Windows Vista セキュリティ ガイド第 3 章 : 機密性の高いデータの保護公開日: 2007年2月6日 世界中で毎年、適切な保護機能のない数十万台ものコンピュータが行方不明になったり、盗まれたり、不適切に廃棄されたりしています。2006 年度に行われた CSI/FBI のコンピュータ犯罪およびセキュリティ調査によると、データの損失に関連するコストは前年度よりも 65 パーセント増加しています。 マイクロソフトが Windows Vista® に搭載する機能としてユーザーから挙がっていた要望の中でも最も多かったのは、データの盗難や漏洩のリスクからコンピュータを保護する有効なテクノロジとサービスでした。このような要望が挙がるのは、悪意のあるユーザーがクライアント コンピュータで異なるオペレーティング システムを実行するとか、ディスク ドライブを別のコンピュータに移設するとか、その他のオフラインの攻撃方法を用いれば、紛失または盗難に遭ったコンピュータのデータを表示できるからです。消費者情報やプライバシーを保護する最近の法律や政府の規制によって、多くの場合、データをセキュリティで保護することは法的な義務にもなっています。 このようなセキュリティ上の理由により、マイクロソフトは組織がクライアント コンピュータにあるデータをより適切に保護できるように、新しい強力な機能とサービスを開発しました。この章で説明する機能とサービスは、エンタープライズ クライアント環境において Windows Vista を実行しているクライアント コンピュータのデータを保護するように設計されています。これらの機能の構成は、特定の要件や環境によって異なります。この章では、データ保護のニーズに適切に対応するため、次の機能とサービスを構成する方法を特定する設計プロセスを紹介します。
BitLocker、EFS、RMS、およびデバイス管理を活用すれば、企業の機密データを保護するのに役立ちます。ただし、それぞれのテクノロジ/保護方法で、データをセキュリティで保護するための特有の機能が実行されます。実際、これらのテクノロジ/保護方法はどれも、データ保護の機能を相互に補完するようになっています。企業の全体的なセキュリティ戦略に基づいて使用することを強くお勧めします。組織のセキュリティ上のニーズに応じて、各テクノロジを個別に使用したり、併用したりすることができます。次の表は、企業で発生するさまざまな状況に対して、保護対策に使用できるテクノロジ/保護方法を示したものです。 表 3.1 Windows Vista のデータ保護テクノロジの比較
BitLocker ドライブ暗号化BitLocker ドライブ暗号化は、クライアント コンピュータのデータ保護に役立ちます。Windows のボリューム全体が暗号化されるため、承認されていないユーザーが Windows のファイル保護やシステム保護を解除したり、セキュリティで保護されたドライブの情報をオフラインで表示したりできなくなります。BitLocker は、起動プロセスの早い段階でクライアント コンピュータのシステムとハードウェアの完全性をチェックします。システム ファイルやデータに対して悪意のある操作が試みられていると判断される場合、クライアント コンピュータの起動プロセスは完了しません。 犯罪者は別のオペレーティング システムから起動したりソフトウェア攻撃ツールを実行するなどの方法で、Windows Vista のファイル保護やシステム保護を迂回しようとしたり、保護されたドライブのファイルをオフラインで表示させようとしますが、BitLocker を使用すればこういった試みを阻止することができます。 BitLocker ドライブ暗号化を利用すると、ユーザーが暗証番号 (PIN) を入力するか、適切な解読キーが保存された USB フラッシュ ドライブを挿入するまで、通常の起動手順をロックすることができます。最大限の保護を実現できるのは、コンピュータでトラステッド プラットフォーム モジュール (TPM 1.2) を使用してユーザー データを保護する場合で、システムがオフラインになっている間は、Windows Vista を実行しているクライアント コンピュータを改変できなくなります。TPM テクノロジの詳細については、Trusted Computing Group の Web サイト (英語) にある仕様と資料を参照してください。TPM を使用できない場合でも BitLocker でデータを保護することはできますが、システムの完全性は検証されません。 BitLocker は、クライアント コンピュータ用の Windows Vista Enterprise エディションと Ultimate エディションで利用できます。 注 : BitLocker には Windows パーティションを保護する機能が備わっていますが、これは EFS に代わる機能ではありません。BitLocker では Windows パーティションの外部に保存されたデータは暗号化されませんが、Windows パーティション内部の EFS キーが暗号化されるので、EFS のセキュリティ層を追加する役割を果たします。 リスク評価 一般的にモバイル コンピュータは、紛失や盗難のリスクが高い安全とは言えない環境にさらされています。悪意のあるユーザーがコンピュータ自体を手に入れた場合、システムやデータを保護する多くのセキュリティ機能を迂回することができます。共有環境または公開環境にあるデスクトップ コンピュータも、大きなリスクにさらされています。BitLocker の主な目的は、紛失または盗難にあったモバイル コンピュータからデータが盗まれないようにすることです。 攻撃者がコンピュータに物理的にアクセスできる場合、次のような危険な操作が行われる可能性があります。
EFS でファイルを暗号化している場合でも、ユーザーが不注意にファイルを暗号化された場所から暗号化されていない場所へ移動またはコピーしていることもあります。暗号化されていない場所では、ファイル情報はプレーンテキストのままで放置されています。また、指示を受けていない IT スタッフが、処理中のファイルのバックアップが保存されている隠しフォルダを暗号化していない場合もあります。承認されていない第三者がシステムまたはブート ファイルの改変や変更を行うなど、運用上のリスクもあります。このような改変が行われると、通常のシステム運用が妨げられます。 リスクの軽減 こういったリスクを軽減するためには、コンピュータの起動手順を保護し、承認されている場合にのみシステムが起動されるようにする必要があります。さらに、オペレーティング システムとデータ ファイルも保護する必要があります。 リスク軽減の考慮事項 BitLocker を使用すると、上の「リスク評価」の項で定義したリスクを軽減することができます。ただし、BitLocker を使用する前に次の要件を考慮して、このデータ保護機能の最善の使用方法を検討することをお勧めします。
リスク軽減の手順 次に説明するリスク軽減の手順を実行して、管理対象のクライアント コンピュータ上の機密データを保護するためにはどのような BitLocker 構成が最適かを評価してください。 このリスク軽減の手順を実行するには
注 : BitLocker の詳細については、Microsoft TechNet® Web サイトの「 BitLocker Drive Encryption 」ページを参照してください。 BitLocker に対してグループ ポリシーを使用してリスクを軽減する BitLocker の構成を管理するために、2 つのグループ ポリシー テンプレートを使用することをお勧めします。これらのテンプレートを使用すると、BitLocker の他の要素とは切り離して、TPM 構成を管理できます。次の表は、VolumeEncryption.admx テンプレートで BitLocker に対して使用できるグループ ポリシー設定の概略を示したものです。これらの設定は、グループ ポリシー オブジェクト エディタ内の次の場所で構成できます。 コンピュータの構成\管理用テンプレート\Windows コンポーネント\BitLocker ドライブ暗号化 表 3.2 BitLocker ドライブ暗号化の設定
上の表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 次の表は、TPM.admx テンプレートで TPM に対して使用できるグループ ポリシー設定の概略を示したものです。これらの設定は、グループ ポリシー オブジェクト エディタ内の次の場所で構成できます。 コンピュータの構成\管理用テンプレート\システム\トラステッド プラットフォーム モジュール サービス 表 3.3 トラステッド プラットフォーム モジュールの設定
この表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 適用するセキュリティ ポリシーは、BitLocker のパスワードとキー管理を効果的にサポートする必要があります。これらのポリシーは、十分に情報のセキュリティを確保できるほど包括的で、同時に BitLocker のサポートが困難にならない程度に緩やかにする必要があります。次に、そういったポリシーの例をいくつか示します。
暗号化ファイル システム暗号化ファイル システム (EFS) を使用すると、ファイルやフォルダを暗号化して不正なアクセスからデータを保護することができます。EFS は NTFS ファイル システムに統合されており、アプリケーションの側で特別な操作をする必要は一切ありません。ユーザーまたはプログラムが暗号化されたファイルへのアクセスを試みると、オペレーティング システムによってコンテンツの解読キーを取得する試みが自動的に実行され、ユーザーに代わって暗号化と暗号化解除の操作がバックグラウンドで実行されます。承認されたキーを持っているユーザーは、その他のファイルとまったく同じように暗号化されたファイルにアクセスして作業を行うことができます。それ以外のユーザーはアクセスを拒否されます。Windows Vista には、セキュリティ、パフォーマンス、管理性に関する EFS の新機能が数多く搭載されています。EFS 用の Windows Vista の新機能を次に紹介します。
多くの新しいグループ ポリシー オプションが Windows Vista に追加されており、管理者はこれらを使用して EFS に対する組織のポリシーを定義、実装できます。オプションにはたとえば、EFS でスマート カードを必須とする機能、ページ ファイルの暗号化を強制する機能、EFS の最小のキー長を定める機能、ユーザーのドキュメント フォルダの暗号化を強制する機能などがあります。 注 : 最大限のデータ保護を実現するために、BitLocker と EFS を組み合わせて利用することをお勧めします。 リスク評価 データに不正にアクセスされると、ビジネス プロセスや収益性が損なわれる可能性があります。特に、複数のユーザーが同じシステムにアクセスできるようになっている場合や、ユーザーがモバイル コンピュータ システムを使用している場合に、データは侵害されるリスクにさらされます。EFS の主な目的は、モバイル コンピュータの紛失や盗難の結果、または社内ユーザーによる情報漏洩の結果、データが盗まれたり侵害される事態をできるだけ防ぐことです。共有状態にあるコンピュータも、このようなデータ リスクにさらされる可能性があります。 データを暗号化していないコンピュータに攻撃者が物理的にアクセスできる場合、次のような危険な操作が行われる可能性があります。
リスクの軽減 データの侵害を招くこのような潜在的なリスクを軽減するため、ハード ディスクに保存するときにデータを暗号化することができます。Windows Vista では EFS テクノロジが強化されているので、次のような状況に役立ちます。
リスク軽減の考慮事項 Windows Vista の EFS を使用すると、上の「リスク評価」の項で説明したリスクを軽減できます。ただし、EFS を展開する前に次の注意事項を考慮してください。
注 : EFS を展開できるのは、次の Windows Vista のエディションに限られます。Business、Enterprise、および Ultimate。 リスク軽減の手順 次に説明するリスク軽減の手順を実行して、管理対象のクライアント コンピュータ上の機密データを保護するためにはどのような EFS 構成が最適かを評価してください。 このリスク軽減の手順を実行するには
注 : 詳細については、Microsoft.com の記事「暗号化ファイル システムの最善の使用方法」を参照してください。 EFS による具体的なリスク軽減手順 グループ ポリシーを使用して EFS を管理するには、次の場所でいくつかのセキュリティ設定を行います。 コンピュータの構成\Windows の設定\セキュリティの設定\公開キーのポリシー\ファイル システムの暗号化 データ回復エージェント (DRA) を追加または作成するには、[ファイル システムの暗号化] を右クリックして [プロパティ] をクリックし、[ファイル システムの暗号化のプロパティ] ダイアログ ボックスを開きます。
図 3.1 [ファイル システムの暗号化のプロパティ] ダイアログ ボックス
また、EFS 設定を含むグループ ポリシー テンプレートが 4 つあります。次の表でこれらのテンプレートについて説明します。 表 3.4 EFS のグループ ポリシー設定
この表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 Rights Management ServicesRights Management Services (RMS) は、機密性の高い電子メール、ドキュメント、Web コンテンツ、その他の情報に対してセキュリティおよび利用時のポリシーを適用するために使用します。RMS では、ファイルまたは電子メール メッセージを社内全体またはインターネットに転送したときに認証され明示的に承認されたユーザーのみがアクセスできるように、情報を強力に暗号化して情報のセキュリティを確保します。RMS には、次の 3 つのコンポーネントがあります。
リスク評価 承認されていないユーザーが機密情報を表示できる環境は危険ですが、RMS では、組織が抱えるこのようなリスクを軽減できます。機密情報は、ミスや悪意のある操作によって承認されていないユーザーに配布されたり、そのようなユーザーが利用できる状態になったりする場合があります。このようなリスクの具体的な例を次に紹介します。
リスクの軽減 ユーザーが共有および共同作業を行う情報を効果的に保護するには、使用するメカニズムとは関係なく、ホスト、デバイス、および共有の間で転送されるときに情報がシームレスに保護されるように、RMS によって直接的に情報をセキュリティ保護することをお勧めします。 リスク軽減の考慮事項 RMS を使用すると、上の「リスク評価」の項で説明したリスクを軽減できます。ただし、RMS を展開する前に次の注意事項を考慮してください。
リスク軽減の手順 次に説明するリスク軽減の手順を実行して、管理対象のクライアント コンピュータ上の機密データを保護するためにはどのような RMS 構成が最適かを評価してください。 このリスク軽減の手順を実行するには
グループ ポリシーを使用して RMS を管理する RMS の構成をグループ ポリシーで設定する作業は、Windows Vista のインストール中には行われません。RMS はそもそもサーバーベースのソリューションであるため、このサービスの動作は RMS サーバーで構成する必要があります。 また、RMS 対応アプリケーションでも、RMS の保護コンテンツの処理方法を制御するための設定が個別に用意されている場合があります。たとえば、Microsoft Office 2003 以降、Microsoft Outlook® や Microsoft Word などのアプリケーションには、RMS 関連の設定が存在します。これらの設定の詳細については、「Office 2003 Policy Template Files and Deployment Planning Tools」(英語) を参照してください。 デバイス管理ユーザーが USB キー ドライブやその他のリムーバブル記憶域デバイスなどの新しいプラグ アンド プレイ (PnP) ハードウェアをクライアント コンピュータに追加できる場合、IT 管理者にとってはセキュリティ上の重大な問題となります。こういったデバイスがあると、ユーザーがサポート対象外のハードウェアをインストールするのに使用した場合クライアント コンピュータの保守作業が難しくなる原因となるばかりか、データ セキュリティ上の脅威となる可能性もあります。 悪意のあるユーザーは、リムーバブル記憶域デバイスを使用して企業の知的財産を盗むことができます。攻撃者は、"自動実行" スクリプトを含む悪意のあるソフトウェアをリムーバブル記憶域デバイスに保存し、このデバイスによって悪意のあるソフトウェアを人のいないクライアント コンピュータにインストールすることができます。 Windows Vista では、IT 管理者はグループ ポリシーを使用して、サポートされていないデバイスまたは承認されていないデバイスのインストールを管理できます。たとえば、特定のデバイス クラス (プリンタなど) のインストールを全面的に許可し、一方であらゆる種類のリムーバブル記憶域デバイスのインストールを禁止することができます。管理者は、これらのポリシーを上書きして承認されたハードウェアをインストールすることを許可できます。 ただし、デバイスは特定のユーザーのためにインストールされるのではなく、特定のコンピュータにインストールされるのだということを理解することが重要です。ユーザーがデバイスをインストールした後、通常はそのコンピュータのすべてのユーザーがそのデバイスを利用できるようになります。現在、Windows Vista では、インストールされたデバイスの読み取りアクセス権と書き込みアクセス権を対象にしたユーザー レベルのアクセス制御がサポートされています。たとえば、USB フラッシュ ドライブなどのインストールされたデバイスに対する完全な読み取りアクセス権と書き込みアクセス権を特定のユーザー アカウントに許可し、同じコンピュータ上の別のユーザー アカウントには読み取りアクセス権のみを許可することが可能です。 デバイス管理とその構成方法の詳細については、「グループ ポリシーを使用したデバイス インストールの制御のステップ バイ ステップ ガイド」を参照してください。 リスク評価 承認されていないデバイスの追加や取り外しを行うと、攻撃者が悪意のあるソフトウェアの実行、データの削除、不要なデータの追加を実行できるようになる可能性があるので、セキュリティ上のリスクが高まります。次に、そのような状況の例を紹介します。
リスクの軽減 このようなリスクを軽減するため、管理対象のコンピュータ システムでは、承認されていないデバイスのインストールや使用が行われないように管理することをお勧めします。USB フラッシュ ドライブやその他のリムーバブル記憶域デバイスなど、プラグ アンド プレイ デバイスの使用を管理するために、グループ ポリシー設定を使用できます。 リスク軽減の考慮事項 Windows Vista のグループ ポリシーを使用すると、デバイスのインストールに関する設定を適用して、上述の「リスク評価」の項で説明したリスクを軽減できます。ただし、運用環境内のクライアント コンピュータにデバイス管理を展開する前に、次のリスク軽減の注意事項を考慮してください。
リスク軽減の手順 次に説明するリスク軽減の手順を実行して、管理対象のクライアント コンピュータ上の機密データを保護するためにはどのようなデバイス管理構成が最適かを評価してください。 このリスク軽減の手順を実行するには
注 : 詳細については、「グループ ポリシーを使用したデバイス インストールの制御のステップ バイ ステップ ガイド」を参照してください。 デバイスのインストールを管理するためにグループ ポリシーを使用する デバイスのインストールを管理するには、DeviceInstallation.admx グループ ポリシー テンプレートを使用することをお勧めします。表 3.5 は、このテンプレートで使用できるグループ ポリシー設定の概略を示したものです。これらの設定は、グループ ポリシー オブジェクト エディタ内の次の場所で構成できます。 コンピュータの構成\管理用テンプレート\システム\デバイスのインストール\デバイスのインストールの制限 表 3.5 USB デバイス管理の設定
この表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 デバイスの利用状況を管理するためにグループ ポリシーを使用する ポリシー設定はデバイスのインストール管理に役立ちますが、Windows Vista ではさらに、デバイスをインストールした後の、特定のデバイス クラスに対するユーザーのアクセス レベルを管理できます。次の表ではその他の 2 つのテンプレートについて説明していますが、これらのテンプレートにはデバイスの動作を制御できる設定が含まれています。RemovableStorage.admx には、リムーバブル記憶域デバイスに対する次のような設定が含まれています。このテンプレートは、グループ ポリシー オブジェクト エディタの次の場所で見つけることができます。 コンピュータの構成\管理用テンプレート\システム\リムーバブル記憶域へのアクセス 表 3.6 デバイスの設定
この表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 自動再生と自動実行を管理するためにグループ ポリシーを使用する Autoplay.admx テンプレートには、Windows Vista 環境内のリムーバブル記憶域デバイスやリムーバブル メディアの自動再生および自動実行の動作を制御する次のような設定が含まれています。このテンプレートの設定は、グループ ポリシー オブジェクト エディタ内の次の場所にあります。 コンピュータの構成\管理用テンプレート\Windows コンポーネント\自動再生のポリシー 表 3.7 自動再生ポリシーの設定
この表では各設定を簡単に説明しました。特定の設定の詳細については、グループ ポリシー オブジェクト エディタで、その設定の [説明] タブを参照してください。 これらの設定は、グループ ポリシー オブジェクト エディタの [ユーザーの構成] の下の次の場所にも表示されます。 ユーザーの構成\管理用テンプレート\Windows コンポーネント\自動再生のポリシー デバイス管理の設定が競合する場合、[コンピュータの構成] の設定が [ユーザーの構成] の設定よりも優先されます。 注 : 一部のポリシー設定では、デバイス セットアップ クラス GUID の使用を指定し、他のポリシー設定では、プラグ アンド プレイ デバイス セットアップ クラス GUID の使用を指定します。 関連情報Windows Vista で機密データを保護するための強化された新しいセキュリティ機能とテクノロジの詳細については、次のリソースを参照してください。
|
目次 |
![図 3.1 [ファイル システムの暗号化のプロパティ] ダイアログ ボックス](http://i.technet.microsoft.com/bb629455.vsgf0301(ja-jp).gif "図 3.1 [ファイル システムの暗号化のプロパティ] ダイアログ ボックス")
.gif){kind=small}
.gif){kind=small}
表示:
© 2014 Microsoft
- 日本での個人情報の取り扱い
- |
- お問い合わせ先
- |
- プライバシー
- |
- 使用条件
- |
- 商標
- |
© 2014 Microsoft
