構成のベストプラクティスに従ってください:

• Windowsファイアウォールを有効にします。
• 各Windowsファイアウォールプロファイル（ドメイン、プライベート、パブリック）をデフォルトで受信トラフィックをブロックするように設定します。サーバーに対して受信アクセスが必要な場合は、必須のプロトコル、ポート、および特定のIPアドレスに制限します。
• 必要なネットワークポートのみを開き、他のすべてのポートへのアクセスを制限または拒否します。

ネットワーク時間設定 (NTP) 設定

NTPは、イベントの正確なタイムスタンプを確保するために重要であり、これにより組織は時間の偽装や再生攻撃から守ることができます。

特定のサーバーを主なタイムキーパーとして指定し、信頼できる原子時計ソースと同期するように設定します。次に、すべてのサーバーとワークステーションがそのサーバーとのみ時間を同期することを義務付けるポリシーを確立します。

レジストリ構成

レジストリ設定を適切に構成し、それらの変更を制御することは、サーバーのセキュリティにとっても重要です。ベストプラクティスには、以下が含まれます:

• リモートレジストリサービスが必要ない場合は、無効にしてください。必要な場合は、アクセスを厳しく制御してください。
• ネットワークリソースへの匿名アクセスを制限するには、「NullSessionPipes」と「NullSessionShares」設定を無効にしてください。
• 重要なレジストリキーとサブキーを変更できるのは、認可されたユーザーと管理者のみです。

暗号化

サーバーのセキュリティを強化するために、システムドライブ全体とデータを含む追加ドライブのBitLockerドライブ暗号化を有効にして構成することをお勧めします。より詳細なデータ保護のために、個々のファイルを暗号化するためにEncrypting File System（EFS）を利用することを検討してください。

ネットワーク全体でデータの機密性と整合性を確保するために、サーバー間のネットワークトラフィックを暗号化するためにIPsecを実装できます。

アクセス管理

アクセス管理は、Windowsの強化チェックリストの重要な要素です。これは、誰がどのITリソースにアクセスできるか、またどのレベルのアクセス権を持っているかを制御します。アクセス管理のベストプラクティスには、以下が含まれます:

• ユーザーとプロセスにタスクを実行するために必要な最小限の権限を付与することによって、最小権限の原則を強制します。特に、Everyoneグループに対する権限の付与には非常に慎重であるべきです。
• 認証されたユーザーのみがネットワーク内のコンピュータにアクセスできるようにします。
• Kerberos 認証のための許可される暗号化タイプを構成します。
• LANマネージャーハッシュ値を保存しないでください。
• 必要ない場合は、ファイルと印刷の共有を無効にしてください。
• 古い技術をサポートする必要がない限り、NTLMv1プロトコルを無効にしてください。

リモートアクセス設定

リモートデスクトッププロトコル（RDP）はハッカーの一般的なターゲットであるため、必要な場合にのみ有効にする必要があります。RDPが有効になっている場合は、RDP接続の暗号化レベルを高に設定してください。

さらに、リモートアクセス権は必要な特定のユーザーのみに付与し、可能であれば多要素認証（MFA）を使用して追加の保護層を追加してください。

一般的なセキュリティ強化の実践

これらの一般的なセキュリティベストプラクティスを実装することを検討してください:

• データの流出やマルウェアの侵入のリスクを軽減するために、USBメモリなどのリムーバブルメディアの使用を無効にします。
• ユーザーがログインする前に、次のような法的通知を表示してください: “このコンピュータおよびネットワークリソースの無断使用は禁止されています。”
• 対話型ログインにはCtrl+Alt+Delを要求し、アイドル対話型セッションを自動的に終了するための時間制限を設定します。
• サーバーに十分なRAMがある場合、パフォーマンスを向上させ、機密データがハードドライブに書き込まれないようにすることでセキュリティを強化するために、Windowsスワップファイルを無効にすることを検討してください。

Windows Server ハードニング ガイド: 追加の推奨事項

他のハードニング推奨事項は以下の通りです:

• 定期的に実施してください リスク評価 を行い、それを使用してリスク管理計画を更新してください。
• サーバーやその他のマシンを保護するためにエンドポイントセキュリティソリューションを使用してください。Windows Defenderはデフォルトで含まれていますが、サードパーティのソリューションも利用可能です。アンチスパイウェア保護を検討してください。
• 不適切なアクセスや漏洩から機密情報を保護するために、データ損失防止（DLP）ソリューションをインストールしてください。
• サーバーのセキュリティを脅かす可能性のある活動を監視します。ネイティブログはある程度の洞察を提供し、これらのログはWindowsイベントビューアを使用して確認できます。しかし、より包括的なロギングと監視機能を実現するには、監視だけでなく、ユーザー行動分析（UBA）、リアルタイムアラート、および自動インシデント応答などの高度な機能を提供する企業監査ソリューションを実装してください。

Netwrixがどのように役立つか

Netwrixチェンジトラッカー Windows Serverのハードニングと構成管理を劇的に簡素化します。特に、これに関しては:

• 標準に準拠した安全なベースライン構成を確立するのを容易にします。インターネットセキュリティセンター (CIS) と 米国防総省のセキュリティ技術実装ガイド (STIG)
• システムおよびファイル整合性監視（FIM）技術を使用して、ベースライン構成からの逸脱やドリフトを自動的に検出します。
• ITサービス管理（ITSM）ソリューションと連携して、予期しない構成変更を特定し、管理者に警告します。
• 変更に関する詳細情報を提供することで、インシデント対応の速度を向上させます。
• NIST、PCI DSS、CMMC、STIG、およびNERC CIPをカバーする即使用可能なレポートを使用して、コンプライアンス監査を効率化します。

Fortune 500 の約 25%を含む 13,500 以上の組織が、アイデンティティ、データ、インフラを守るために Netwrix を利用しています。Netwrix Change Tracker の動作をご覧ください。

インフラ中心の攻撃が急増しています。 Verizon 2025 Data Breach Investigations Report では、初期アクセス手法として脆弱性の悪用が占める割合が、約20%の侵害にまで増加していることが示されました。これは、オンプレミス環境への攻撃者の継続的な注目を反映しています。

Active Directory、ファイルサービス、そしてほとんどの企業における認証を支える基盤である Windows Server は、依然として頻繁に狙われるターゲットです。

強固な Windows Server のセキュリティは、ハードニングから始まります。不必要な機能を削除し、デフォルトを厳格に固定し、攻撃者が実際に使用する経路を塞ぐ設定を徹底することが重要です。

課題は、Windows Server がいまだに「使いやすさ」を優先しており「セキュリティ」を最適化して提供されている点です。許容的なデフォルト設定、レガシー プロトコル、そして最小限の監査の存在により、攻撃者が侵入した後は活動の余地がさらに広がります。いかなるバージョンの Windows Server でも、標準のまま（初期状態で）インストールした場合の整合度は、そのリリースのハードニングに対応する CIS ベンチマーク基準でおよそ 30% にすぎません。

このガイドでは、Windows Server のセキュリティ ハードニングを取り上げ、現在の脅威環境においてなぜ重要なのかを説明したうえで、攻撃対象領域（attack surface）全体をカバーするベストプラクティスを順を追って解説します。

Windows Server のセキュリティ ハードニングとは何ですか？

Windows Server のセキュリティ強化（security hardening）とは、攻撃対象領域（attack surface）を減らすために Windows Server システムを構成するプロセスです。つまり、未使用の機能を無効化し、デフォルト設定をより厳密にし、最小権限（least privilege）を徹底し、認知された標準に沿った安全な構成ベースライン（secure configuration baselines）を適用することを意味します。

強化（hardening）はパッチ適用（patching）とは別のものです。パッチは特定の既知の脆弱性を塞ぎますが、強化は、そもそもパッチが防御する必要があった悪用可能な領域（exploitable surface）を減らします。

強化された Windows Server とは、その役割に必要なサービス、ポート、ユーザー、権限だけが有効のままで、それ以外（レガシープロトコル、デフォルト共有、匿名アクセス、未使用のロール）は削除するか制限されている状態です。

多くの Windows Server の強化プログラムを左右するのは、主に次の 3 つの標準です:

• CIS Benchmarks Center for Internet Security が提供する CIS Benchmarks は、各 Windows Server リリースごとに、合意に基づくバージョン固有の強化ガイダンスを提供します。CIS は、商用企業で最も広く採用されているベースライン（baseline）です。
• 米国国防総省（DoD）の DoD STIG（Security Technical Implementation Guides）は、連邦政府、国防、および国防に隣接する組織に対するハードニング要件を定義しています。STIG は CIS と大きく重複しますが、より規範的で厳密です。
• NIST SP 800-123 および 800-171 は、CIS と STIG の両方に影響を与える基礎となる構成管理の原則を示しており、CMMC や FedRAMP のようなコンプライアンス・フレームワークで直接参照されています。

多くの組織は CIS から始め、規制の影響範囲に応じて追加の要件を補います。そのため、オーストラリア、フランス、ドイツのような国々でも、サイバーセキュリティ関連団体が詳細な技術的ハードニング・ガイドを作成しています。さらに、Microsoft 自身のセキュリティ基線もハードニングに対応しています。

なぜ Windows Server のセキュリティが重要なのか

Windows Server のハードニングは、単なるチェック作業ではありません。4 つの現実により、それは利用可能なセキュリティ投資の中でも最もレバレッジ（投資対効果）が高い部類の一つになります。

1. Windows Server は認証の基盤です

Active Directory は Windows Server 上で動作し、多くの企業における中央の認証情報ストアとして機能します。ドメイン コントローラーの役割を実行している Windows Server が侵害されると、攻撃者は、そのドメインを信頼しているすべてのアプリケーション、共有、ワークロードへの鍵を手に入れます。したがって、AD を実行するサーバーを強化することは、単なるサーバー セキュリティの課題ではありません。ドメイン全体に影響する「アイデンティティ セキュリティ」の課題です。

2. オンプレミス インフラは集中して狙われるターゲットです

Windows Server は、ほとんどのオンプレミスの IT 環境の中心に位置しているため、上で説明した悪用の圧力が単一の面に集中します。この集中により、Windows Server は高価値な標的になり、強化（ハードニング）によって、エンドポイントの検知が発動する前に攻撃者が悪用できる実行可能な侵入口の数を減らすことができます。

3. デフォルト設定は悪用可能な攻撃面を作ります

新たにインストールした Windows Server は、Everyone グループに対してネットワーク経由でコンピューターへアクセスする権限を付与します。デフォルトでは、Security Account Manager (SAM) アカウントと共有の匿名列挙を許可し、LAN Manager ハッシュを保存する場合があり、NTLMv1 が有効になっている可能性があります。

それぞれのデフォルト設定は、攻撃者のプレイブックで知られている手法であり、設定だけでそれぞれを確実に無効化できます。ライセンス購入は不要です。ハードニングによって、これらのデフォルトは意図を持ち、役割に適した設定へと置き換えられます。

4. コンプライアンスのフレームワークで求められます

PCI DSS から HIPAA、SOX、NIST SP 800-171、そして CMMC はすべて、規制対象データを扱うシステムについて、文書化された安全な設定、構成管理、および監査証跡を要求しています。

North American Electric Reliability Corporation Critical Infrastructure Protection (NERC CIP) のような公益事業分野の標準でも同様の要求があります。認められたベースラインに基づいて Windows Server をハードニングし、ドリフトを監視することが、複数の規制を同時に満たすための最も効率的な方法です。

Windows Server のセキュリティに関するベストプラクティス

以下の実践は6つのカテゴリに整理されており、合わせてWindows Serverの攻撃対象領域全体をカバーします。新しいサーバーを立ち上げる際は順番に適用し、既存のサーバーに対しては継続的に適用してください。

1. 強化されたベースラインから始める

ベースラインのハードニングは、OS をインストールする前に始まり、初期構成までを含みます。すべての新しいサーバーを「デプロイ」ではなく、プロジェクトとして（Intune をコードだと考えるならコードとして）扱ってください。

サーバーの準備

• 基準構成（baseline configuration）を含む、すべてのサーバーの詳細なインベントリを構築・維持し、その後に発生するすべての変更（ドリフト）を確実に検知してください。
• 新しいサーバーが完全に加固される（fully hardened）まで、必要最小限のネットワークおよびインターネット接続のみを提供してください。
• ブートレベルの設定に対する不正な変更を防ぐため、UEFI Secure Boot を使用してファームウェアを保護してください。
• WinRE を保護し、Bitlocker の回復キーを必須にする
• USB や光学ドライブなどの代替メディアから起動されないように、デバイスのブート順序を設定します。
• サーバーの仮想化構成を管理し、検証します。

パッチ適用と更新

強化された設定は、その下にあるパッチレベルと同じだけの強度しかありません。更新は早期に適用し、中央で適用して、配備前にテストしてください。

• Windows Server をインストールしたら、最新の導入では Windows Autopatch または Microsoft Intune を通じて直ちに最新パッチを適用し、レガシー基盤が必要な場合は Microsoft Endpoint Configuration Manager（旧 SCCM）を通じて適用してください。継続的なモニタリングを使用して、配備先全体のパッチ状態を確認します。
• 集中型のパッチ編成（オーケストレーション）を使用し、レガシー要件がある場合に限って SCCm のようなツールを使用してください。
• 本番環境にパッチ、ホットフィックス、サービスパックを展開する前に、ステージング環境で徹底的にテストしてください。

ロール、機能、およびサービスの削減

サーバー上で動作するあらゆるロール、機能、アプリケーション、サービスは、攻撃者が調べられるコードを増やしてしまいます。サーバーは実際に仕事をするのに必要なものだけに絞り込んでください。

• サーバーの意図された用途以外の Windows Server のロールや機能は削除してください。
• 使用していないアプリケーション、サービス、プロトコルを削除します。
• サーバー上でブラウザを使わないか、ポリシーでブロックし、すべてのユーザーのインターネットアクセスを制限します。
• Bitlocker を使って Windows のスワップ ファイルを保護し、サーバーに十分な RAM がある場合は RAM のみのワークロードを使用します。

システム構成

いくつかの Windows の既定の動作は、実際に本番サーバーが稼働している環境よりも、よりフレンドリーな環境を前提にしています。これらの設定により、攻撃者が確実に悪用する低レベルの隙（ギャップ）を閉じることができます。

• 匿名アクセスからレジストリを保護し、必要がない場合は Remote Registry を無効にしてください。
• NullSessionPipes と NullSessionShares を無効にして、ネットワーク リソースへの匿名アクセスを制限してください。
• 重要なレジストリ キーを変更できる権限は、承認されたユーザーと管理者のみに付与してください。
• 対話的ログインには Ctrl+Alt+Del を必須にし、非アクティブのタイムアウトを設定してアイドル状態のセッションを自動的に終了させます。ただし、悪意のあるドリフトを検知できるように、これらの変更を必ず監視してください。
• ユーザーのログイン前に法的通知を表示します。例：「このコンピューターおよびネットワーク リソースの無断使用は禁止されています。」
• ポリシーを使用して、USBドライブなどのリムーバブルメディアを無効にし、データの持ち出しやマルウェア注入のリスクを低減します。

2. ユーザーアカウントとアクセスをロックダウンする

アクセス管理は、誰がどのリソースに到達できるのか、そして到達後に何ができるのかを決定します。このカテゴリは、攻撃者が侵入後に横方向へ移動するために使用する、アイデンティティに基づく経路を塞ぎます。

ユーザーアカウントのセキュリティ

デフォルトのユーザーアカウントや事前定義されたグループには、プロダクション環境ではほぼ確実に許可が強すぎる権限が付与されています。ほかのアクセス作業を行う前に、これらをまず厳格化してください。

• すべてのサーバーでゲストアカウントを無効にしてください。
• 可能であればローカルの Administrator アカウントを無効化し、LAPS を使用するか、just-in-time の特権だけを持つ新しい名前付きアカウントを作成してください。
• Administrators、Backup Operators、Everyone などの事前定義済みグループのメンバーシップを監査し、所属していないアカウントを削除してください。Local System や Network Service のような組み込みのサービス アカウントの権限を変更しないでください。これらの変更は、Windows の中核となる機能を破壊する可能性があります。
• Everyone に「Access this computer from the network」権限を付与する既定値を変更してください。この既定値により、共有フォルダーが認証済みユーザーおよび匿名ユーザーのすべてに公開されます。
• システムアカウントおよび管理者アカウントのパスワードは、少なくとも 15 文字とし、英字・数字・特殊文字を組み合わせてください。すべての特権アカウントで MFA を強制します。侵害の証拠がない限り、定期的なローテーションを義務化しないでください。 NIST SP 800-63B guidance.
• システムおよび管理者アカウントのパスワードは、文字・数字・特殊文字を組み合わせて少なくとも 15 文字にしてください。すべての特権（privileged）アカウントに対して MFA を強制します。NIST SP 800-63B のガイダンスに従い、侵害の証拠がない限り定期的なローテーションを義務付けないでください。
• グループ ポリシーでアカウント ロックアウト ポリシーを構成し、ブルートフォース（総当たり）攻撃の試行を抑制します。
• 匿名の SID/名前（Name）変換を無効にします。
• 使用していないユーザー アカウントを速やかに無効化または削除してください。
• 階層化された管理者アカウント（Tier 0: ドメインおよびフォレスト管理者、Tier 1: サーバ管理者、Tier 2: ワークステーション管理者）を使用し、これらのアカウントには Privileged Access Workstation 経由でのみアクセスします。日常的なサーバ メンテナンスにドメイン管理者アカウントを使用しないでください。

アクセス管理

アカウントが整理されたら、次に考えるべきは、それらのアカウントが実際に何をできるのかという点です。アクセス管理の制御はこの疑問に答えるものであり、最小権限と認証の衛生（ハイジーン）が実現される場所でもあります。

• 最小権限の原則を principle of least privilege に徹底するには、ユーザーやプロセスに必要最小限の権限だけを付与します。特に Everyone グループに付与する権限は、より慎重に扱ってください。
• ネットワーク経由で任意のコンピューターにアクセスできるのは、認証済みのユーザーのみにしてください。
• Kerberos 認証で許可する暗号化方式を設定し、より弱いレガシーのオプションは無効にします。
• LAN Manager のハッシュ値を保存しないでください。
• 必要がない場合は、ファイル共有およびプリンター共有を無効にしてください。
• レガシー技術が必要な場合を除き、NTLMv1 を無効にしてください。

リモートアクセス

リモートデスクトッププロトコル（Remote Desktop Protocol）は管理者にとって便利であると同時に、攻撃者にとっても同様に便利です。最後の手段として扱い、使用する場合は強固な認証で保護してください。

• 必要な場合にのみ Remote Desktop Protocol (RDP) を有効にしてください。攻撃者は RDP を初期アクセスの手段として悪用することがよくあります。
• RDP が必要な場合は、接続の暗号化レベルを高に設定してください。
• リモートアクセスは必要な特定のユーザーのみに付与してください。
• パスワードに加えて第2の認証要素を追加するため、マルチファクター認証（MFA）を必須にしてください。

Netwrix Change Tracker：CIS認定の構成ハードニング。ブラウザでデモを起動してください。

3. ネットワークとファイアウォールを防御的に設定する

ネットワーク アーキテクチャは、加固済みサーバーが実際にどれほど露出しているかを左右します。過度に許可されたファイアウォールの背後にある、適切に加固されたサーバーでも攻撃は行われます。

ネットワーク設定

ネットワーク レベルの制御は、誰がそもそもサーバーに通信を試みられるかを決めます。積極的にセグメント分割し、不要な露出を引き続き生み出しているレガシーの名前解決プロトコルを閉じてください。

• Zero-Trust ネットワーク セグメンテーション、マイクロ セグメンテーション、または identity-based セグメンテーションのようなアプローチでサーバーを分離します。 .
• DNSベースの改ざんを防ぐために、DNSおよびホスト名の設定を確認し、DNSSECまたはTLS/HTTPS経由のDNSを使用してください。
• どのアドレスまたは範囲が各サーバーと通信できるかを制御するために、IP制限とフィルタリングルールを実装してください。
• リモート管理が必要な場合は、RDPアクセスを特定のIPアドレスまたはネットワークに制限し、作業にはPAWs（privileged access workstations）を使用してください。
• レガシーなアプリケーションで必要とされない限り、TCP/IP経由のNetBIOSとLMHostsルックアップを無効にしてください。

ファイアウォールの設定

Windows ファイアウォールは、ネットワーク層の制御をすり抜けて到達する意図しないトラフィックに対する、サーバーの最後の防衛手段です。デフォルト拒否（Default-deny）が、それを有効に機能させ続ける方針です。

• すべてのサーバーで Windows ファイアウォールを有効化してください。
• 各ファイアウォール プロファイル（Domain、Private、Public）を既定で受信（入方向）トラフィックをブロックするように設定してください。入方向へのアクセスが必要な場合は、必須のプロトコル、ポート、および IP 範囲に限定します。あわせて送信（出方向）フィルタリングも検討してください。
• 実際に使用しているネットワーク ポートだけを、使用している間だけ開放し、それ以外のすべてへのアクセスを拒否します。

Network Time Protocol (NTP)

正確な時刻はセキュリティ上の管理策です。Kerberos 認証では、厳格なクロックのずれ（クロックスキュー）許容範囲が適用され、インシデント調査時のログ相関は、すべてのサーバーとワークステーションで同期されたタイムスタンプに依存します。

• 信頼できる原子時計のソースと同期するプライマリの時刻サーバーを指定します。
• すべてのサーバーとワークステーションに対して、そのサーバーとのみ同期することを必須にしてください。仮想化環境では、NTP ソースを .virtualized にしてはいけません。

4. 保存データと転送中のデータを暗号化する

暗号化によってデータ自体が保護されたままであるため、システムレベルでの侵害が成功しても、その結果ははるかに限定されたものになります。

• システム ディスクおよび機密データを含むすべてのディスクで BitLocker のディスク暗号化を有効化し、設定します。
• ディスク暗号化に加えて、よりきめ細かなファイル単位の保護が必要な場合は、Microsoft Purview Information Protection を使用して、ファイルと一緒に移動する感度ラベルおよび権利管理ポリシーを適用します。
• IPsec を実装して、サーバー間のネットワーク トラフィックを暗号化し、ネットワークを介して転送中のデータを保護します。

5. 監査ポリシーを適用し、ドリフトを監視する

監視なしでのハードニングは劣化します。監査ポリシーが生の可視性を提供し、ドリフト検知が基準（ベースライン）をそのまま維持するための規律を提供します。

監査ポリシーの設定

監査ポリシーは、サーバーが自分自身のアクティビティについて何を記録するかを決定します。意図的なポリシーがないと、調査の際に必要となるイベントが残りません。

• 認証イベント、特権アカウントの使用、アカウント管理、ポリシーの変更、ならびに機密リソースへのオブジェクトアクセスを取得できる監査ポリシーを設定してください。Windows Event Viewer で参照できるネイティブログは、出発点となります。
• イベントログの保持方法を必要に応じて上書きに設定し、十分なログ保存容量を確保してください（サーバーあたり 4 GB 以上）。
• セキュリティログをセキュリティ情報・イベント管理（SIEM）プラットフォームに送信し、サーバー間での相関分析を可能にするとともに、ローカルのログローテーションを超えて保持できるようにします。

継続的な監視

ログは何が起きたかを示しますが、継続的な監視は「いま何が起きているのか」と、それが許可されたものかどうかを示します。ここでドリフト検知が、ハードニング（hardening）をプロジェクトから実践へと変えていきます。

• 導入 file integrity monitoring (FIM) により、ファイルシステム、レジストリ、サービス、およびローカルアカウントへの不正な変更をリアルタイムで検出します。
• 構成変更を、承認済みの変更管理チケットと関連付けて、正当な管理者の作業と疑わしい変更を切り分けます。
• 包括的な可視性を得るには、ユーザー行動分析（UEBA）、リアルタイムのアラート、そして自動化されたインシデント対応を提供するエンタープライズ監査ソリューションを導入してください。これらの機能は、ネイティブなログだけでは提供できないものです。

6. 時間の経過とともにハードニングを維持する

ハードニングは、終了日が決まったプロジェクトではありません。管理者、ソフトウェア、そして攻撃者が変更を加える中でも、いくつかの実践によってベースラインを維持します。

• 定期的に IT リスク評価 を実施し、その結果をリスク管理計画に反映してください。
• サーバーとワークステーション全体に エンドポイント セキュリティ ソリューション を導入してください。Windows Server には既定で Windows Defender が含まれています。サードパーティ製のオプションを追加すると、検知と対応のカバレッジを拡張できます。
• データ漏えい防止 data loss prevention (DLP) ソリューションを導入して、機密情報を不適切なアクセスや流出（exfiltration）から保護します。
• すべてのサーバーを同一のリビジョン・レベルに保ち、構成管理とパッチ検証を簡素化します。
• 強化されたベースラインを、少なくとも年に1回は最新の CIS または STIG バージョンと照合して見直し、Microsoft が主要な Windows Server バージョンをリリースしたときは標準を更新します。

Netwrix Change Tracker で Windows Server の構成を強化する

Windows Server の強化は作業の半分にすぎません。管理者、ソフトウェア、そして敵対者が変更を加えてくる中でも、強化状態を維持し続けること——それが、安全を保ち続ける組織と、再び露出（露見）状態へと逆戻りする組織を分ける規律です。

Netwrix Change Tracker は、その分野のために特化して設計されています。Center for Internet Security のベンチマークおよび DoD STIG のガイダンスに対応した、CIS 認定の設定テンプレートが付属しているため、セキュリティチームはゼロから作成することなく、検証済みのベースラインを確立できます。

ベースラインが整ったら、Change Tracker はファイル整合性モニタリングを使用して、ファイルシステム、レジストリ、Windows のセキュリティと監査ポリシー、インストール済みソフトウェア、ローカルユーザーとグループ、開いているネットワークポート、サービス状態におけるドリフトをリアルタイムで検出します。

予期しない変更は、十分な文脈（コンテキスト）とともに明らかになります。また、IT サービス管理（ITSM）プラットフォームとの統合により、承認済みの変更と不審なアクティビティを切り分けるのに役立ちます。

監査ポリシーの可視化とフォレンジック調査のために、Netwrix Auditor は Active Directory、Entra ID、ファイルサーバー、その他の Windows Server ワークロードにわたって、検索可能な変更前後の監査トレイルを取得することで Change Tracker を補完します。

Change Tracker はセキュリティチームに次のことを提供します：

• CIS 認定のハードニングテンプレートに加え、NIST、PCI DSS、CMMC、STIG、NERC CIP をカバーする 250 以上の事前設定済みレポート。
• ITSM のコンテキストと組み合わせたリアルタイムのドリフト検知により、調査は許可された変更ではなく予期しない変更に集中します。
• 単一のプラットフォームで、ファイルシステム、レジストリ、監査ポリシー、サービス、ポート、ローカルアカウントまで、Windows を包括的にカバーします。
• Netwrix 1Secure platform を通じて、オンプレミス、SaaS、ハイブリッド環境全体に柔軟に展開できます。Netwrix 1Secure platform across on-premises, SaaS, and hybrid.