Windows 2000 セキュリティ強化ガイド

  • [アーティクル]

第 5 章 ‐ セキュリティの構成

最終更新日: 2003年12月17日

トピック

アカウント ポリシー
ローカル ポリシー
監査ログの管理
既定のグループ アカウント
既定のユーザー アカウント
システム サービス
ファイル システムを保護する
共有フォルダのアクセス許可
レジストリを保護する
IPSec ポリシー
暗号化ファイル システム
自動画面ロック保護を有効にする
システム修復ディスクを更新する

ここでは、Windows 2000 のセキュリティの改善に使用できるセキュリティ設定について詳細に説明します。設定は、SCE インターフェイスで紹介したカテゴリに従って分類されています。

このドキュメントの「6」では、定義済みのセキュリティ構成テンプレートを適用して、この節で定義するセキュリティ設定のほとんどを自動化する手順について説明しています。付録 C には、システムごとに実行した設定の追跡に使用できる、便利な Windows 2000 セキュリティ構成チェックリストがあります。

アカウント ポリシー

アカウントポリシーは、パスワードポリシー、アカウントロックアウト、Kerberos 認証という 3 つの主要アカウント認証機能を制御する規則です。

  • パスワードポリシー - パスワードの適用および有効期限などのパスワードの設定を決定します。

  • アカウントロックアウトポリシー - アカウントがシステムからロックアウトされる時点および期間を決定します。

  • Kerberos ポリシー - Kerberos 認証は、Windows 2000 以降のコンピュータが Active Directory ドメインのメンバである場合に使用される認証メカニズムです。このポリシーを使用すると、管理者は Kerberos を構成できます。

アカウントポリシーは、ドメインまたは OU のユーザーアカウントに適用できます。フォレスト内の 1 ドメインのアカウントポリシーを、サブドメインを含む他のドメインでも有効にするには、グループポリシーオブジェクトに対する明示的なリンクが必要です。また、アカウントポリシーについては、次の重要事項も心得ておく必要があります。

  • ドメインポリシーを使用して適用されるドメインアカウントポリシーは、そのドメインおよびサブドメインのドメインコントローラで定義されたアカウントに対してのみ有効になります。これには次の 3 つの設定も含まれます。

    • ログオン時間の有効期間が切れた場合のユーザーの自動ログオフ

    • Administrator アカウント名の変更

    • Guest アカウント名の変更

  • OU で定義されたアカウントポリシーは、その OU のメンバであるコンピュータに定義されたローカルアカウントに対して有効になります。

パスワード ポリシー

現在のパスワードポリシー設定の表示および編集の手順は、次のとおりです。

  1. 使用可能なセキュリティポリシーを GPO、SCE、ローカルセキュリティポリシーのいずれかから開きます。

  2. [セキュリティの設定] を展開します。

  3. [セキュリティの設定] で、[アカウントポリシー] を展開し、[パスワード]、[アカウントロックアウト]、および [Kerberos] を表示します。

  4. [パスワードポリシー] オブジェクトをクリックします。右側の詳細情報のウィンドウ領域に、構成可能なパスワードポリシーの設定が表示されます。

  5. 表 4.1 の推奨事項に従って、パスワードポリシーを設定します。

表 4.1 パスワード ポリシーの設定

パスワード ポリシー ドメイン WKS ドメイン ラップトップ DC ドメイン サーバー スタンドアロン WKS スタンドアロン サーバー
パスワード履歴の要件を設定する セキュリティの目的 : パスワードの再使用可能な頻度の制限を設定します。これを任意の値に設定すると、新しいパスワードがそれ以前の多数のパスワードに照らしてチェックされ、新しいパスワードが既存パスワードのいずれかと一致した場合にパスワードの変更を拒否します (これはクリア テキストのパスワードを保存せずに実行されます)。 手順 :
  1. 右側の詳細情報のウィンドウ領域で [パスワードの履歴を記録する] ポリシー オブジェクトをダブルクリックして、対応する [セキュリティ ポリシーの設定] ダイアログ ウィンドウを開きます。
  2. ドメイン レベルのポリシーで、[このポリシーの設定を定義する] チェックボックスをオンにします。
  3. [パスワード数] フィールドの数値 (最大 24) を変更して、システムに記録するパスワード数を反映します。
推奨事項 : 24 に設定します。 原理 : この設定は、ユーザーが偶然または意図的にパスワードを再使用しようとしたときに、使用できないようにすることで、パスワードのセキュリティを強化します。これにより、攻撃者に盗まれたパスワードが侵入に使用される時点までに無効になる確率が上がります。
パスワードの有効期間を設定する セキュリティの目的 : ユーザーのパスワードが変更を求められるまでの保持可能な期間を設定します。 手順 :
  1. 右側の詳細情報のウィンドウ領域で [パスワードの有効期間] ポリシー オブジェクトをダブルクリックして、対応する [セキュリティ ポリシーの設定] ダイアログ ウィンドウを開きます。
  2. ドメイン レベルのポリシーで、[このポリシーの設定を定義する] チェック ボックスをオンにします。
  3. [日] フィールドの数値を任意の数値に変更します。
推奨事項 : 70 日間 原理 : これにより、パスワードが確実に定期的に切り替えられることでパスワードのセキュリティが強化されます。推奨の設定値は、ユーザーがパスワードを思い出せなくなるほど頻繁にはパスワードの変更が要求されない値です。
パスワード変更禁止期間を設定する セキュリティの目的 : ユーザーのパスワードの変更が可能になるまでのパスワード保持期間を設定します。 手順 :
  1. 右側の詳細情報のウィンドウ領域で [パスワードの変更禁止期間] ポリシー オブジェクトをダブルクリックして、対応する [セキュリティ ポリシーの設定] ダイアログ ウィンドウを開きます。
  2. ドメイン レベルのポリシーで、[このポリシーの設定を定義する] チェック ボックスをオンにします。
  3. [日] フィールドの数値を任意の数値に変更します。
推奨事項 : 2 日間 原理 : この設定は、パスワードのリセットが可能になるまでの一定期間、新しいパスワードの使用を強制することで、パスワードを記憶しておくのに役立ちます。また、パスワード履歴で 25 個目のパスワードが設定されるまでの期間が、ある程度保持されるようにします。
パスワードの長さを設定する セキュリティの目的 : ユーザーのパスワードで要求される最小の文字数を設定します。 手順 :
  1. 右側の詳細情報のウィンドウ領域で [パスワードの長さ] ポリシー オブジェクトをダブルクリックして、対応する [セキュリティ ポリシーの設定] ダイアログ ウィンドウを開きます。
  2. ドメイン レベルのポリシーで、[このポリシーの設定を定義する] チェック ボックスをオンにします。
  3. [文字以上] フィールドの値を任意の値に変更します。
推奨事項 : 8 文字以上 注 パスワードは、文字数が増えるごとに複雑さが指数関数的に増大します。最小 8 文字を要求すれば、弱い LMHash でも、LMHash の 7 文字部分の両方の解読が必要になるため、一方だけを解読すればよい場合と比較して強度が増します。パスワードが 7 文字以下の場合、LMHash の後半部分が特定の値になり、パスワードが 8 文字未満であると解読者が判断できるようになります。 LMHash のパスワード保存方法が原因で、8 文字のパスワードは、7 文字のパスワードと比較してセキュリティが低いと言う論争が長く続いています。8 文字のパスワードでは、解読者がパスワードの前半のテストと並行して後半をテストすればすむという意見です。しかし、この意見は、7 文字から 1 文字増えたことによって実行が必要なチェック回数が増えることを考慮していません。この 1 文字が増えることでパスワード解読までの時間をかなり長くできます。常にパスワードは長いほうがよく、LMHash が保存されていない場合でも、8 文字のパスワードは、7 文字のパスワードと比較して、桁違いにセキュリティが強化されます。長いパスワードより短いパスワードを推奨することは、間違っています。
パスワードの複雑さの要件を設定する セキュリティの目的 : 複雑 (強力) なパスワードの使用を要求します。このポリシーは、(1) 大文字、(2) 小文字、(3) 数字、(4) 非英数字という 4 つの文字セットから、少なくとも 3 つを使用するように強制します。パスワードに追加する複雑性の要求と確認の詳細については、「3.3」を参照してください。 推奨事項 : パスワードの複雑さを有効にします。 原理 : パスワードの複雑さは、パスワードの推測とパスワードの解読の防止に最適です。
パスワードの元に戻せる暗号化を有効にする セキュリティの目的 : この設定は、特定の下位互換性が必要な環境でセキュリティを弱めることを目的にしています。一部のシナリオでは、ユーザーのクリアテキストによるパスワードを認識しておく必要があります。このようなシナリオで、この設定を有効にしてクリアテキストのパスワードを取得できるようにします。 推奨事項 : このチェックボックスはオンにしないでください。既定の [無効] の設定が有効であることを確認してください。
**アカウント ロックアウトのポリシー** アカウントロックアウトを使用して、アカウントのパスワードの推測を防ぎます。アカウントのロックアウトによって、不良パスワードが一定回数入力されると、アカウントがロックアウトされます。ロックアウトは、一定期間または管理者がアカウントのロックを解除するまでの不定期間、継続されます。ビルトインの Administrator アカウントは、ローカルログオンからロックアウトすることができません。ネットワークログオンからのみロックアウトできます。さらに、Windows 2000 Server リソースキットの passprop.exe ツールを使用しないと、ネットワークからもロックアウトできません。 アカウント ロックアウト ポリシーはいくつかの理由により使用しないことをお薦めします。まず、パスワード ポリシーが前述のように構成されている場合は、攻撃者が合理的な期間内にパスワードを推測できないため、アカウント ロックアウトは不必要になります。大文字、小文字と数字のみの使用でも、ユーザーが一般の辞書にある単語に数字だけを追加したパスワードを使用しないことを前提にすると、1 つを推測するのに 0.5 秒かかると仮定して、パスワードの推測に 3,461,760 年かかることになります。パスワードは頻繁に変更されるため、攻撃者がパスワードを推測できる確率は非常に小さくなります。実際、パスワードが 70 日ごとに変更された場合、攻撃者は、有効期限前にランダムなパスワードを 1 つ推測しようとして攻撃対象システムに侵入するのに 52,000 本相当の T3 回線が必要なことになります (パスワードが一般辞書にある単語でない事を前提にした場合)。言い換えると、パスワードが弱く、10 回未満の試行で推測できる場合、問題になるのはアカウントロックアウトポリシーではなく、パスワードが極端に劣っていることです。 さらに、アカウントロックアウトポリシーを有効にすると、**Caps Lock**キーを押して解除するのを忘れたといった理由でアカウントが誤ってロックアウトされたユーザーが発生してヘルプデスクの負担が大幅に増加します。複雑なパスワードの使用は推奨されることですが、この問題は特に、ユーザーに複雑なパスワードの使用を要求した場合に発生します。 アカウントのロックアウトによって直接増加するヘルプデスクのコールの量より大きな問題は、攻撃者によるサービスアカウントのロックアウトから生ずる影響です。この場合、サービスが起動できなくなります。アカウントのロックアウトによってサービスが起動できなくなると、サービス起動の再試行は行われず、アカウントのロックアウト期間が切れてから管理者がシステムまで出向いて、手動でサービスを起動する必要があります。 すべての環境で脆弱性スキャナを使用することを強くお薦めします。しかし、一般に脆弱性スキャナは少数の一般的に使用されるパスワードのみをテストし、アカウントロックアウトポリシーが使用されている場合、スキャナがネットワークをスキャンするたびにすべてのアカウントがロックされます。これはシステムの可用性に予期せぬ悪影響を及ぼす場合があります。 また、既定のアカウントロックアウトでは、攻撃者に最も攻撃されやすい Administrator アカウントに作用しません。システムの他の管理アカウントすべての一覧を取得することはできますが、攻撃者のほとんどは、既定の Administrator アカウントなどのわかりやすいアカウントのパスワードの推測を試行します。Administorator アカウントのロックアウトを有効にするには、リソースキットの passprop.exe ユーティリティを使用する必要があります。 最後に、信頼されていないネットワークから Windows ネットワークを防御するにはファイアウォールを使用する必要があるため、パスワードの推測は信頼されるネットワークからのみ可能になります。信頼されるネットワークでは、ログオンの試行を追跡することでパスワード推測攻撃の犯人を比較的容易に突き止め、対処できます。 つまり、アカウントロックアウトには、管理者に進行中のパスワード推測攻撃を警告するという有効な用途が 1 つあることになります。しかし、これを検出するには、侵入検知システムを使うべきです。実際の侵入検出システムの代替としてアカウントロックアウトポリシーを使用することはお薦めしません。ただし、警告効果のためにアカウントロックアウトが必要な環境では、しきい値を 50 に、タイマを 30 分に設定するようにお薦めします。 **Kerberos ポリシー設定へのアクセス** Kerberos ポリシーは既定で適切に設定されています。既定値を変更しないでください。 [](#mainsection)[ページのトップへ](#mainsection) ### ローカル ポリシー ローカルポリシーは、個別のコンピュータやユーザーに適用されるセキュリティ設定を管理します。**\[ローカルポリシー\]** セクションは、次の構成に使用されます。 - **監査ポリシー。** コンピュータのセキュリティイベントログに記録されるセキュリティイベント (成功した試行、失敗した試行、またはその両方) を決定します。セキュリティログは、イベントビューア MMC スナップインで管理されます。 - **ユーザー権利の割り当て。** ユーザーの権利は、個別のユーザーおよびグループに実行が許可される操作の種類を管理します。Windows NT の以前のバージョンでは「*特権*」と言いました。 - **セキュリティオプション。** データのデジタル署名、Administrator および Guest のアカウント名、フロッピーディスクドライブと CD-ROM へのアクセス、ドライバのインストール、およびログオンプロンプトなど、コンピュータのさまざまなレジストリベースのセキュリティ設定の管理に使用されます。ここで取り上げる設定のいくつかは、既定では紹介するツールに表示されません。この設定をユーザーインターフェイスで表示し、管理するには、管理者がカスタムテンプレートを適用してインターフェイスに表示される設定を変更する必要があります。このガイドのカスタムテンプレートの適用方法については、「6.1」を参照してください。 **監査ポリシー** セキュリティ関連イベントの監査を有効にするには、次の手順に従います。 1. 適切な **\[セキュリティポリシー\]** を開きます。 2. **\[セキュリティの設定\]** を展開します。 3. **\[セキュリティの設定\]** で、**\[ローカルポリシー\]** を展開し、**\[監査\]**、**\[ユーザー権利の割り当て\]**、および **\[セキュリティオプション\]** を表示します。 4. **\[監査ポリシー\]** オブジェクトをクリックします。右側の詳細情報のウィンドウ領域に、構成可能な監査ポリシーの設定が表示されます。 ![](images/Dd277307.05osin02s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin02(ja-jp,technet.10).gif) 5. セキュリティイベントの監査を設定するには、右側の詳細情報ウィンドウ領域で必要な監査ポリシーをダブルクリックします。**\[セキュリティポリシー設定\]** ダイアログウィンドウが開きます。 **表 4.4 監査ポリシーの設定**

監査ポリシー ドメイン WKS ドメイン ラップトップ DC ドメイン サーバー スタンドアロン WKS スタンドアロン サーバー
監査イベントのカテゴリ 成功 失敗            
アカウント ログオンイベントを監査する コンピュータがユーザーの認証に使用された場合にログオンイベントを監査します。言い換えると、DC の場合はすべてのドメインログオンイベントを監査し、ドメインメンバの場合はローカルアカウントが使用されたイベントのみを監査します。
アカウント管理を監査する アカウント作成、アカウントのロックアウト、アカウントの削除など、アカウント管理が関係するすべてのイベントを監査します。
ディレクトリ サービス アクセスを監査する Active Directory オブジェクトへのアクセスの監査を有効にします。この設定単独では、実際のイベントが生成されません。SACL がオブジェクトで定義されている場合のみアクセスが監査されます。このため、成功と失敗の両方の監査を有効にして、SACL すべての有効化を可能にすることをお薦めします。          
ログオン イベントを監査する アカウントが存在する場所に関わりなく、ポリシーが適用されるシステムで発生したログオンイベントを監査します。言い換えると、ドメインメンバでこの成功監査を有効にすると、システムへのログオンが行われるたびにイベントが生成されます。ログオンに使用されたアカウントがローカルでアカウントログオンイベントの監査設定も有効化されている場合は、イベントが 2 つ生成されます。    
オブジェクト アクセスを監査する ファイルシステム、レジストリオブジェクトなどの監査可能なすべてのオブジェクトへのアクセスの監査を有効にします (ディレクトリサービスオブジェクトは除く)。この設定単独では、イベントの監査が行われません。SACL が定義されているオブジェクトの監査が可能になるように、監査を有効にするだけです。このため、この設定では成功と失敗の両方で監査を有効にするようにお薦めします。
ポリシーの変更を監査する この設定は、ユーザー権利の割り当てポリシー、監査ポリシー、信頼ポリシーに対する変更を監査するかどうかを定義します。このような種類の失敗の監査は意味がないため、ここでは、成功の監査のみをお薦めします。        
特権使用を監査する この設定は、特権が使用されるたびに監査イベントを生成するかどうかを設定します。走査チェックのバイパスおよびプログラムのデバッグなど、一部の特権は、この設定があっても監査されません (この監査は FullPrivilegeAuditing レジストリ値を設定するとオンにできます)。ただし、特権の監査を有効にすると、大量のイベントが生成されるため、オンにすることはお薦めしません。                
プロセス追跡を監査する この設定は、プログラムエントリ、終了、ハンドルの重複、オブジェクトへの間接アクセスなどのプロセスイベントの監査を有効にします。この監査を有効にすると、大量のイベントが生成され、短期間のうちにイベントログがいっぱいになります。このため、デバッグを目的とする場合を除き、広範囲にこれを有効にすることはお薦めしません。プロセス追跡は攻撃の分析にも活用できます。たとえば、コマンドシェルを起動するためにバッファオーバーフローが不正に使用されることがありますが、プロセス追跡がオンの場合はログに記録されます。ただし、プロセス追跡がオンの場合は厳しいログ管理規定を使用する必要があります。                
システム イベントを監査する システムシャットダウン、起動や、ログのクリアなどのシステムやセキュリティログに影響するイベントを監査します。  
**ログオンの権利と特権** ログオンの権利と特権は、ユーザーが持つターゲットシステムに対する権利を管理します。これは、ネットワークからのログオンやローカルのログオンなどの一定の操作、および新しいログオントークンなどの管理タスクを実行する権利を与える際に使用されます。ユーザーの権利を変更するには、次の手順に従います。 1. 適切な **\[セキュリティポリシー\]** を開きます。 2. **\[セキュリティの設定\]** を展開します。 3. **\[セキュリティの設定\]** で、**\[ローカルポリシー\]** を展開し、**\[監査\]**、**\[ユーザー権利の割り当て\]**、および **\[セキュリティオプション\]** を表示します。 4. **\[ユーザーの権利の割り当て\]** オブジェクトをクリックします。右側の詳細情報のウィンドウ領域に、構成可能なユーザー権利ポリシーの設定が表示されます。 ![](images/Dd277307.05osin03s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin03(ja-jp,technet.10).gif) **注** システムの種類によっては、存在しないグループもあります。このため、対象のグループが存在するシステムでこのポリシーの変更が必要になる場合もあります。また、ポリシーテンプレートを手動で編集して必要なグループを組み込むこともできます。 表 4.5 は、既定値を変更する必要があるユーザー権利と特権の割り当てを示しています。ポリシーエディタのインターフェイスには、これ以外の権利も多数表示されますが、これらは設定が適切であるため、変更の必要はありません。表に記入されたチェックマークは、その列に示されたシステムに変更を適用する必要があることを示しています。 **表 4.5 ユーザーの権利と特権**

ユーザー権利と特権の割り当て ドメイン WKS ドメイン ラップトップ DC ドメイン サーバー スタンドアロン WKS スタンドアロン サーバー
特権 既定値 変更後            
ネットワーク経由でコンピュータへアクセス (Professional/Server) Administrators Backup Operators Power Users Users Everyone Administrators Backup Operators Power Users Users Authenticated Users  
ネットワーク経由でコンピュータへアクセス (ドメイン コントローラ) Administrators Authenticated Users Everyone Administrators Authenticated Users          
ローカルログオン (Professional) Administrators Backup Operators Power Users Users コンピュータ名\Guest Administrators Backup Operators Power Users Users      
ローカルログオン (Server) Administrators Backup Operators Power Users Users コンピュータ名\Guest コンピュータ名\TsInternetUser Administrators Backup Operators Power Users 注 : この特権は、ターミナル サーバー アプリケーション サーバーの Users に与える必要があります。        
ローカル ログオン (ドメイン コントローラ) Administrators Account Operators Backup Operators Print Operators Server Operators TsInternetUser Administrators Account Operators Backup Operators Print Operators Server Operators          
ドメインにワーク ステーションを追加 (ドメイン コントローラ) Authenticated Users Authenticated Users          
クォータの増加 (ドメインセキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
スケジューリング優先順位の繰り上げ (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
デバイス ドライバのロードとアンロード (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
監査とセキュリティログの管理 (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
ファームウェア環境値の修正 (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
システム パフォーマンスのプロファイル (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
システムのシャットダウン (クライアント) Administrators Backup Operators Power Users Users Administrators Backup Operators Power Users Authenticated Users      
システムのシャットダウン (サーバー) Administrators Power Users (他のグループはシステムによって異なる) Administrators      
ファイルとその他のオブジェクトの所有権の取得 (ドメイン セキュリティ ポリシーのドメイン コントローラ) (未定義) Administrators          
**セキュリティ オプションの変更** 定義されているセキュリティ関連のレジストリ設定を変更します。 1. 適切な **\[セキュリティポリシー\]** を開きます。 2. **\[セキュリティの設定\]** を展開します。 3. **\[セキュリティの設定\]** で、**\[ローカルポリシー\]** を展開し、**\[監査\]**、**\[ユーザー権利の割り当て\]**、および **\[セキュリティオプション\]** を表示します。 4. **\[セキュリティオプション\]** オブジェクトをクリックします。右側の詳細情報のウィンドウ領域に、構成可能なセキュリティオプションが表示されます。 ![](images/Dd277307.05osin04s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin04(ja-jp,technet.10).gif) 5. セキュリティオプションを設定するには、右側の詳細情報ウィンドウ領域で必要なポリシーをダブルクリックします。**\[セキュリティポリシー設定\]** ダイアログウィンドウが開きます。 6. ドメインレベルのポリシーで、**\[これらのポリシーの設定を定義する\]** ボックスをオンにします。 7. 選択したセキュリティオプションの **\[セキュリティポリシーの設定\]** ダイアログボックスへの入力は、オプションの構成要件によって異なります。たとえば、セキュリティオプションによっては、下図のようにドロップダウンメニューからの選択や、テキスト入力が必要です。 ![](images/Dd277307.05osin05(ja-jp,TechNet.10).gif) ![](images/Dd277307.05osin06(ja-jp,TechNet.10).gif) 8. 表 4.6 のように、セキュリティオプションを変更します。 **表 4.6 セキュリティオプションの設定**

セキュリティ オプション ドメイン WKS ドメイン ラップトップ DC ドメイン サーバー スタンドアロン WKS スタンドアロン サーバー
[匿名接続の追加を制限する] の設定 セキュリティの目的 : 匿名ユーザーの SAM のアカウントと共有の列挙に対する機能を無効にします。 推奨事項 :
  • ドメインおよびスタンドアロン サーバー - [SAM アカウントと共有の列挙を許可しない] に設定します。この設定は、RestrictAnonymous を 1 に設定した場合と同等で、このようにして頻繁に参照されます。
  • ラップトップとワークステーション - [明示的な匿名アクセス権がない場合アクセスを許可しない] に設定します (RestrictAnonymous = 2)。 注 [明示的な匿名アクセス権がない場合アクセスを許可しない] オプションは、多くの環境で接続の問題を発生させる恐れがあります。したがって、着信接続を広く受け入れる必要のあるシステムには、この設定をお薦めしません。ただし、セキュリティ上の有用性が非常に高いため、総合的にテストを行いユーザー固有の環境で使用できるかどうかを評価するようにお薦めします。この設定に関して現在までに認識されている主な非互換性には次のものがあります。
  1. Exchange 2000 サーバーで [明示的な匿名アクセス権がない場合アクセスを許可しない] に設定すると、クライアントはグローバル アドレス帳のアドレスを検索できなくなります。この問題は、Windows 2000 Service Pack 3 で修正されています。
  2. Windows 2000 ドメイン コントローラで [SAM アカウントと共有の列挙を許可しない] に設定すると、Windows XP、NT および Macintosh クライアントはログオン時のドメイン パスワードを変更できなくなります。windows XP の修正は、修正プログラム 328817 を要求して PSS から入手することができます。Windows NT および Macintoch クライアントに使用できる修正はありません。
  3. これが設定されている場合、下位レベル クライアント (Windows 9x 以前) はドメインに対する認証を受けられません。
  4. 信頼する側の NT4 ドメインのユーザーは、信頼される側の Windows 2000 ドメインのユーザーを一覧表示できません。
  5. ブラウザ サービスの機能の信頼が損なわれます。
  6. フォレスト間の通信が正しく機能しません。
詳細については、Microsoft サポート技術情報 246261 を参照してください。 注 要塞ホスト システムについては、[明示的な匿名アクセス権がない場合アクセスを許可しない] に設定した構成を真剣に検討するようにお薦めします。
システムをシャットダウンするのにログオンを必要としない セキュリティの目的 : ログオンしていないシステムのシャットダウンをユーザーに許可しません。これはターミナルサーバーでは特に重要です。 推奨事項 : マトリックスのシステムではこのポリシーを [無効] に設定します。 ターミナル サービスが有効になっていないシステムの場合、実際には、この設定でセキュリティが大きく強化されるわけではありません。攻撃者がシャットダウンを行うには、非ターミナル サービス システムへの物理的なアクセスが必要で、物理的なアクセスがあれば単純に配線を切断することもできます。      
グローバル システム オブジェクトへのアクセスを監査する セキュリティの目的 : グローバル システム オブジェクトへのアクセスを監査する機能を有効にします。このポリシーが有効な場合、ミューテックス、イベント、セマフォ、DOS デバイスなどのシステム オブジェクトが、既定のシステム アクセス制御リスト (SACL) で作成されます。[オブジェクトアクセスの監査] 監査ポリシーも有効にしている場合、これらのシステム オブジェクトへのアクセスが監査されます。 推奨事項 : このポリシーは、特にセキュリティが重要なシステムを除いて無効に保持します。セキュリティが特に重要なシステムでは [有効] にします。 注 この設定は、主に開発者による新しいプログラムのトラブルシューティングを目的として開発されています。大量の監査情報が生成されます。このため、定期的に監査ログの確認、アーカイブ、消去が可能な、監査管理プロセスが厳格に実施されている環境か、またはこの設定によって生成されたイベントが法廷上の処理に実際に役立つ場合にのみ有効にしてください。ログ記録対象のイベントの増加に対応するため、最大ログ サイズも編集する必要があります。            
バックアップと復元の特権の使用を監査する セキュリティの目的 : [ファイルとディレクトリのバックアップ]、または [ファイルとディレクトリの復元] が使用されている場合は、必ず監査イベント エントリを作成する機能を有効にします。既定では、バックアップと復元の特権の使用は監査されません。[特権使用の監査] 監査ポリシーが有効になり、このセキュリティ オプションが設定されていると、バックアップと復元の特権が監査されます。 推奨事項 : この設定では非常に大量のイベントが生成されるため、バックアップ上の問題のトラブルシューティングの際にのみ有効にしてください。            
ログオン時間を経過した場合は自動的にユーザーをログオフする セキュリティの目的 : ユーザーが許可された有効時間を超えてログオンしたままになっている場合に、強制的にネットワークからログオフさせます。 推奨事項 : ログオン時間制限が実施されている環境では、この設定を有効にする必要があります。それ以外の環境では、この設定の効果はありません。 注 ユーザーに特定のログオン有効時間を守らせることは、セキュリティを強化する手段ではありません。言い換えると、ユーザーが操作するシステムをユーザーから保護することにはなりません。            
システムのシャットダウン時に仮想メモリのページ ファイルをクリアする セキュリティの目的 : システムのシャットダウン時に仮想メモリ ページ ファイルを削除します。このページ ファイルは、次回のユーザーのログオン時に再初期化されます。これは、次のユーザーがコンピュータにログオンしたときに、ページ ファイル内に残っている可能性がある情報すべてを確実に利用できないようにすることを目的にしています。 推奨事項 : シャット ダウン時に物理的にセキュリティで保護できないノートブック コンピュータやその他のコンピュータでこの設定を有効にします。 注 この設定を構成すると、システム シャットダウンに要する時間が大幅に延長されます。          
常にクライアント側の通信にデジタル署名を行う セキュリティの目的 : コンピュータがクライアント通信に常にデジタル署名を行うかどうかを設定します。Windows 2000 のサーバー メッセージ ブロック (SMB) 認証プロトコルは、「man-in-the-middle」攻撃に対抗する相互認証をサポートし、能動的なメッセージ攻撃を防ぐメッセージ認証をサポートします。SMB 署名は、デジタル署名を SMB のそれぞれに配置することでこの認証を行ってから、クライアントとサーバーの両方によって確認が行われます。 既定では、この設定が無効になっています。このオプションを有効にするには、Windows 2000 SMB クライアント サブシステムで SMB パケット署名を実行する必要があります。この場合、コンピュータからデジタル署名をサポートしないサーバーへの通信ができなくなります。この通信ができなくなる状況が望ましくない場合は、このオプションを設定しないでください。このような場合は、この設定ではなく、署名をサポートするすべてのシステム (Windows 2000 以降) で [可能な場合、クライアントの通信にデジタル署名を行う] オプションが設定されていることを確認し、可能な場合は常に署名が使用されることを確認してください。 推奨事項 : この設定は有効にしないでください。            
可能な場合、クライアントの通信にデジタル署名を行う セキュリティの目的 : このポリシーが有効になっている場合、Windows 2000 のサーバー メッセージ ブロック (SMB) クライアント サブシステムでは、SMB パケット署名の実行が有効かまたは要求されている SMB サーバーと通信する際に、SMB パケット署名が実行されます。詳細については「常にクライアント側の通信にデジタル署名を行う」を参照してください。 推奨事項 : この設定は既定で有効になっています。そのままにしておいてください。            
常にサーバーの通信にデジタル署名を行う セキュリティの目的 : このポリシーを有効にすると、システムが SMB サーバーとして機能している場合にサーバーメッセージブロック (SMB) パケット署名の実行が要求されます。このポリシーは、署名を実行していないクライアントシステムとの通信をできなくするため、既定では無効になっています。詳細については「常にクライアント側の通信にデジタル署名を行う」を参照してください。 推奨事項 : 下位レベルシステムに対する SMB サーバーとして機能していないシステムでは、この設定を有効にする必要があります。ドメイン内のクライアントワークステーションがこの機能を果たすことはめったにありません。このため、クライアントワークステーションではこの設定を有効にすることをお薦めします。ドメイン コントローラでこの設定を有効にしておくと、マイクロソフト セキュリティ情報 MS02-070 で説明されているような種類の攻撃を防ぎます。ただし、これは、下位レベルクライアントがこのドメインコントローラと通信できなくなるという事実と比較して検討する必要があります。このため、DC 構成テンプレートではこの設定がオフになっています。Windows 2000 またはそれ以降のクライアントのみの環境では、ドメインコントローラでこの設定を有効にしておきます。      
可能な場合、サーバーの通信にデジタル署名を行う セキュリティの目的 : このポリシーを有効にすると、システムが SMB サーバーとして機能している場合にサーバー メッセージ ブロック (SMB) パケット署名の実行が有効になります。このポリシーは、ワークステーションおよびサーバーのローカル コンピュータ ポリシーでは既定で無効になっています。ドメイン コントローラでは既定で、このポリシーが有効になっています。詳細については「常にクライアント側の通信にデジタル署名を行う」を参照してください。 推奨事項 : すべてのシステムで、この設定を有効にしてください。 注 この設定を使用すると通信のオーバーヘッドがかかり、それが深刻な状況になる場合もあります。このため、使用環境でネットワーク応答時間が許容レベル以上に低下しないか検証が必要です。
ログオンに Ctrl+Alt+Del を必要としない セキュリティの目的 : このオプションを有効にすると、信頼されたパスメカニズムは無効になります。信頼されたパスメカニズムの目的は、ユーザーのログオンセッションのなりすましを防ぐことです。このメカニズムは、オペレーティングシステムによって常に Ctrl+Alt+Del キーのシーケンスを遮断し、他のサブシステムとプロセスがこのキーシーケンスをキャプチャできないようにするメカニズムです。このメカニズムが無効になっていると、攻撃者は容易にキーストロークロガーを使用してログオンインターフェイスに対してなりすまし攻撃を仕掛けることができます。このため、この設定は決して有効にしないでください。Windows 2000 コンピュータでは、ポリシーツールでこのオプションが [未定義] と表示される場合がありますが、既定では無効に設定されています。 推奨事項 : このポリシーを無効に設定します。 注 既定の設定をそのままにしておきます。しかし、無効に設定することで、変更されているコンピュータを確実に上書きできます。            
ログオン画面に最後のユーザー名を表示しない セキュリティの目的 : 既定の Windows 2000 ログオン インターフェイスには、そのコンピュータに最後にログオンしたユーザー名が表示されます。このオプションを有効にすると、最後のユーザー名がログオンセッションから削除されます。この結果、ローカルのコンピュータに侵入しようとする攻撃者はパスワードの推測だけではなく、正しいユーザー名の推測も必要になります。ただし、ユーザー名一覧の入手はそれほど困難ではなく、パスワードの使用が適切な防御メカニズムになります。さらに、この設定を有効にすると、ユーザーが各自のユーザー名を思い出せない場合に対処するため、テクニカルサポートコストの増加を招くことが明らかになっています。 推奨事項 : 研究室のワークステーションやターミナル サーバーのように、共有使用が設定されたコンピュータでのみこの設定を有効にするようにお薦めします。それ以外のコンピュータでは、サポート コストの増加と比較検討した場合この設定を使用する価値はほとんどありません。            
LAN Manager 認証レベル セキュリティの目的 : このセキュリティ オプションは、Windows ネットワークに使用される特定の種類の認証プロトコルの強制に使用され、また、新たな種類の認証プロトコル (NTLMv2) を有効にします。NTLMv2 は新しい認証プロトコルで、Windows 認証のセキュリティを大幅に強化します。多数のなりすまし攻撃を防ぎ、クライアントに対してサーバー自体を認証する機能をサーバーに提供します。 NTLM プロトコルでは、パスワード解読者がキャプチャした NTLM 認証セッションを使用してパスワードを解読することができました。これに対抗するため、NTLM バージョン 2 が開発されました。NTLMv2 には次のようなセキュリティ機能が追加実装されています。
  • 接続ごとに一意のセッションキー。 新たに接続が確立されるごとに、一意のセッションキーがセッションに生成されます。これによって、接続の完了後はキャプチャされたセッション キーは実用の役には立たなくなります。
  • セッションキーのキー交換による保護。 セッション キーの保護に使用されるキー ペアを入手しないと、セッション キーを傍受できません。
  • セッション データの暗号化と整合性保持のための一意キーの生成。 クライアントからサーバーへのデータの暗号化に使用されるキーと、サーバーからクライアントへのデータの暗号化に使用されるキーは同じキーではありません。
  • 暗号の強化。 NTLMv2 では、セッション キーの暗号化プロトコル、およびメッセージ整合性と認証シーケンスのアルゴリズムのハッシュが強化されています。

NTLMv2 の詳細については、サポート技術情報 147706 を参照してください。NTLMv2 は、Windows NT 4.0 Service Pack 4 以降で使用可能で、また、Windows 9x については、Windows 2000 CD-ROM の Clients\Win9x ディレクトリに収録されている Directory Service Client から使用できます。資料では、この設定を「LMCompatibilityLevel」で示す場合も多く、これは、有効化に使用される実際のレジストリ スイッチの名前です。 この設定は、認証プロトコルと認証後に使用されるセッション セキュリティ プロトコルの両方に作用します。Windows NT 4 SP4 以降の Windows NT ベースのシステム (Windows 2000、Windows XP、Windows Server 2003 を含む) はすべて、追加変更せずに NTLMv2 認証を使用した SMB クライアント接続に対応します。 LMCompatibilityLevel 設定は、次のように認証のいずれかの側面の変更に使用されます。
  1. クライアントとして機能する際にシステムが送信する認証プロトコルを変更します。
  2. サーバーとして機能する際に受け入れる認証プロトコルを変更します。アカウント データベースが格納されるコンピュータ上の設定値が、動作を管理します。言い換えると、ドメイン アカウントが使用される場合はドメイン コントローラで設定された値が有効になります。ローカル アカウントの使用時は、サーバー上の設定値が有効になります。
  3. NTLMv2 セッション セキュリティを有効にします。

この動作を管理する設定は 6 つあります。かっこ内の数値は、LMCompatibilityLevel レジストリ値の実際の設定値です。クライアントの動作の列は、この設定でコンピュータがどのように動作するかを示しています。サーバーの動作の列は、サーバーで設定が行われている場合に認証を実行するサーバーがどのように動作するかを示しています。ドメイン アカウントが使用され、DC にアクセス可能な場合は、認証サーバーが常に DC になります。DC にアクセスできない場合やローカル アカウントが使用される場合、認証サーバーは、クライアントの接続先のサーバーになります。

[ 各設定に対する、クライアントおよびサーバーの動作 ]

設定: [ LM と NTLM 応答を送信する (0 または設定なし) ]
クライアントの動作: LM および NTLM 認証を使用し、NTLMv2 認証やセッション セキュリティは使用しません。
サーバーの動作: LM、NTLM、および NTLMv2 の認証を受け入れます。

設定: [ LM と NTLM を送信 - ネゴシエートされた場合、NTLMv2 セッション セキュリティを使う (1) ]
クライアントの動作: LM と NTLM 認証を使用し、サーバーがサポートしていれば、NTLMv2 のセッション セキュリティを使用します。
この設定は、クライアント上で NTLMv2 セッション セキュリティのみを有効にします。クライアントで使用される認証プロトコルは変更しません。
サーバーの動作: LM、NTLM、および NTLMv2 の認証を受け入れます。

設定: [ NTLM 応答のみ送信する (2) ]
クライアントの動作: クライアントは、NTLM 認証のみを使用し、サーバーがサポートしていれば、NTLMv2 のセッション セキュリティを使用します。
この設定によって、クライアントは LM 認証を使用できなくなりますが、NTLMv2 認証の使用は有効になっていません。
サーバーの動作: LM、NTLM、および NTLMv2 の認証を受け入れます。

設定: [ NTLMv2 応答のみ送信する (3) ]
クライアントの動作: NTLMv2 認証のみを使用し、サーバーがサポートしていれば、NTLMv2 のセッション セキュリティを使用します。
サーバーの動作: LM、NTLM、および NTLMv2 の認証を受け入れます。

設定: [ NTLMv2 応答のみ送信/LM を拒否する (4) ]
クライアントの動作: NTLMv2 認証のみを使用し、サーバーがサポートしていれば、NTLMv2 のセッション セキュリティを使用します。
サーバーの動作: LM を拒否します (NTLM、および NTLMv2 の認証のみを受け入れます)。
これは、RRAS サーバーの機能を使用する場合の最大設定です。システムのいずれかで LMCompatibilityLevel を 5 に設定すると、着信接続の受け入れが停止します。

設定: [ NTLMv2 応答のみ送信/LM と NTLM を拒否する (5) ]
クライアントの動作: NTLMv2 認証のみを使用し、サーバーがサポートしていれば、NTLMv2 のセッション セキュリティを使用します。
サーバーの動作: NTLMv2 認証のみを受け入れます。
この設定が 4 未満の値に設定されている Windows NT 4.0 ドメイン コントローラがある場合に 5 に設定するとドメインの信頼に問題が発生する場合があります。ただし、これらのシステムで LMCompatibilityLevel が NTLMv2 応答のみ送信/LM を拒否する (4) に設定されていればドメインの信頼が機能します。しかし、NTLM 認証をサポートしない下位レベル クライアントに対するサービスはできなくなります。

推奨事項 : 次のガイドラインに従って、環境の許す限り高く設定します。

  • Windows NT 4.0 SP4 以降のみの環境 (Windows 2000 および XP を含む) では、すべてのクライアントで 5 に設定し、クライアントすべての構成後にすべてのサーバーでも 5 に設定します。Windows RRAS サーバーは例外で、設定が 4 より高い場合は正しく機能しません。
  • Windows 9x クライアントがあり、そのクライアントのすべてに DSClient をインストールできる場合は、Windows NT ベースのコンピュータ （NT、2000、および XP) ではこの値を 5 に設定し、Windows 9x のコンピュータでは、3 に設定します。これ以外の場合は、Windows 9x 以外のコンピュータでも 3 以下に設定する必要があります。
  • この設定を有効にして中断するアプリケーションが検出された場合は、ロール バックを 1 ステップずつ行って何が中断したかを確認します。この設定はすべてのコンピュータで最低でも 1 に設定する必要があり、一般には、すべてのコンピュータで 3 に設定されています。優先サポート契約がある場合は、どのアプリケーションがどのレベルで中断したかについて PSS にお知らせください。 注 Windows NT 4.0 と Windows 2000 が混在するドメイン環境で LMCompatibility を 2 よりも高い値に設定すると、相互運用上の問題が発生する場合があります。詳細については、Microsoft サポート技術情報 305379 を参照してください。

W2KHG-baseline.inf テンプレートでは、LMCompatibilityLevel が NTLMv2 応答のみ送信する (3) に設定されます。
承認された使用上の警告を実装する セキュリティの目的 : 対話的ログオン画面にタイトルと警告が記載されたログオンバナーが表示されるように構成します。このバナーは主として承認された使用法ポリシーへの準拠またはユーザーへの通知に使用されます。使用の法的根拠または法的要件があるかどうかについては、弁護士にお問合せください。 推奨事項 : このバナーは、情報セキュリティポリシーに従って設定してください。    
ログオン情報のキャッシュを無効にする セキュリティの目的 : Windows 2000 には、ログオン情報をキャッシュする機能があります。ログオン時にドメインコントローラが見つからず、そのユーザーが過去にログオンしたことがある場合に、そのときの資格情報をログオンに使用できます。これは、たとえばユーザーがネットワークから離れたところで使用する必要があるポータブルコンピュータの場合に非常に便利です。CachedLogonsCount Registry 値の設定によって、Windows 2000 でローカルコンピュータのログオンキャッシュに保存されるユーザーアカウントのエントリ数が決定されます。ログオンキャッシュは、コンピュータのセキュリティが保護された領域で、資格情報はシステムで使用可能な最も強力な暗号化形式によって保護されます。このエントリの値が 0 の場合、Windows 2000 のログオンキャッシュにユーザーアカウントデータが保存されません。これでは、ユーザーのドメインコントローラが使用できない場合に、ユーザーアカウント情報のないコンピュータにユーザーがログオンしようとすると、Windows 2000 から次のメッセージが表示されます。 「ログオンできません。ログオン先ドメイン <ドメイン名> は利用できません。」 Administrator がユーザーのドメインアカウントを無効にした場合、そのユーザーは、ネットワークケーブルを切断すれば、キャッシュを使用してログオンできます。これを防ぐため、Administrator は、ログオン情報のキャッシュを無効にできます。既定では、10 セットの資格情報のキャッシュを許可するように設定されています。 推奨事項 : この値は最低でも 2 に設定し、ドメインコントローラの停止中や使用不可の場合でもシステムを使用可能にします。
コンピュータ アカウント パスワードのシステム保守をしない セキュリティの目的 : Windows 2000 ドメインのコンピュータをドメイン リソースとして使用可能にするには、ドメイン コントローラに対して自己認証する必要があります。この設定によって、コンピュータ アカウント パスワードが毎週リセットされないようにするかどうかを設定します。Windows 2000 のセキュリティ機能として、コンピュータ アカウントのパスワードが 7 日ごとに自動変更されます。このポリシーを有効にすると、毎週のパスワード変更要求が行われなくなります。このポリシーを無効にすると、コンピュータ アカウントの新規パスワードが毎週生成されます。このポリシーは、既定では無効になっています。 推奨事項 : このポリシーを無効にして、いずれかの時点で上書きされた可能性があるコンピュータも確実に正しく構成されるようにします。このポリシーを有効にする実質的な理由はありません。    
ユーザーがプリンタ ドライバをインストールできないようにする セキュリティの目的 : ユーザー グループのメンバによるプリンタ ドライバのインストールを許可するかどうかを設定します。このポリシーを有効にすると、ユーザーはローカル コンピュータでプリンタ ドライバをインストールできなくなります。これによって、デバイス ドライバがローカル コンピュータにない場合、ユーザーは [プリンタの追加] ができなくなります。このポリシーを無効にすると、ユーザー グループのメンバはコンピュータにプリンタ ドライバをインストールできます。既定では、この設定はサーバーでは有効、ワークステーションでは無効になっていて、管理者によるプリンタ ドライバのインストールを義務付けた場合に発生するサポート オーバーヘッドを軽減します。 この設定を有効にすると、ワークステーションのセキュリティが若干強化されますが、管理オーバーヘッドは大幅に増加します。セキュリティに関する第 3 の鉄則、「悪意のある攻撃者があなたのコンピュータに対して物理的なアクセスを無制限に行える場合、もはやそれはあなたのコンピュータではない」 (https://www.microsoft.com/japan/technet/
archive/community/columns/security/essays/10imlaws.mspx?mfr=true) と比較検討する必要があります。 推奨事項 : この設定は変更しないでください。		            
パスワードが無効になる前にユーザーに変更を促す セキュリティの目的 : Windows 2000 から、パスワードの有効期限が近づいていることを何日前からユーザーに警告するのかを設定します。事前にユーザーに警告することによって、強度の高いパスワードを構成するだけの余裕が得られます。既定では、この値が 14 日間に設定されています。 推奨事項 : なし。既定値で十分です。            
回復コンソール : 自動管理ログオンを許可する セキュリティの目的 : 既定では、回復コンソールによってシステムへのアクセス前に Administrator アカウントのパスワードの入力が要求されます。このオプションを有効にすると、回復コンソールはパスワードの入力を要求せずに、自動的にシステムにログオンします。ポリシー ツールでは [未定義] と表示されることがありますが、既定ではこの設定は無効になっています。 推奨事項 : このオプションは無効に設定します。
回復コンソール : すべてのドライブとフォルダに、フロッピーのコピーとアクセスを許可する セキュリティの目的 : このオプションを有効にすると、回復コンソールの SET コマンドによる次の回復コンソール環境変数の設定が可能になります。
  • AllowWildCards - 一部のコマンド (DEL コマンドなど) でのワイルドカードのサポートを有効にします。
  • AllowAllPaths - コンピュータ上にあるすべてのファイルおよびフォルダにアクセスできます。
  • AllowRemovableMedia - フロッピーディスクなどのリムーバブルメディアにファイルをコピーできるようにします。
  • NoCopyPrompt - 既存のファイルを上書きする際に確認のメッセージを表示しません。

ポリシーツールでは [未定義] と表示されることがありますが、既定では SET コマンドは無効で、これらの変数はいずれも有効ではありません。 推奨事項 : このオプションを有効にして、回復コンソールを使用したシステムの回復機能を拡張します。
Administrator アカウント名の変更 セキュリティの目的 : アカウント「Administrator」のセキュリティ識別子 (SID) に関連付けられた名前の変更に使用されます。匿名アクセスが無効にされていない場合は、Administrator アカウント名の設定は些細なことであるため、実質的にはセキュリティを強化するものではありません。ただし、[匿名接続の追加を制限する] の設定が [SAM アカウントと共有の列挙を許可しない] に設定されている場合はセキュリティを若干強化できます。しかし、ユーザー名はパスワードではありません。Administrator アカウントを保護するには、一般的でない名前を使用するよりも強力なパスワードを使用する必要があります。さらに、プログラムによっては、Administrator アカウントの名前を変更するとエラーが発生する場合もあります。 推奨事項 : SAM アカウントの匿名列挙の制限が使用できない場合は、セキュリティ強化を目的として Administrator アカウントの名前を変更する必要はありません。            
Guest アカウント名の変更 セキュリティの目的 : アカウント「Guest」のセキュリティ識別子 (SID) に関連付けられた名前の変更に使用されます。この設定はセキュリティを強化するものではありません。 推奨事項 : セキュリティ強化を目的として Guest アカウントの名前を変更する必要はありません。無効になっていることだけを確認してください。            
CD-ROM へのアクセスを、ローカルログオンユーザーだけに制限する セキュリティの目的 : CD-ROM に、ローカルユーザーおよびリモートユーザーの両方が同時にアクセスできるようにするかどうかを設定します。このポリシーを有効にすると、対話型ログオンユーザーのみがリムーバブルメディアである CD-ROM へのアクセスを許可されます。このポリシーを無効にすると、対話的にログオンしたユーザーがいない場合、ネットワーク上で CD-ROM を共有できます。 推奨事項 : 効力があるのは、ユーザーがログオンしているときに限られるため、この設定はほとんどセキュリティ強化の効果がありません。この設定は有効にしないでください。            
フロッピーへのアクセスを、ローカル ログオンユーザーだけに制限する セキュリティの目的 : フロッピーディスクに、ローカルユーザーおよびリモートユーザーの両方が同時にアクセスできるようにするかどうかを設定します。このポリシーを有効にすると、対話型ログオンユーザーのみがリムーバブルメディアであるフロッピーディスクへのアクセスを許可されます。このポリシーを無効にすると、対話的にログオンしたユーザーがいない場合、ネットワーク上でフロッピーディスクを共有できます。 推奨事項 : 効力があるのは、ユーザーがログオンしているときに限られるため、この設定はほとんどセキュリティの強化の効果がありません。この設定は有効にしないでください。            
セキュリティで保護されたチャネル : 常にセキュリティチャネルのデータをデジタル的に暗号化または署名する セキュリティの目的 : コンピュータでセキュリティが保護されたチャネルのデータを、常にデジタル的に暗号化するか、署名するかを設定します。セキュリティが保護されたチャネルは、ドメインコントローラとドメインメンバ間の通信に使用されます。Windows 2000 システムがドメインに参加すると、コンピュータアカウントが作成されます。その後、システムが起動すると、そのアカウントのパスワードを使用して、ドメインに使用されるドメインコントローラでセキュリティが保護されたチャネルが作成されます。セキュリティが保護されたチャネルを介するトラフィックフローの一例にログオントラフィックがあります。セキュリティが保護されたチャネルで送信された要求は認証が行われ、保護を要する情報 (パスワードなど) の暗号化が行われますが、チャネルの整合性チェックは行われず、すべての情報が暗号化されるわけではありません。このポリシーを有効にすると、セキュリティが保護されたチャネルで発信されるトラフィックすべての署名または暗号化が行われます。このポリシーを無効にすると、署名と暗号化についてドメインコントローラとネゴシエーションが行われます。既定では、このポリシーは無効になっています。 推奨事項 : 下位レベル ドメインとの通信を防ぐ必要がある場合を除き、このポリシーは有効にしないでください。            
セキュリティで保護されたチャネル : 可能な場合、セキュリティチャネルのデータをデジタル的に暗号化または署名する セキュリティの目的 : セキュリティが保護されたチャネルの暗号化について、コンピュータがドメインコントローラとネゴシエーションするかどうかを設定します。既定では、セキュリティが重要な情報すべてがすでに暗号化されています。このポリシーを有効にすると、暗号化がサポートされるドメインコントローラと通信する際に、セキュリティが保護されたチャネルを介するトラフィックのすべてが暗号化されます。このオプションは、既定で有効になっています。 推奨事項 : 既定の設定を変更しないでください。            
セキュリティで保護されたチャネル : 可能な場合、セキュリティ チャネルのデータをデジタル的に署名する セキュリティの目的 : コンピュータがセキュリティで保護されたチャネルのデータの整合性に対する署名についてネゴシエーションを行います。セキュリティが保護されたチャネルで送信された要求は認証が行われ、保護を要する情報 (パスワードなど) の暗号化が行われますが、チャネルの整合性チェックは行われず、すべての情報が暗号化されるわけではありません。このポリシーを有効にすると、署名をサポートするドメイン コントローラとの通信の際に、セキュリティが保護されたチャネルのトラフィックがデジタル署名されます。このオプションは、既定で有効になっています。 推奨事項 : 既定の設定を変更しないでください。            
セキュリティで保護されたチャネル : 強力な (Windows 2000 かそれ以降のバージョン) セッションキーを必要とする セキュリティの目的 : このポリシーを有効にすると、セキュリティが保護されたチャネルの発信トラフィックすべてに強力な (Windows 2000 以降) 暗号化キーが必要になります。この設定を無効にすると、キーの強度について DC とネゴシエーションが行われます。このオプションは、信頼されるドメインのすべての DC が強力なキーをサポートしている場合にのみ有効にしてください。既定では、この値は無効になっています。 手順 : 正規の DC すべてが Windows 2000 以降を実行している場合は、このポリシーを有効にします。これ以外の場合は無効にしておいてください。    
サード パーティ製の SMB サーバーへ接続するためのパスワードを、暗号化しないで送信する セキュリティの目的 : このセキュリティ設定を有効にすると、サーバーメッセージブロック (SMB) のリダイレクタから、認証時にパスワード暗号化機能をサポートしない Microsoft 以外の SMB サーバーにクリアテキストのパスワードを送信できます。既定では、このオプションは無効になっています。 推奨事項 : 無効に設定して、個別のコンピュータで行われていた変更を確実に上書きします。
セキュリティ監視のログを記録できないときは、直ちにシステムをシャットダウンする

セキュリティの目的 :
セキュリティイベントのログを記録できないときにシステムをシャットダウンするかどうかを設定します。このポリシーを有効にすると、セキュリティ監査のログが何らかの理由で記録されない場合にシステムが停止されます。一般に、イベントの記録ができなくなるのは、セキュリティ監査ログがいっぱいになった場合や、セキュリティログに指定されている保存方法が [イベントを上書きしない] か [指定した日数を過ぎたら上書きする] の場合です。セキュリティログがいっぱいになり、既存のエントリを上書きできない場合に、このセキュリティオプションが有効になっていると、ブルースクリーンに変わり、次のエラーが表示されます。
STOP:C0000244 {監査の失敗}  
セキュリティ監査の生成に失敗しました。
このエラーから回復するには、管理者がログオンしてログを保存し (必要な場合)、ログをクリアしてから必要に応じてこのオプションをリセットします。既定では、このポリシーは無効になっています。 このポリシーを有効にすると、攻撃者は大量のイベント ログ入力を生成するだけでサービス拒否攻撃を実行できるようになります。 推奨事項 : このポリシーは有効にしないでください。適切なログ管理方針によって、攻撃者によるサービス拒否攻撃の条件を整えることなくイベントの喪失を防いでください。		            
スマート カード取り出し時の動作 セキュリティの目的 : ログオン ユーザーのスマート カードがスマート カード リーダーから取り出されたときの動作を設定します。選択できる動作は次のとおりです。
  • 何もしない
  • ワークステーションをロックする
  • ログオフを強制する
既定では [何もしない] が指定されています。[ワークステーションをロックする] が指定されている場合は、スマート カードが取り出されるとワークステーションがロックされ、ユーザーがコンピュータから離れる際に各自のスマート カードを携帯し、保護されたセッションを保持できます。[ログオフを強制する] が指定されている場合、スマート カードを取り出すとユーザーは自動的にログオフします。 推奨事項 : スマート カードを取り出すと、ワークステーションがロックされるように構成します。 注 スマート カードを使用したログオンは、ドメイン環境でのみサポートされます。このため、スタンドアロン システムには効果がありません。		    
グローバル システム オブジェクトの既定のアクセス許可を強化する (例 : シンボリック リンク) セキュリティの目的 : システム オブジェクトの既定の随意アクセス制御リスト (DACL) の強度を設定します。Windows 2000 では、DOS デバイス名、ミューテックス、およびセマフォなどの、共有しているシステム リソースのグローバル一覧が管理されます。オブジェクトは、位置の確認とプロセス間での共有が可能です。各オブジェクト タイプは既定の DACL を利用して作成されます。DACL は、オブジェクトにアクセスできるユーザーおよび付与されるアクセス許可を指定します。このポリシーを有効にすると、既定の DACL が強化されます。管理者以外のユーザーに共有オブジェクトの読み取り許可を与えますが、ユーザー自身が作成した共有オブジェクト以外を変更する許可は与えません。既定では、Windows 2000 Professional および Server のローカルでこのオプションが有効になっていますが、ドメイン セキュリティ ポリシーでは定義されていません。 推奨事項 : この設定が有効になっていることを確認します。
署名されていないドライバのインストール時の動作 セキュリティの目的 : ドライバの発行元の署名がないデバイスドライバを Windows 2000 デバイスインストーラを使用してインストールしようとしたときの動作を設定します。 選択できる動作は次のとおりです。
  • 警告なしで許可する
  • 警告するがインストールは許可する
  • インストールを許可しない
既定の設定は [警告するがインストールは許可する] です。 推奨事項 : 既定値で十分です。		            
署名されていないドライバ以外のインストール時の動作 セキュリティの目的 : 署名がないデバイスドライバ以外のソフトウェアをインストール使用としたときの動作を設定します。 選択できる動作は次のとおりです。
  • 警告なしで許可する
  • 警告するがインストールは許可する
  • インストールを許可しない
既定の設定は [警告なしで許可する] です。 推奨事項 : 現状では、デジタル署名があるソフトウェアは非常に少数です。このため、この設定は事実上、効力がありません。既定値のままでかまいません。		            
**追加のセキュリティ設定** ここで説明する追加のセキュリティ設定は、既定のセキュリティポリシー GUI では利用できません。これらの設定を構成するには、レジストリエディタを使用するか、このガイド付属のカスタマイズされた sceregvl.inf テンプレートをインストールします。カスタムの sceregvl.inf テンプレートは、これらの設定を既定のセキュリティポリシー GUI に追加します。 レジストリを編集する方法は、レジストリエディタのヘルプツールからも参照できます。たとえば、レジストリにキーを追加する方法を参照するには、次の手順を実行します。 1. **\[スタート\]**、**\[ファイル名を指定して実行\]** の順にクリックします。 2. **\[ファイル名を指定して実行\]** ダイアログボックスのテキストボックスに「regedt32」と入力し、**\[OK\]** をクリックしてレジストリエディタ (Regedt32.exe) を開きます。 3. エディタの **\[ヘルプ\]** メニューの **\[目次\]** をクリックします。 4. レジストリエディタのヘルプツールの右側のウィンドウ領域で、**\[レジストリの情報を追加または削除する\]** ハイパーリンクをクリックします。 5. このウィンドウ領域が変更されて、レジストリ情報の追加と削除に関するヘルプトピックが一覧表示されます。**\[レジストリにキーを追加する\]** ハイパーリンクをクリックして、詳細な方法を参照します。 **注** レジストリ設定を変更する場合は、**regedit.exe** (Windows 95 のレジストリエディタ) ではなく **regedt32.exe** (Windows NT のレジストリエディタ) を使用することを強くお薦めします。Windows 2000 にはどちらのエディタも付属していますが、一般には regedit.exe の方が使いやすいと感じられるようです。ただし、regedit.exe ではすべてのレジストリデータ型がサポートされず、認識されないデータ型は変換されます。これらが変換されると、一部の値が正しく読み取られなくなり、起動不可能になるなどの重大な問題を招くおそれがあります。**手動でのレジストリの編集は、あくまでもユーザー自身の責任で行ってください。**レジストリを変更する場合は、必ず事前にレジストリをバックアップし、問題が発生した場合のレジストリの復元方法を確認しておきます。レジストリのバックアップ、復元、および編集については、Microsoft サポート技術情報 256986 を参照してください。 **その他のレジストリ設定** ここで説明するレジストリ設定を使用して、オペレーティング システムのセキュリティ状態をさらに強化することができます。「Service Pack 3 のレジストリ エントリ」の節で示した設定を除いて、これらの設定は Windows 2000 のすべてのバージョンで利用できます。 **OS/2 および POSIX サブシステムを削除する** OS/2 および POSIX サブシステムは、POSIX および OS/2 アプリケーションとの互換性を保つために組み込まれています。この種類のアプリケーションを Windows 2000 で実行する必要が生じることはまれであり、ほとんどの場合、この 2 つのサブシステムは問題なく削除できます。ただし、これらのサブシステムを手動で削除する前に、必ずこのレジストリキーのバックアップを作成してください (または設定を元に戻すことのできるテンプレートを使用します)。Windows 2000 から OS/2 および POSIX のサポートを削除するには、次の表で示されているようにレジストリを編集し、値を削除します。

キーパス : HKLM\SYSTEM\CurrentControlSet\Control\Session Manager データ型 値
キー : SubSystems　　　　　　 値の名前 : Optional REG_MULTI_SZ すべてのエントリを削除
**注** この変更を手動で行う場合は、regedt32.exe を使用することがきわめて重要です。regedit.exe は REG\_MULTI\_SZ の値を処理しません。regedit.exe を使って Optional 値からすべてのエントリを削除すると、システムが起動しなくなります。詳細については、前のページの注を参照してください。グループポリシーを使用すれば、この変更は正しく行われます。 **注** Dell 社のコンピュータには、OS/2 用に作成された抽出ツールと共にいくつかの更新ファイルが付属していました。これらの更新ファイルは、OS/2 サブシステムが削除されると機能しなくなります。 **注** Microsoft の Services for UNIX 製品には、Posix サブシステムが必要です。Services for UNIX を実行する必要があるコンピュータでは、このサブシステムを削除しないでください。 **NULL セッション アクセスを制限する** NULL セッションは、認証されていない従来の各種通信に使用されます。このセッションは、コンピュータ上のさまざまな共有を通して利用されます。コンピュータへの NULL セッションアクセスを防止するには、**RestrictNullSessAccess** という値をレジストリに追加します。この値を 1 に設定すると、**NullSessionPipes** エントリおよび **NullSessionShares** エントリに列挙されているものを除くすべてのサーバーパイプおよび共有への NULL セッションアクセスが制限されます。

キーパス : HKLM\SYSTEM\ CurrentControlSet\Services \LanmanServer データ型 値
キー : parameters　　　　　　　 値の名前 : RestrictNullSessAccess REG_DWORD 1
**名前付きパイプおよび共有経由の NULL セッション アクセスを制限する** このようなアクセスを制限することで、ネットワーク経由の認証されていないアクセスを防止できます。名前付きパイプおよび共有ディレクトリを経由する NULL セッションアクセスを制限するには、次の表に示されているようにレジストリを編集し、値を削除します。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer データ型 値
キー : parameters 　　　　　　　 値の名前 : NullSessionPipes 　　　　　　　　　　　　　　　　　　　　　　　　　　　 NullSessionShares REG_MULTI_SZ すべての値を削除
**注** 一部のサービスは、NULL セッションアクセスを使用する必要があります。たとえば、Microsoft Commercial Internet System 1.0 では、POP3 サービスを機能させるために、使用する SQL Server コンピュータ上に SQL\\query パイプが必要です。 **ネットワーク ブラウズ リストでコンピュータを非表示にする** Windows ドメインおよびワークグループでは、1 台のコンピュータがネットワーク上のリソースの一覧を保持しています。ブラウズリストと呼ばれるこの一覧には、ネットワークで利用可能な共有やプリンタなどが列挙されています。SMB プロトコルがインストールされているコンピュータは、提供するリソースがあるかどうかに関係なく、既定で、マスタブラウザが保持するこのリソース一覧に自らを通知します。これにより、多くの場合において不必要なネットワークオーバーヘッドが生じると同時に、ファイアウォール内部の潜在的な攻撃者が利用可能なネットワークリソースの一覧を簡単に生成できるようになります。このため、提供するリソースを持たないコンピュータからのブラウザ アナウンスメントをオフにすることが望まれます。その 1 つの方法が、Computer Browser サービスをオフにすることです。ただし、これを行うとクライアントコンピュータもブラウズリストのコピーを取得できなくなり、エンドユーザーが正当なネットワークリソースを見つけ出すことがきわめて困難になります。より適切な解決策は、ブラウズリストでコンピュータを非表示にすることです。この方法は、特にワークステーションとラップトップに限定して実行する必要があります。したがって、このガイド付属の 2 つのワークステーションテンプレートおよび 1 つのラップトップテンプレートによって、この設定がオフになります。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer データ型 値
キー : parameters　　　　　　　　　　　　　　　　　　　　　 値の名前 : hidden REG_DWORD 1
**注** この方法では、攻撃者がネットワーク上のリソースの一覧を生成することを防止できません。このような一覧は、特に SAM アカウントと共有を匿名で列挙する機能がオフになっていない場合に、別の手段を使って生成できます。ただし、その場合は一覧の生成にかなりの時間がかかるようになります。 **Service Pack 3 のレジストリ エントリ** Service Pack 3 では、いくつかの新しいレジストリエントリが導入され、これを構成してオペレーティングシステムが提供するセキュリティを強化できるようになりました。 **既定の IPSec 適用除外を解除する** 設計上、ある種類のトラフィックは IPSec によるセキュリティ保護の対象から除外されます。これは、IPSec ポリシーですべての IP トラフィックを保護するように指定されている場合も同様です。IPSec が適用されないのは、ブロードキャスト、マルチキャスト、RSVP、IKE、および Kerberos トラフィックです。この適用除外の詳細については、Microsoft サポート技術情報 254949「ドメインコントローラの IPSec サポート」を参照してください。この適用除外を攻撃者が利用して、IPSec の規制を逃れる可能性があります。このため、適用除外は可能な限り解除することが重要です。IPSec を使用しないシステムでは、この設定の効果はありません。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services データ型 値
キー : IPSEC　　　　　　　　　　　　　 値の名前 : NoDefaultExempt REG_DWORD 1
このスイッチの詳細については、Microsoft サポート技術情報 [811832](https://support.microsoft.com/kb/811832) を参照してください。 **DLL の検索順序を変更する** Windows プラットフォーム上のほとんどのプログラムは、機能を再実装する手間を省くために各種のダイナミックリンクライブラリ (DLL) を利用しています。実際に、オペレーティングシステムはプログラムごとにそのプログラムの種類に応じて複数の DLL を読み込みます。プログラムで DLL の絶対位置が指定されていない場合は、既定の検索順序で DLL が検索されます。オペレーティングシステムが既定で使用する検索順序は次のとおりです。 1. メモリ 2. 既知の DLL 3. マニフェストと .local 4. アプリケーションディレクトリ 5. 現在の作業ディレクトリ 6. システムディレクトリ (%systemroot%、%systemroot%\\system、および %systemroot%\\system32) 7. パス変数 現在の作業ディレクトリがシステムディレクトリよりも先に検索されるという事実を、ファイルシステムにアクセスできる第三者が利用して、ユーザーが起動したプログラムで偽造 DLL が読み込まれるようにする可能性があります。ユーザーがドキュメントをダブルクリックしてプログラムを起動すると、実際にはそのドキュメントの場所が現在の作業ディレクトリとなります。そのディレクトリに、その場所にあるシステム DLL と同じ名前の DLL があると、システム DLL の代わりにその DLL が読み込まれます。これは、実際に Nimda ウイルスで使用された攻撃方法です。 この攻撃を防ぐために Service Pack 3 で新たに作成された設定では、現在の作業ディレクトリの検索順序がシステムディレクトリの後に変更されます。ただし、アプリケーションの互換性で問題が生じないように、既定ではこのスイッチがオンになっていません。これをオンにするには、次のレジストリ値を設定します。

キーパス : HKLM\SYSTEM\CurrentControlSet\Control データ型 値
キー : Session Manager　　　　 値の名前 : SafeDllSearchMode REG_DWORD 1
**アプリケーションが生成した入力によってセッション ロックが妨害されないようにする** Service Pack 3 には、アプリケーションが生成したキーボード/マウス入力メッセージがセッションロックを妨害しないようにするためのレジストリ値が導入されています。既定では、アプリケーションがダミーの入力を生成してスクリーンセーバーのタイムアウト値が増加しないようにすることで、スクリーンセーバーがオンにならないようにしています。この値の名前は BlockSendInputResets です。この値は、ほとんどのポリシー設定と同様に、ソフトウェア\\ポリシーツリーの下に配置されています。 HKCU\\Software\\Policies\\Microsoft\\Windows\\Control Panel\\Desktop ポリシーは、ユーザーが適用した設定より優先されます。値は、他の関連キーとの整合性をとるために REG\_SZ となり、ゼロ以外の値を持つブール値として解釈されます。ゼロ以外の値は、値が設定され、機能がアクティブであることを意味します。値がゼロか設定されていない場合は、現在の機能が維持されます。 この値が "実際の" (マウスまたはキーボードによる) 入力に設定されると、スクリーンセーバーのタイマがリセットされます。現在、"投入された" 入力が時間をリセットするケースが 3 つあります。 - SendInput からの入力投入 - これは、アプリケーションが意図的に入力をシミュレートしようとするケースで、ブロックされます。 - ウィンドウのアクティブ化 - 新しいウィンドウがアクティブになると、カウンタがリセットされます。これは、スクリーンセーバーがアクティブになっていない限りブロックされます。 - SPI\_SETSCREENSAVETIMEOUT、SPI\_SETSCREENSAVEACTIVE、SPI\_SETLOWPOWERTIMEOUT、SPI\_SETLOWPOWERACTIVE、SPI\_SETPOWEROFFTIMEOUT、SPI\_SETPOWEROFFACTIVE を設定する SystemParametersInfo() の呼び出し。BlockSendInputResets が設定されている場合は、これらによってタイマがリセットされなくなります。これによってユーザーの操作性に影響が出ることはありません。ユーザーがこれらの値を設定することが、結果的にユーザーによるマウスの動作やキーストロークからの "実際の" 入力になるためです。 この機能を有効にするには、次の表に示すようにレジストリ値を編集します。場合によってはパスを作成する必要があります。

キーパス : (ポリシー) HKCU\Software\Policies\Microsoft\Windows\Control Panel データ型 値
キー : Desktop　　　　　　　　　 値の名前 : BlockSendInputResets REG_SZ 1
**注** この値と共にスクリーンセーバーが適切に設定されていないと、この機能の意味がなくなるので注意が必要です。必要なスクリーンセーバーの設定は次のとおりです。 - スクリーンセーバーを選択 - パスワードによる保護 - スクリーン セーバーのタイムアウト期間 スクリーンセーバーが正しく構成されていないと、この機能はコンピュータの全体的なセキュリティに対して本質的に何の効果ももたらしません。パスワードで保護されたスクリーンセーバーを設定する手順については、「自動画面ロック保護を有効にする」を参照してください。 **監査ログがしきい値のパーセントに達した場合に監査イベントを生成する** Service Pack 3 には、セキュリティログが構成可能なしきい値に達した場合に、セキュリティイベントログにセキュリティ監査を生成する機能が用意されています。この機能を有効にするには、下の表に示すように値を作成します。値のデータは、セキュリティログにイベントを記録する要因となるパーセント値を指定します。下の表に示されている値は推奨値であり、個々の運用上のニーズに基づいて適切な値に設定することが可能です。たとえば、下の表のように設定した場合は、セキュリティログのサイズが指定のパーセント値 (90) に達すると、セキュリティログにイベント ID 523 のイベントエントリが「セキュリティイベントログが 90% に達しました」というテキストと共に記録されます。このイベントからキーを除去して、ログダンプとリセットを実行するように IDS を構成することができます。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\Eventlog 形式 値
キー : Security　　　　　　　　　 値の名前 : WarningLevel REG_DWORD 90
**注** ログが "必要に応じてイベントを上書きする" に設定されている場合は機能しません。 **サービス拒否攻撃に対して TCP/IP スタックを強化する** サービス拒否攻撃は、コンピュータまたはコンピュータ上の特定のサービスをネットワークユーザーが利用できないようにすることをねらったネットワーク攻撃です。次に示す TCP/IP 関連のレジストリ値は、サービス拒否攻撃に対する Windows 2000 の TCP/IP スタックの抵抗力を高めるために役立ちます。以下に挙げる値の一部は、指定されたレジストリキーに追加する必要があります。詳細については、Microsoft サポート技術情報 315669「\[HOW TO\] Windows 2000 でサービス拒否攻撃に対する TCP/IP スタックを強化する方法」を参照してください。 これらの値は、すべてのシステムで設定できます。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\Tcpip 形式 値
キー : Parameters　　　　　　　　　 値の名前 : DisableIPSourceRouting REG_DWORD 2
キー : Parameters　　　　　　　　　 値の名前 : EnableDeadGWDetect REG_DWORD 0
キー : Parameters　　　　　　　　　 値の名前 : EnableICMPRedirect REG_DWORD 0
キー : Parameters　　　　　　　　　 値の名前 : EnableSecurityFilters REG_DWORD 1
キー : Parameters　　　　　　　　　 値の名前 : KeepAliveTime REG_DWORD 300,000
キー : Parameters　　　　　　　　　 値の名前 : PerformRouterDiscovery REG_DWORD 0
キー : Parameters　　　　　　　　　 値の名前 : SynAttackProtect REG_DWORD 2
キー : Parameters　　　　　　　　　 値の名前:TcpMaxConnectResponseRetransmissions REG_DWORD 2
キー : Parameters　　　　　　　　　 値の名前 : TcpMaxConnectRetransmissions REG_DWORD 3
キー : Parameters　　　　　　　　　 値の名前 : TcpMaxDataRetransmissions REG_DWORD 3
キー : Parameters　　　　　　　　　 値の名前 : TCPMaxPortsExhausted REG_DWORD 5
さらに、SMB トラフィックを供給するファイルサーバーやドメインコントローラなどの重要なサーバーを強化するには、次の値を設定します。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\Tcpip 形式 値
キー : Parameters　　　　　　　　　 値の名前 : EnablePMTUDiscovery REG_DWORD 0

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\NetBT 形式 値
キー : Parameters　　　　　　　　　 値の名前 : NoNameReleaseOnDemand REG_DWORD 1
これらの値をクライアントで設定することはお薦めできません。EnablePMTUDiscovery は、最大転送単位 (MTU : Maximum Transfer Unit) の探索を無効にすることで、ごく小さな MTU を設定する攻撃者によってスタックが過剰に使用されないようにします。クライアントシステムでは、この値を既定値 (1) のままにすることでパフォーマンスが向上します。NoNameReleaseOnDemand 設定は、システムの SMB 名を解放する名前解放要求を拒否するようにシステムを構成します。この設定によって、攻撃者は名前解放要求をサーバーに送信できなくなり、正当なクライアントもサーバーにアクセスできなくなります。ただし、この設定がクライアント側で構成され、そのクライアントが重要なサーバーと同じ名前で誤って構成されていると、サーバーは名前を復元できなくなり、正当な要求が危険なサーバーに送信されて、最低でもサービス拒否を引き起こします。 **タイム サービス認証を検討する** 下の表に示されているキーを検討し、"type" の値が NT5DS に設定されるようにします。これによって、システムが認証されたタイムサービスを使って動作していることが保証されます。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\W32Time 形式 値
キー : Parameters　　　　　　　　　 値の名前 : type REG_SZ Nt5DS
**注** セキュリティ構成エディタのインターフェイスでの制限のために、この設定はユーザーインターフェイスに表示されません。ただし、基準テンプレートにはこれが設定されているため、この設定の構成は行われます。 **LMHash の作成を無効にする** Windows 2000 ベースのサーバーは、Windows の以前のバージョンを実行しているコンピュータを認証できます。ただし、以前のバージョンの Windows は Kerberos 認証を使用しないため、Windows 2000 は LAN Manager (LM)、Windows NT (NTLM)、および NTLM Version 2 (NTLMv2) をサポートしています。NTLM、NTLMv2、Kerberos はいずれも Unicode ハッシュ (NT ハッシュとも呼ばれる) を使用しますが、LM 認証プロトコルは LM ハッシュを使用します。LM ハッシュは、NT ハッシュに比べて比較的脆弱であるため、高速の総当たり攻撃を受けやすくなります。また LM ハッシュは、複雑なパスワードを使用することで、ハッシュに加わるエントロピーの量を大幅に削減します。このため、下位互換性のために必要である場合を除き、LM ハッシュが保存されないようにすることが望まれます。Windows 95 以降のクライアントだけで構成される環境では、LM ハッシュは必要ありません。ただし、LM ハッシュを使用しないユーザーは、サーバーとして機能する Win9x コンピュータに接続できません。 Windows 2000 Service Pack 2 以降には、LM ハッシュの保存を無効にするレジストリ設定が提供されています。詳細については、Microsoft サポート技術情報 299656「New Registry Key to Remove LM Hashes from Active Directory and Security Account Manager」(英語) を参照してください。　

キーパス : HKLM\SYSTEM\CurrentControlSet\Control\LSA 形式 値
キー : NoLMHash N/A N/A
Windows 2000 では、この設定は NoLMHash と呼ばれるキーです。ただし、Windows XP または Windows Server 2003 でこのキーを作成しても効果はありません。これらのオペレーティングシステムでは、この設定は NoLMHash と呼ばれる DWORD 値です。これらすべてのオペレーティングシステムで使用可能なカスタムポリシーテンプレートを作成する場合は、キーと値の両方を作成できます (値は同じ場所に配置され、値 1 によって LM ハッシュの作成が無効になります)。Windows 2000 システムを Windows Server 2003 にアップグレードするとキーもアップグレードされますが、レジストリ内のどちらの設定にも影響はありません。 **注** ベースライン テンプレートはこのポリシーを設定します。Windows 3.1 または Windows 95 初期出荷版を実行するクライアントが Windows 2000 システムへの接続を必要としている場合は、絶対にこの設定を Windows 2000 システム用に構成しないでください。 **自動実行を無効にする** メディアがドライブに挿入されると同時に、自動実行がドライブからの読み取りを開始します。その結果、プログラムのセットアップファイルやオーディオメディアのサウンドが直ちに開始されます。メディアが挿入されたときに悪質なプログラムが開始されないようにするには、次のレジストリキーを作成して、すべてのドライブで自動実行を無効にします。

キーパス : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies 形式 値
キー : Explorer　　　　　　　　　 値の名前 : NoDriveTypeAutoRun REG_DWORD 255
自動実行は、操作性を高める設定としてユーザーが望んでいることに注意してください。したがって、この変更を行うのは、管理者がログオンするサーバーおよびワークステーションに限定することをお薦めします。 **LDAP BIND コマンド要求の設定** この値は、次に示すように、LDAP サーバー (ldapagnt.lib) による LDAP bind コマンド要求の処理を決定するために使用されます。 - 1 (既定値) または未定義 : AD の LDAP エージェントは、SASL 認証メカニズムを指定する LDAP bind コマンド要求を処理する際に、LDAP トラフィックへの署名を求める LDAP クライアント要求を常にサポートします。 - 2 : AD の LDAP エージェントは、着信する要求が TLS/SSL で保護されていない限り、LDAP bind コマンド要求で SASL のみをサポートします。それ以外の種類の認証が使用された場合は、LDAP bind コマンド要求を拒否します。LDAP bind コマンド要求が TLS/SSL 経由で着信しなかった場合は、クライアントのセキュリティコンテキストで LDAP トラフィック署名オプションが必要となります。 この値を設定するには、下の表に示されているようにレジストリキーを編集し、値 LdapServerIntegrity を作成して値 2 を設定します。

キーパス : HKLM\System\CurrentControlSet\Services\NTDS 形式 値
キー : Parameters　　　　　　　 値の名前 : LdapServerIntegrity REG_DWORD 2
この設定はクライアントシステムでは効果がないので注意してください。 **監査ログがいっぱいになった場合に管理警告を生成する** Windows 2000 ベースのコンピュータで Alerter サービスの受信者を追加するには、下の表に示すようにレジストリを編集します (Regedt32.exe を使用)。値のエントリは、管理警告を受信する各受信者の名前 (ユーザー名またはコンピュータ名) にします。**\[データ\]** ボックスでは、各受信者を個別の行に記述する必要があります。

キーパス : HKLM\SYSTEM\CurrentControlSet\Services\Alerter 形式 値
キー : Parameters　　　　　　　 値の名前 : AlertNames REG_MULTI_SZ 上の説明を参照
**注** 管理警告は、Alerter サービスと Messenger サービスの両方に依存します。発信元のコンピュータで Alerter サービスが稼働していること、および発信先のコンピュータで Messenger サービスが稼働していることを確認してください。 **フォルダでの Web 表示をオフにする** フォルダの Web 表示 (Windows XP では **\[共通の作業\]** と呼ばれる) では、背景画像およびその他のアクティブコンテンツを使ってフォルダをカスタマイズすることができます。また、フォルダ内で選択されたコンテンツを解析することもできます。コンテンツに、ウイルスに感染した Web ページや Word 文書などの悪質なコードが含まれている場合は、文書が選択されると同時のそのコードが起動されます。このため、少なくとも管理ワークステーションでは Web 表示をオフにすることを強くお薦めします。Web 表示をオフにするには、GUI で **\[フォルダオプション\]** ダイアログボックスの **\[従来の Windows フォルダを使う\]** を選択します。または、次のレジストリ値を構成して Web 表示をオフにすることもできます。

キーパス : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced 形式 値
キー : Advanced　　　　　　　　 値の名前 : WebView REG_DWORD 1
**NTLM SSP を強化する** NTLM セキュリティサポートプロバイダ (SSP) を使用するプログラム (RPC 経由で通信するプログラムを含む) は、上記の LMCompatibilityLevel 設定に直接影響されません。NTLM SSP は、独自のセキュリティ設定を使用してその動作を制御します。NtlmMinClientSec および NtlmMinServerSec という値を作成することで、クライアントまたはサーバーとして機能するシステムの動作をそれぞれの値で制御することができます。 設定はビットマスクで、実際のデータは次の値の論理 OR です。 - 0x00000010　 メッセージの整合性 - 0x00000020　 メッセージの秘密性 - 0x00080000　 NTLMv2 セッションセキュリティ - 0x20000000　 128 ビット暗号化 - 0x80000000　 56 ビット暗号化 つまり、メッセージの整合性、秘密性、NTLMv2 の使用、および 128 ビット暗号化を実現するには、値 0x20080030 を設定します。この設定は、ネットワークで使用されるアプリケーションが機能する範囲で、できるだけ高く設定することをお薦めします。

キーパス : HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\LSA 形式 値
キー : MSV1_0　　　　　　　　　 値の名前 : NtlmMinClientSec および 　　　　　　　　　　　　　　　　　　　　　　　　　　　 NtlmMinServerSec REG_DWORD 0x20080030
**注** この設定によってアプリケーションが中断することがあります。わかっている問題は次のとおりです。 - FrontPage 2000 では 0x20080000 を設定できません。この設定を使用すると、FronPage クライアントは FrontPage Server Extensions サーバーと通信できなくなります。 - NtlmMinServerSec が構成されていると、ノードがクラスタに参加できなくなります。 クライアントとサーバーの設定が一致していることも重要です。ローカル管理ツールの多くは通信に RPC を使用しているため、クライアントとサーバーの設定が一致しないと、これらのツールがローカルに接続できなくなることがあります。クライアント側の NtlmMinClientSec 設定がサーバー側の NtlmMinServerSec 設定と一致しない場合は、リモート接続が失敗する可能性があります。このため、ネットワーク内で両方の設定を同じにすることが重要です。 [](#mainsection)[ページのトップへ](#mainsection) ### 監査ログの管理 セキュリティログを含めたイベントログの管理オプションは、ドメイン内のすべてのコンピュータに対して構成できます。そのためには、ドメインセキュリティポリシー内の Evenｔ Log フォルダ、またはドメイン、OU、およびサイト (ドメイン) に関連する特定のグループポリシーオブジェクト内の Evenｔ Log フォルダを使用します。Event Log フォルダは、ローカルセキュリティポリシーオブジェクトには表示されません。これらのシステムでは、これらの設定が **\[イベントログ\]** スナップインで直接管理されます。 ドメインメンバについては、ローカル監査の管理オプションを **\[イベントビューア\]** スナップインで構成できます。**\[イベントビューア\]** から、特定のログ (セキュリティログなど) の管理オプションを設定するための適切な **\[プロパティ\]** インターフェイスが選択されます。 これらのインターフェイスでは、イベントログの表示、ソート、フィルタリング、および検索の他、最大ログサイズの設定やログのクリアなどを行うことができます。ユーザーがイベントログファイルを表示するには、そのファイルにアクセスできることが必要です。セキュリティログの内容を表示するには、ユーザーが Administrators グループのメンバとしてログオンする必要があります。**\[イベントビューア\]** 自体を使用するのに特別な権限は必要ありません。セキュリティは、ログに対する ACL と特定のレジストリ設定によって実現されます。 **イベント ログの設定にアクセスする** イベントログの現在の設定を表示し、編集を可能にします。 **ドメインポリシーおよびドメインコントローラポリシーに対する手順 :** 1. **\[ドメインセキュリティポリシー\]** または **\[ドメインコントローラセキュリティポリシー\]** を適宜開きます。 2. **\[セキュリティの設定\]** を展開します。 3. **\[セキュリティの設定\]** 内で、**\[イベントログ\]** を展開して **\[イベントログの設定\]** ポリシーを表示します。 4. **\[イベントログの設定\]** オブジェクトをクリックします。右側の詳細ウィンドウに、構成可能な監査ログ管理の設定が表示されます。 ![](images/Dd277307.05osin07s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin07(ja-jp,technet.10).gif) **スタンドアロンのワークステーションおよびサーバーに対する手順 :** 1. **\[スタート\]** をクリックし、**\[プログラム\]**、**\[管理ツール\]** の順にポイントして **\[イベントビューア\]** をクリックして、イベントビューアを開きます。 2. **\[セキュリティログ\]** オブジェクトを右クリックし、**\[プロパティ\]** を選択します。**\[セキュリティログのプロパティ\]** ウィンドウが開き、構成可能な監査ログ管理の設定が表示されます。 ![](images/Dd277307.05osin08s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin08(ja-jp,technet.10).gif) 表 4.8 を参考に、監査ポリシーを設定します。 **表 4.8 監査管理の設定**

監査の管理と構成 ドメイン ワークステーション ドメイン ラップトップ ドメイン コントローラ ドメイン サーバー スタンドアロン ワークステーション スタンドアロン サーバー
アプリケーション ログの最大サイズを設定する セキュリティ上の目的 : アプリケーションイベントログの最大サイズを指定します。既定値は 512 KB、最大サイズは 4 GB (4,194,240 KB) です。アプリケーションログサイズの要件は、プラットフォームの機能およびアプリケーション関連イベントの過去のレコードに対する必要性によって異なります。 推奨事項 : ほとんどのシステムでは既定の設定で十分です。            
セキュリティ ログの最大サイズを設定する セキュリティ上の目的 : セキュリティイベントログの最大サイズを指定します。既定値は 512 KB、最大サイズは 4 GB です。 推奨事項 : ドメインコントローラおよびサーバーでは、少なくとも 20 MB に設定します。それ以外のシステムでは、ログが参照される頻度やディスクの空き容量などに基づいて、十分なログサイズに設定します。テンプレートでは、その他すべてのシステムに対してログサイズが 5 MB に設定されます。
システム ログの最大サイズを設定する セキュリティ上の目的 : システムイベントログの最大サイズを指定します。既定値は 512 KB、最大サイズは 4 GB です。 推奨事項 : ほとんどの環境では、既定の設定で十分です。            
アプリケーション ログへのゲストアクセスを制限する セキュリティ上の目的 : アプリケーションイベントログへの匿名アクセスを防止します。このポリシーを有効にすると、ゲストがアプリケーションイベントログにアクセスできなくなります。既定では、すべての Windows 2000 オペレーティングシステムでこのポリシーがローカルで無効となります。 推奨事項 : このポリシーをすべてのシステムで "有効" に設定します。 注 既定では、すべてのシステムでゲストによるアクセスが禁止されているため、既定のシステムではこの設定による実質的な効果はありません。しかし多層防御を徹底させる意味で、この設定を行います。副次的作用はほとんどありません。
セキュリティ ログへのゲスト アクセスを制限する セキュリティ上の目的 : セキュリティ イベント ログへの匿名アクセスを防止します。このポリシーを有効にすると、ゲストがセキュリティ イベント ログにアクセスできなくなります。既定では、すべての Windows 2000 オペレーティング システムでこのポリシーがローカルで無効となります。ユーザーがセキュリティ ログにアクセスするには、「監査とセキュリティログの管理」ユーザー権利が必要です。ゲストにはこの権利がないため、この設定は単に多層防御の目的で行います。 推奨事項 : このポリシーをすべてのシステムで "有効" に設定します。
システム ログへのゲスト アクセスを制限する セキュリティ上の目的 : システム イベント ログへの匿名アクセスを防止します。このポリシーを有効にすると、ゲストがシステム イベント ログにアクセスできなくなります。既定では、すべての Windows 2000 オペレーティング システムでこのポリシーがローカルで無効となります。 推奨事項 : このポリシーをすべてのシステムで "有効" に設定します。
アプリケーション ログを保存する セキュリティ上の目的 : ドメインポリシーでアプリケーションログの保存方法が "指定した日数を過ぎたら上書きする" に設定されている場合、またはスタンドアロンのワークステーションまたはサーバーのアプリケーション ログの [プロパティ] ウィンドウで [イベントを上書きする] オプションが選択されている場合に、アプリケーションログでイベントを保存する日数を決定します。この値は、定期的にログをアーカイブする場合にのみ設定してください。また、アプリケーションログの最大サイズが、次にアーカイブされるまでにイベントを保存できるだけの大きさであることを確認してください。 推奨事項 : 既定の設定 "未定義" のままにします。            
セキュリティ ログを保存する セキュリティ上の目的 : ドメインポリシーでセキュリティ ログの保存方法が "指定した日数を過ぎたら上書きする" に設定されている場合、またはスタンドアロンのワークステーションまたはサーバーのセキュリティ ログの [プロパティ] ウィンドウで [イベントを上書きする] オプションが選択されている場合に、セキュリティログでイベントを保存する日数を決定します。この値は、定期的にログをアーカイブする場合にのみ設定してください。また、セキュリティログの最大サイズが、次にアーカイブされるまでにイベントを保存できるだけの大きさであることを確認してください。 推奨事項 : 既定の設定 "未定義" のままにします。            
システム ログを保存する セキュリティ上の目的 : ドメインポリシーでシステム ログの保存方法が "指定した日数を過ぎたら上書きする" に設定されている場合、またはスタンドアロンのワークステーションまたはサーバーのシステム ログの [プロパティ] ウィンドウで [イベントを上書きする] オプションが選択されている場合に、システムログでイベントを保存する日数を決定します。この値は、定期的にログをアーカイブする場合にのみ設定してください。また、システムログの最大サイズが、次にアーカイブされるまでにイベントを保存できるだけの大きさであることを確認してください。 推奨事項 : 既定の設定 "未定義" のままにします。            
アプリケーション ログの保存方法 セキュリティ上の目的 : 最大サイズに達したアプリケーションログを、オペレーティングシステムがどのように処理するかを決定します。 推奨事項 : "必要に応じてイベントを上書きする" に設定して、最近発生したイベントがログに記録されるようにします。 注 法的証拠またはトラブルシューティングの目的で過去のイベントを残しておく必要がある場合は、ログを定期的にアーカイブすることが不可欠です。必要に応じてイベントを上書きすると、ログには常に最近発生したイベントが保持されますが、これによって過去のデータが失われる可能性があります。
セキュリティ ログの保存方法 セキュリティ上の目的 : 最大サイズに達したセキュリティログを、オペレーティングシステムがどのように処理するかを決定します。 推奨事項 : "必要に応じてイベントを上書きする" に設定して、最近発生したイベントがログに記録されるようにします。 注 法的証拠またはトラブルシューティングの目的で過去のイベントを残しておく必要がある場合は、ログを定期的にアーカイブすることが不可欠です。必要に応じてイベントを上書きすると、ログには常に最近発生したイベントが保持されますが、これによって過去のデータが失われる可能性があります。
システム ログの保存方法 セキュリティ上の目的 : 最大サイズに達したシステムログを、オペレーティングシステムがどのように処理するかを決定します。 推奨事項 : "必要に応じてイベントを上書きする" に設定して、最近発生したイベントがログに記録されるようにします。 注 法的証拠またはトラブルシューティングの目的で過去のイベントを残しておく必要がある場合は、ログを定期的にアーカイブすることが不可欠です。必要に応じてイベントを上書きすると、ログには常に最近発生したイベントが保持されますが、これによって過去のデータが失われる可能性があります。
セキュリティ ログがいっぱいになったときにコンピュータをシャットダウンする セキュリティ上の目的 : セキュリティイベントを記録できなくなった場合にシステムをシャットダウンするかどうかを決定します。このポリシーを有効にすると、セキュリティ監査のログが何らかの理由で記録できなくなった場合にシステムが停止します。一般に、イベントをログに記録できなくなるのは、セキュリティ監査ログがいっぱいになり、かつセキュリティログの保存方法が "イベントを上書きしない" または "指定した日数を過ぎたら上書きする" に指定されている場合です。 推奨事項 : この設定を無効にしておきます。有効にすると、サービス拒否攻撃がきわめて容易になり、アップタイムに大きく影響します。            
[](#mainsection)[ページのトップへ](#mainsection) ### 既定のグループ アカウント ここでは、Windows 2000 オペレーティングシステムの既定のインストールに見られるビルトイングループの既定のグループメンバシップに対して必要な変更および推奨される変更について説明します。これらのビルトイングループには、グループメンバと共に、一連のユーザー権利および特権があらかじめ定義されています。次のように、5 種類のビルトイングループが定義されています。 - **グローバルグループ。** Windows 2000 ドメインが確立されると、Active Directory ストアにビルトイングローバルグループが作成されます。グローバルグループは、ドメイン全体で使用する一般的な種類のユーザーアカウントとグループアカウントをグループ化するために使用されます。Windows 2000 より、グローバルグループにネイティブモードドメイン内の他のグループを収容できるようになりました。 - **ドメインローカルグループ。** ドメインローカルグループは、特にドメインコントローラと Active Directory ストアでタスクを実行するための特権とアクセス許可をユーザーに提供します。ドメインローカルグループはドメイン内でのみ使用されるもので、Active Directory ツリー内の他のドメインにエクスポートすることはできません。 - **ユニバーサルグループ。** ユニバーサルグループは、ネイティブの Windows 2000 ドメインでのみ利用できます。このグループは、フォレスト全体で使用できます。 - **ローカルグループ。** スタンドアロンの Windows 2000 サーバー、メンバサーバー、およびワークステーションには、ローカルグループが組み込まれています。これらのビルトインローカルグループは、グループが属している特定のコンピュータでのみメンバがタスクを実行できるようにします。 - **システムグループ。** システムグループには、変更できる具体的なメンバシップがありません。各グループは、特定のユーザークラスまたはオペレーティングシステムそのものを表すために使用されます。このグループは Windows 2000 オペレーティングシステム内で自動的に作成されますが、グループ管理 GUI には表示されません。このグループは、リソースへのアクセスを制御するためだけに使用されます。 **ドメインのグループ アカウント メンバシップを検討/変更する** 1. ドメイン内のグループアカウントにアクセスするには、ドメインコントローラ上で管理アカウントを使ってログインします。 2. **\[スタート\]** をクリックし、**\[プログラム\]** から **\[管理ツール\]** をポイントして **\[Active Directory ユーザーとコンピュータ\]** をクリックします。 3. コンソールツリーで、目的のドメインノードをダブルクリックします。 4. **\[Builtin\]** および **\[Users\]** コンテナにグループアカウントがあることがわかります。 ![](images/Dd277307.05osin09s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin09(ja-jp,technet.10).gif) **スタンド アロンまたはメンバ コンピュータのグループ アカウント メンバシップを検討/変更する** 1. スタンドアロンまたは個別のドメインメンバコンピュータ内のグループアカウントにアクセスするには、管理アカウントでログインします。 2. **\[スタート\]** をクリックし、**\[プログラム\]** から **\[管理ツール\]** をポイントして **\[コンピュータの管理\]** をクリックします。 3. コンソールツリーで、**\[ローカル ユーザーとグループ\]** をダブルクリックします。 4. **\[グループ\]** コンテナにグループアカウントがあることがわかります。 ![](images/Dd277307.05osin10s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin10(ja-jp,technet.10).gif) **注** 表 4.9 を参考に、グループメンバシップを設定します。この表には、既定のグループが列挙されています。特定のシステムロールに付けられたチェックマークは、グループがそのシステムタイプにとってネイティブであり、そのシステムで管理する必要があることを示しています。 **アカウントのプライマリ グループ メンバシップを変更する** 下の表に示されているグループメンバシップの必要な変更の中には、特定のグループからのアカウントの削除を必要とするものがあります。AppleTalk などの他のネットワークプロトコルとの互換性を保つには、ドメイン内でアカウントにプライマリグループを割り当てる必要があります。したがって、コンピュータがドメインに参加するときに既定で設定されるアカウントのプライマリグループメンバシップを最初に変更する必要があります。**\[Active Directory コンピュータとユーザー\]** GUI でアカウントをそのプライマリグループから削除しようとすると、その操作が拒否され、次のメッセージが表示されます。 ![](images/Dd277307.05osin11s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin11(ja-jp,technet.10).gif) アカウントのプライマリグループを変更するには、次の手順に従ってください。 1. ドメインコントローラ上で管理アカウントを使ってログインします。 2. **\[スタート\]** をクリックし、**\[プログラム\]** から **\[管理ツール\]** をポイントして **\[Active Directory ユーザーとコンピュータ\]** をクリックします。 3. コンソールツリーで、目的のドメインノードをダブルクリックします。 4. **\[Users\]** コンテナにユーザーアカウントがあることがわかります。 5. アカウント名を右クリックし、メニューから **\[プロパティ\]** を選択します。アカウントの **\[プロパティ\]** GUI が表示されます。 6. **\[所属するグループ\]** タブをクリックして、アカウントが属しているグループの一覧を表示します。**\[所属するグループ\]** ウィンドウで任意のグループを選択すると、**\[プライマリグループの設定\]** ボタンがアクティブまたは非アクティブのいずれかの状態になります。プライマリグループとして設定可能なグループの場合は **\[プライマリグループの設定\]** ボタンがアクティブになり、プライマリグループとして設定できないグループ、または既にプライマリグループであるグループの場合はこのボタンが非アクティブになります。 ![](images/Dd277307.05osin12(ja-jp,TechNet.10).gif) 7. アカウントのプライマリグループを変更するには、新たにプライマリグループにするグループを選択し、**\[プライマリグループの設定\]** をクリックします (**\[プライマリグループの設定\]** ボタンがアクティブになっていなければなりません)。**\[プライマリグループの設定\]** ボタンの上で **\[プライマリグループ\]** として表示されていたグループが、新しく選択したグループに変更されます。 8. **\[適用\]**、**\[OK\]** の順にクリックします。 **注 1\[グループポリシー\]** GUI を代わりに使用してグループからアカウントを削除する場合は、アカウントをプライマリグループのない状態にしておいてもかまいません。このアカウントを Posix アプリケーションまたは Macintosh クライアントから使用する必要がない限り、これによる悪影響はありません。 **注 2** 次の表では、SID について何度か触れています。SID とはセキュリティ識別子のことで、特定のユーザーまたはグループを表す値です。たとえば、Anonymous Logon グループは SID S-1-5-7 で表されます。詳細については、Technet (

グループ メンバシップの変更 ドメイン ワークステーション ドメイン ラップトップ ドメイン コントローラ ドメイン サーバー スタンドアロン ワークステーション スタンドアロン サーバー
グローバルおよびユニバーサルグループ 既定のメンバ 変更/確認            
DnsUpdateProxy なし このグループにはアカウントを追加しないでください。          
Domain Admins Administrator このグループには非管理アカウントを追加しないでください。          
Domain Guests Guest このグループにはアカウントを追加しないでください。          
Domain Users Administrator Guest Krbtgt TsInternetUser (新規ユーザーはすべて既定で追加されます) Guest アカウントを削除し、TsInternetUser アカウントを確実に無効にします。 注 : Guest アカウントを削除する前に、そのアカウントのプライマリ グループを Domain Guests に変更します。          
Enterprise Admins Administrator (ドメインコントローラ管理者) このグループには非管理アカウントを追加しないでください。 警告 : このグループには、フォレスト全体のあらゆるコンピュータに対する完全な管理特権が与えられます。どのような状況であっても、このグループのアカウントは、システム管理以外の目的に使用しないでください。          
Group Policy Creator Owner Administrator このグループには非管理アカウントを追加しないでください。          
Schema Admins Administrator このグループには非管理アカウントを追加しないでください。          
ドメインローカルグループ 既定のメンバ 変更/確認            
Account Operators なし このグループは、アカウントの管理のみを実行できる管理者だけに使用してください。このユーザーは、通常の管理者と同様に選別する必要があります。          
Administrators Administrator Domain Admins Enterprise Admins このグループには非管理アカウントを追加しないでください。          
Backup Operators なし このグループには非管理アカウントを追加しないでください。 注 : バックアップオペレータは、システム上のすべてのファイルを、そのファイルのアクセス許可に関係なく読み取ることができます。これらのオペレータはファイルを復元することもできるため、システムのセキュリティと安定性に悪影響を与える可能性があります。          
DnsAdmins なし このグループには非管理アカウントを追加しないでください。          
Guests Guest (ローカル) Domain Guests TsInternetUser このグループは使用しないでください。        
Pre-Windows2000 Compatible Access なし Windows 2000 より前のオペレーティングシステムとの下位互換性を実現します。このグループを使用すると、Active Directory に対するアクセス許可が大幅に緩和されます。既定では、このグループにメンバは含まれていません。ただし、ドメインが "Pre-Windows 2000 互換性モード" で作成された場合は、Everyone グループがこのグループのメンバになり、Everyone にすべての Active Directory オブジェクトへの読み取りアクセス許可が与えられます。これを無効にするには、Pre-Windows 2000 Compatible Access グループから Everyone グループを削除し、すべてのドメインコントローラを再起動します。ただし、これによって下位互換性に影響が生じます。          
Print Operators なし このグループには非管理アカウントを追加しないでください。このユーザーは、カーネルモードドライバをインストールできるため、安定性とセキュリティの両方を脅かす可能性があります。          
Replicator なし このグループには非管理アカウントを追加しないでください。          
Server Operators なし このグループには非管理アカウントを追加しないでください。このグループは、善意のユーザーが管理者である場合に与えかねない損害をできる限り防ぐ目的で設計されています。悪意のあるユーザーがシステムを脅かそうとするのを阻止するために設計されたのではありません。          
Users Authenticated Users Domain Users INTERACTIVE (新規のローカルユーザーはすべて既定で追加されます) 認証されていないアクセスを行う可能性のあるアカウント (Guest など) は、このグループに追加しないでください。          
ローカルグループ 既定のメンバ 変更/確認            
Administrators スタンドアロン : Administrator ドメイン メンバ : Administrator Domain Admins このグループには非管理アカウントを追加しないでください。  
Backup Operators なし このグループには非管理アカウントを追加しないでください。  
Guests スタンドアロンの Professional : Guest スタンドアロンの Server : Guest TsInternetUser ドメイン メンバ : 上記に Domain Guests を追加します このグループは使用しないでください。このグループからは、Guest を含めたすべてのアカウントを削除します。  
Power Users なし このグループの権限は、Server Operators グループと同じです。このグループは、通常のユーザーとして実行されないアプリケーションとの下位互換性のために提供されています。Power Users を使用することで、各組織は、ユーザーを管理者にしなくてもユーザーにこれらのアプリケーションの実行を許可できます。 環境によっては、Power Users が絶対的に必要となります。これを使用しないと、ユーザーを Administrators にしなければならないためです。ただし、Power Users グループを必要としない環境では、グループポリシーでこれを制限されたグループにすることで、そのメンバシップを制御する必要があります。 ユーザーを Power Users グループのメンバにしても、そのユーザーは依然として簡単に Administrator になることができるので注意が必要です。このグループには、善意のユーザーを含めることになっています。悪意のあるユーザーを含めることはできません。このため、その用途を慎重に評価する必要があります。  
Replicator なし このグループには非管理アカウントを追加しないでください。  
Users スタンドアロン : Authenticated Users INTERACTIVE (新規のローカルユーザーはすべて既定で追加されます) ドメイン メンバ : Authenticated Users Domain Users INTERACTIVE (新規のローカルユーザーはすべて既定で追加されます) 認証されていないアクセスを行う可能性のあるアカウント (Guest など) は、このグループに追加しないでください。  
システムグループ 既定のメンバ 変更/確認            
Anonymous Logon 認証されていないすべてのユーザー このグループは、認証を行わない、または認証できないユーザーに対してリソースへのアクセスを許可するために使用されます。一般に、これは望ましい操作ではありません。このため、アプリケーションや使用時のシナリオで必要とならない限り、このグループは使用しないでください。このグループには、リソースへのアクセス許可やユーザー権利を付与しないでください。
Authenticated Users 認証されているすべてのユーザー このグループを Everyone の代わりに使用することで、リソースへの匿名アクセスを防止します。
DIALUP すべてのダイヤルイン ユーザー このグループは、Dialup ユーザーが通常は与えられない特別なアクセス許可を必要とするごくまれなケースで役立ちます。簡素化するには、このグループを使用しない方が簡単です。
SERVICE サービスとして実行されるプロセスはこの SID を取得します。 一般に、このグループを使用して権利を割り当てる必要はありません。
SELF オブジェクトによって表されるセキュリティプリンシパル。 この SID は、ユーザーに対し、Active Directory でそのユーザー自身のオブジェクトを変更する権利を割り当てるために使用します。
NETWORK ネットワーク経由でコンピュータへアクセスするユーザー。 この SID は、主に IIS 用に使用されます。認証された Web アクセス (基本認証以外) を通じてサーバーにアクセスするユーザーは、この SID を取得します。したがって、この SID を使用してこれらのユーザーにリソースへのアクセスを許可することができます。
INTERACTIVE ローカルに、つまりコンソールでコンピュータにアクセスするすべてのユーザー。また、基本認証または認証された FTP と Telnet を使用する Web サーバー経由でコンピュータにアクセスするユーザーも、この SID を取得します。 この SID に対してアクセスを割り当てる場合は、十分に注意してください。これによって、システムへローカルにアクセスできるすべてのユーザーに、これらのリソースへのアクセスが許可されます。また、IIS への匿名アクセスはローカルログオンと見なされることにも留意してください。このため、INTERACTIVE がアクセスできるリソースが IIS VRoot 経由で公開されると、匿名の Web ユーザーがこれらのリソースにアクセスできるようになります。
Everyone ローカルに、またはネットワークか RAS 経由でコンピュータにアクセスするすべてのユーザー。これには、認証されているユーザーと認証されていないユーザーがすべて含まれます。 このアカウントには、リソースへのアクセス許可やユーザー権利を割り当てないでください。必要に応じて、Authenticated Users または特定のユーザーアカウントおよびグループを使用します。 注 : このグループは、システムで認証されないダウンレベルのクライアントをサポートする一部の状況で必要となります。
TERMINAL SERVER USER なし ターミナルサービスのユーザーがシステムに対話的に接続する際に、通常ではそれらのユーザーに与えられないアクセス許可を提供するために使用します。ほとんどの場合、Users グループを使用する方が簡単です。      
[](#mainsection)[ページのトップへ](#mainsection) ### 既定のユーザー アカウント ここでは、Windows 2000 オペレーティングシステムの既定のインストールに見られるビルトインユーザーアカウントに対して必要な変更および推奨される変更について説明します。ビルトインユーザーアカウントには、Administrator、Guest、および TsInternetUser があります。 **ドメインの既定のユーザー アカウントを検討/変更する** ユーザーアカウントを検討または変更して、セキュリティの目標が達成されるようにします。 1. ドメイン内のユーザーアカウントにアクセスするには、ドメインコントローラ上で管理アカウントを使ってログインします。 2. **\[スタート\]** をクリックし、**\[プログラム\]** から **\[管理ツール\]** をポイントして **\[Active Directory ユーザーとコンピュータ\]** をクリックします。 3. コンソールツリーで目的のドメインノードを展開します。 4. **\[Users\]** コンテナにユーザーアカウントがあることがわかります。 ![](images/Dd277307.05osin13s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin13(ja-jp,technet.10).gif) **既定のユーザー アカウントをローカルに検討/変更する** スタンドアロンコンピュータまたは個別のドメインメンバコンピュータ内のユーザーアカウントを検討または変更して、セキュリティの目標が達成されるようにします。 1. **\[スタート\]** をクリックし、**\[プログラム\]** から **\[管理ツール\]** をポイントして **\[コンピュータの管理\]** をクリックします。 2. コンソールツリーで、**\[ローカルユーザーとグループ\]** を展開します。 3. **\[ユーザー\]** コンテナにユーザーアカウントがあることがわかります。 ![](images/Dd277307.05osin14s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin14(ja-jp,technet.10).gif) 表 4.10 を参考にしてユーザーアカウントを変更します。 **表 4.10 既定のユーザーアカウント**

ユーザー アカウントの変更 ドメイン ワークステーション ドメイン ラップトップ ドメイン コントローラ ドメイン サーバー スタンドアロン ワークステーション スタンドアロン サーバー
ローカル ユーザー アカウント 説明 変更/確認            
Administrator コンピュータ/ドメインを管理するためのビルトインアカウント 日常の管理にはこのアカウントを使用しないでください。管理者には、電子メールを読むなどの日常業務に使用するアカウントと、管理業務用のアカウントを割り当てます。セキュリティ上の理由から、電子メール関連の操作には管理用アカウントを使用しないでください。
Guest コンピュータ/ドメインへのゲストアクセスに使用されるビルトインアカウント このアカウントは無効にしてください。
TsInternetUser ターミナルサービスが使用するユーザーアカウント。このアカウントは、ターミナルサービスのインターネットコネクタライセンスが使用するもので、Windows 2000 Server で利用できます。インターネットコネクタライセンスが有効になっている場合、Windows 2000 ベースのサーバーは匿名のみの接続を 200 件まで受け付けます。ターミナルサービスのクライアントは、ログオンダイアログボックスでログオンを要求されるのではなく、TsInternetUser アカウントを使って自動的にログオンされます。 このアカウントは、他の匿名アカウントと同様に扱います。 ドメイン コントローラでは匿名アカウントの使用を許可しないでください。      
[](#mainsection)[ページのトップへ](#mainsection) ### システム サービス 表 4.11 には、セキュリティで保護された Windows 2000 コンピュータ上で有効にする必要があるシステムサービスが列挙されています。 ドメイン内のすべての Windows 2000 プラットフォームまたは Windows 2000 プラットフォームのグループに対してサービスを有効または無効にするには、ドメインセキュリティポリシーを設定します。ドメインコントローラでの設定には、**\[ドメインコントローラセキュリティポリシー\]** インターフェイスを使用します。個々の Windows 2000 プラットフォームでのローカルな設定は、**\[コンピュータの管理\]** インターフェイスまたは **\[ローカルセキュリティポリシー\]** インターフェイスから、あるいは secedit.exe を使ってセキュリティテンプレートを適用することで設定できます。 **ドメイン　コンピュータ上で不要なシステム　サービスを無効にする** ドメイン内で不要なサービスを無効にするようにポリシーを設定します。また、ドメインコントローラに対して不要なサービスを無効にするようにポリシーを設定します。 1. **\[ドメインセキュリティポリシー\]** または **\[ドメインコントローラセキュリティポリシー\]** を適宜開きます。 2. **\[セキュリティの設定\]** を展開して **\[システムサービス\]** をクリックします。 3. 右側のウィンドウ領域で、無効にするサービスを選択します。選択したサービスを右クリックし、**\[セキュリティ\]** を選択します。 4. **\[セキュリティポリシーの設定\]** ダイアログボックスで、**\[このポリシーの設定を定義する\]** チェックボックスをオンにして、**\[無効\]** を選択します。 ![](images/Dd277307.05osin15s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin15(ja-jp,technet.10).gif) 5. **\[OK\]** をクリックします。 **不要なシステム サービスをローカルで無効にする** スタンドアロンまたはワークグループのシナリオで使用されている Windows 2000 Server または Professional オペレーティングシステムで、不要なサービスをローカルで無効にします。 1. **\[コンピュータの管理\]** インターフェイスを開きます。 2. コンソールツリーで、**\[サービスとアプリケーション\]** を展開し、**\[サービス\]** を選択します。 3. 右側のウィンドウ領域で、無効にするサービスを選択します。選択したサービスを右クリックし、**\[プロパティ\]** を選択します。 4. 選択したサービスの **\[プロパティ\]** ダイアログボックスが表示されます。**\[スタートアップの種類\]** ドロップダウンリストから **\[無効\]** を選択します。 ![](images/Dd277307.05osin16s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin16(ja-jp,technet.10).gif) 5. **\[サービスの状態\]** で **\[停止\]** をクリックします。 6. **\[OK\]** をクリックします。 **最低限のシステム サービス** 表 4.11 は、セキュリティで保護された Windows 2000 コンピュータ上で有効にする必要のあるシステムサービスの一覧です。 **表 4.11 セキュリティで保護された Windows 2000 コンピュータで必要とされるサービス**

  • Alerter Service
  • Automatic Updates
  • Background Intelligent Transfer Service
  • COM+ Event System
  • Computer Browser
  • DHCP Client
  • DHCP Server
  • Distributed File System (DFS)
  • Distributed Link Tracking Client
  • Distributed Link Tracking Server
  • DNS Client
  • DNS Server
  • Event Log
  • File Replication Service
  • IIS Admin Service (Web サーバーのみ)
  • Indexing Service (ファイルインデックスの必要なシステムのみ)
  • Intersite Messaging
  • IPSec Policy Agent
  • Kerberos Key Distribution Center
  • License Logging Service
  • Logical Disk Manager
  • Logical Disk Manager Administrative Service
  • Messenger
  • Net Logon
  • Network Connections
  • NTLM Security Support Provider
  • Plug and Play
  • Print Spooler
  • Protected Storage
  • Remote Procedure Call (RPC)
  • Remote Registry Service
  • Removable Storage
  • RunAs Service
  • Security Accounts Manager
  • Server Service
  • System Event Notification
  • Task Scheduler
  • TCP/IP NetBIOS Helper Service
  • Telephony
  • Terminal Services (サーバーのみ)
  • Windows Internet Name Service (WINS)
  • Windows Management Instrumentation
  • Windows Management Instrumentation Driver Extensions
  • Windows Time
  • Workstation
  • World Wide Web Publishing Service、Simple Mail Transport Service、NNTP Service、および FTP Service は、正規の IIS サーバーでのみ有効にしてください。それ以外のコンピュータでは、必ずこれらのサービスを無効にするか、アンインストールしてください。

ページのトップへ

ファイル システムを保護する

Windows 2000 では、アクセス許可の集合とも呼ばれる随意アクセス制御リスト (DACL) を使用してファイルを保護することができます。Service Pack 3 が適用された後の既定のファイルおよびディレクトリのアクセス許可のセットは、ほとんどのアプリケーション環境で妥当な水準のセキュリティを実現します。ただし、一部の DACL をこれらの既定よりも強化することができます。ファイルとディレクトリの既定のアクセス許可は、オペレーティングシステムのインストール時に "setup security.inf" というセキュリティテンプレートファイルを通じて適用されます。このテンプレートファイルは、"そのまま使える既定のセキュリティ設定" を含んでいると説明されています。

セキュリティをさらに強化するには、オペレーティングシステムをインストールし、最新のサービスパックおよびそのサービスパック以降に発行されたすべてのパッチでオペレーティングシステムを更新した直後に、下の表で推奨されているようにファイル、ディレクトリ、またはサブディレクトリのアクセス許可を変更することを検討してください。Windows 2000 の継承機能を使用して、ディレクトリツリーのできるだけ上位でアクセス許可を設定します。これによって、アクセス許可の管理が大幅に簡素化されます。以下で推奨されているアクセス許可の変更は、すべての Windows 2000 オペレーティングシステムに当てはまります。ドメイン内のすべての Windows 2000 プラットフォームまたは Windows 2000 プラットフォームのグループでアクセス許可を実装するには、グループポリシーを使用します。アクセス許可は、ドメインレベルではなく OU レベルで設定する方が適切です。OU なら、特定のセキュリティ要件を持つすべてのコンピュータを含めるように構築するのも簡単です。個々の Windows 2000 コンピュータでのローカルなアクセス許可は、セキュリティ構成エディタのインターフェイスに含まれているテンプレートを使って設定できます。

ドメイン ポリシーによってアクセス許可を設定する

ドメインに対してファイルまたはフォルダのアクセス許可ポリシーを設定します。ドメインコントローラに対してファイルまたはフォルダのアクセス許可ポリシーを設定します。

  1. 適切なグループポリシーオブジェクトを開きます。

  2. [セキュリティの設定] を展開します。

  3. [セキュリティの設定] 内の [ファイルシステム] を右クリックします。

  4. [ファイルの追加] を選択します。

  5. [ファイルまたはフォルダを追加します] ウィンドウから、目的のファイルまたはフォルダまで移動し、それを選択します。

    拡大表示する

  6. [OK] をクリックします。[データベース セキュリティ － <パス\ファイル名>] というラベルの付いたウィンドウが表示されます。

    拡大表示する

  7. 必要に応じてアクセス許可を設定します。ファイルおよびフォルダのアクセス許可の設定は、表 4.12 に示されています。

セキュリティ構成エディタからローカルにアクセス許可を設定する

スタンドアロンシステムで、またはローカルに同じアクセス許可を繰り返し設定するには、セキュリティ構成エディタツールを使うのが最も簡単です。次に示す手順では、新たに追加されたドライブのルートでアクセス許可を定義および設定する方法を示します。

  1. [スタート]、[ファイル名を指定して実行] の順にクリックして「MMC」と入力することで、Microsoft 管理コンソールを開きます。

  2. [コンソール] の [スナップインの追加と削除] をクリックし、[追加] をクリックします。

  3. [セキュリティの構成と分析] および [セキュリティテンプレート] をダブルクリックし、[閉じる] をクリックします。[OK] をクリックします。必要であればコンソールを保存します。

  4. [セキュリティテンプレート] ノードを展開し、[新しいテンプレート] を選択します。新しいテンプレートに判別しやすい名前を付けて保存します。

    拡大表示する

  5. 新しいテンプレートを展開すると、[ファイルシステム] ノードが表示されます。

  6. [ファイルシステム] を右クリックし、[ファイルの追加] を選択します。新しいドライブ (この例では D:) を選択します。

  7. 次の図のように、アクセス許可を設定します。

    拡大表示する

  8. [OK] をクリックしてすべてのダイアログボックスを閉じます。新しいテンプレートを右クリックし、[保存] をクリックします。

  9. [セキュリティの構成と分析] を右クリックし、[データベースを開く] を選択します。

  10. 任意のデータベース名を入力し、[OK] をクリックします。

  11. 既存のデータベースを開く場合は、次のダイアログボックスで必ず [インポートする前にこのデータベースをクリアする] チェックボックスをオンにします。先ほど作成した新しいテンプレートを選択し、[開く] をクリックします。

  12. [セキュリティの構成と分析] を右クリックし、[コンピュータの構成] を選択します。エラーログのパスを選択します (既定のパスでかまいません)。

  13. これで、Windows エクスプローラの標準 ACL エディタでアクセス許可を検証できるようになりました。ただし、これらの ACL は今後のために保存するか、別のシステムに適用することができます。

表 4.12 ファイルとフォルダのアクセス許可の設定

ファイルとフォルダ DACL の設定 継承方法 (セキュリティポリシーツールから設定) ドメイン ワークステーション ドメイン ラップトップ ドメイン コントローラ ドメイン サーバー スタンドアロン ワークステーション スタンドアロン サーバー
%SystemDrive% 注 : Windows 2000 オペレーティングシステムがインストールされているドライブ 注 : これらのアクセス許可は、その他すべての非リムーバブルドライブにも適用する必要があります。 これらのアクセス許可がすべてのドライブのルートに設定されていれば、ユーザーはフォルダ、およびその中のファイルを作成できますが、ユーザー自身が作成していないドライブ上のファイルやフォルダは変更できません。Everyone の使用にも注意してください。システムへの匿名アクセスは制限されているため、Everyone は、Guest アカウントが無効である限り、認証されているユーザーと同等になります。 Administrators : フルコントロール CREATOR OWNER : フルコントロール (サブフォルダとファイル) SYSTEM : フルコントロール Users : 読み取りと実行 (このフォルダ、サブフォルダ、およびファイル) Users : フォルダの作成/データの追加 (このフォルダとサブフォルダ) Users : ファイルの作成/データの書き込み (サブフォルダのみ) Everyone : 読み取りと実行 継承
[](#mainsection)[ページのトップへ](#mainsection) ### 共有フォルダのアクセス許可 ネイティブの Windows 2000 ファイル共有サービスは、SMB ベースのサーバーおよびリダイレクタサービスを使って提供されます。共有を作成できるのは管理者に限られていますが、共有に設定される既定のセキュリティでは Everyone グループにフルコントロールアクセスが許可されます。これらのアクセス許可は、ネットワークで可視になっている共有へのアクセスを可能にします。共有を通して表示されるファイルとサブフォルダへのアクセスは、その基盤のフォルダ (共有のマップ先) に設定されている NTFS アクセス許可によって制御されます。したがって、共有によってマップされるファイルとフォルダには、NTFS アクセス許可を介して適切なセキュリティを適用することをお薦めします。実際に、Everyone に対してフルコントロールを設定するのは、共有自体ではなく、基本のファイルシステムだけでアクセス許可を管理することと同等と見なされます。 [](#mainsection)[ページのトップへ](#mainsection) ### レジストリを保護する このガイドで説明されている標準のセキュリティについての検討事項に加えて、セキュリティ管理者はWindows 2000 レジストリ内の特定のキーの保護を強化することが必要となる場合もあります。既定では、レジストリのさまざまな構成要素に対し、標準レベルのセキュリティを提供しながら作業も可能にする保護が設定されています。レジストリキーの既定のアクセス許可は、オペレーティングシステムのインストール時に "setup security.inf" というセキュリティテンプレートファイルを通じて適用されます。このテンプレートファイルは、"そのまま使える既定のセキュリティ設定" を含んでいると説明されています。 Windows 2000 の既定のレジストリ ACL 設定は、Windows NT 4.0 で確認された既定のレジストリ ACL 設定に関連するセキュリティの問題に対応できるように構成されています。さらに Service Pack 2 以降では、既定の設定に比べてレジストリが部分的に強化されています。このため、表 4.13 で定義されている ACL の変更は、アプリケーションへの影響を最小限に抑え、レジストリ内の機密データの場所を保護する少数の変更に限られています。これらの変更は注意して行う必要があります。少数のテストされていないサードパーティ製アプリケーションが正しく機能しなくなる危険が常にあるためです。推奨されているアクセス許可の変更は、すべての Windows 2000 オペレーティングシステムに当てはまります。ただし、各種プラットフォームでグループの用法が異なるために、クライアント、サーバー、およびドメインコントローラの間でアクセス許可が微妙に異なります。このため、たとえばクライアントのアクセス許可はクライアント以外に割り当てないようにすることが重要です。誤った設定を行うと、システムの機能が低下する可能性があります。ただし、通常は適切なテンプレートを再度割り当てることで誤りを解消できます。 ドメイン内のすべての Windows 2000 プラットフォームまたは Windows 2000 プラットフォームのグループに対してアクセス許可を実装するには、ドメインセキュリティポリシーを設定します。ドメインコントローラでの設定には、**\[ドメインコントローラセキュリティポリシー\]** インターフェイスを使用します。個々の Windows 2000 コンピュータでのローカルなアクセス許可は、Regedt32.exe インターフェイス、またはセキュリティテンプレートと secedit.exe ユーティリティを使って設定できます。 **ドメイン ポリシーによってレジストリのアクセス許可を設定する** ドメインおよびドメインコントローラに対してレジストリのアクセス許可ポリシーを設定します。 1. **\[ドメインセキュリティポリシー\]** または **\[ドメインコントローラセキュリティポリシー\]** を適宜開きます。 2. **\[セキュリティの設定\]** を展開します。 3. **\[セキュリティの設定\]** 内の **\[レジストリ\]** を右クリックします。 4. **\[キーの追加\]** を選択します。 5. **\[レジストリキーの選択\]** ウィンドウで、目的のキーまで移動し、それを選択します。 ![](images/Dd277307.05osin22s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin22(ja-jp,technet.10).gif) 6. **\[OK\]** をクリックします。**\[データベース セキュリティ － <パス>\]** というラベルの付いたウィンドウが表示されます。 ![](images/Dd277307.05osin23s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin23(ja-jp,technet.10).gif) 7. 必要に応じてアクセス許可を設定します。表 4.13 に、必要な DACL の変更が示されています。 **Regedt32.exe からレジストリのアクセス許可を設定する** レジストリのアクセス許可をローカルに設定するには、次の手順に従います。 1. **\[スタート\]**、**\[ファイル名を指定して実行\]** の順にクリックします。 2. 「regedt32」と入力し、**\[OK\]** をクリックして **\[レジストリエディタ\]** (Regedt32.exe) を開きます。 3. 目的のレジストリキーまで移動し、それを選択します。 ![](images/Dd277307.05osin24s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin24(ja-jp,technet.10).gif) 4. **\[セキュリティ\]** メニューの **\[アクセス許可\]** を選択します。**\[… のアクセス許可\]** ダイアログボックスが表示されます。より詳細にアクセス許可を設定するには、**\[詳細\]** をクリックします。 ![](images/Dd277307.05osin25s(ja-jp,TechNet.10).gif) [拡大表示する](https://technet.microsoft.com/ja-jp/dd277307.05osin25(ja-jp,technet.10).gif) 5. 必要に応じてアクセス許可を設定します。表4.13 に、DACL の変更が示されています。 **注** 1. ファイルシステムのアクセス許可と同様に、継承または置換を管理する場合は、**\[詳細\]** ボタンを使用する必要があります。**\[詳細\]** ボタンを使用して、アクセス許可を現在のキーとサブキーに適用することで、アクセス許可を継承することができます。既定では、アクセス許可を現在のキーのみに適用することで、それらのアクセス許可が置換されます。 2. Regedt32.exe の "読み取り制御" ACE は、セキュリティポリシーツールでは "読み取りアクセス許可" と呼ばれます。 3. 下の表の Power Users グループは、ドメインコントローラでは利用できず、ドメインコントローラからリモートの Windows 2000 コンピュータに設定することはできません。ただし、グループポリシーオブジェクトに適用されるセキュリティテンプレートによって、このグループのアクセス許可を設定できます。 **表 4.13 レジストリのアクセス許可に対して必要な変更**

レジストリキー サブキーの DACL 設定 継承方法 ドメイン ワークステーション ドメイン ラップトップ ドメイン コントローラ ドメイン サーバー スタンドアロン ワークステーション スタンドアロン サーバー
\SOFTWARE\Microsoft\Windows NT\CurrentVersion
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
  • TERMINAL SERVER USER :値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
 置換        
\SOFTWARE\Microsoft\Windows NT\CurrentVersion
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
\SOFTWARE\Microsoft\Windows NT\CurrentVersion
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換      
\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
残りの設定では、明示的な DACL を持つ複数のサブキーで既定の DACL をリセットします。これらの設定を行わない場合は、上で行った変更によってこれらの設定が変更されます。                
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 このキーではアクセス許可の置換を許可しないでください。  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\AEDebug
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Accessibility
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\AsrCommands
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
  • Backup Operators : 値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Classes
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Drivers32
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\EFS
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\IniFileMapping
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\FontMapper
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Font Drivers
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Windows
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Time Zones
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Svchost
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Setup\RecoveryConsole
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\SecEdit
  • Users : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Perflib
  • INTERACTIVE : 読み取り。このキーとサブキー。
  • Power Users : 読み取り。このキーとサブキー。
  • Administrators :フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換  
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 このキーではアクセス許可の置換を許可しないでください。          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\AEDebug
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Accessibility
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\AsrCommands
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
  • Backup Operators :値の照会、値の設定、サブキーの作成、サブキーの列挙、通知、削除、読み取りの各アクセス許可。このキーとサブキー。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Classes
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Drivers32
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators :フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\EFS
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators :フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\IniFileMapping
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\FontMapper
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators :フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Font Drivers
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators :フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Windows
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Time Zones
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Svchost
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Setup\RecoveryConsole
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\SecEdit
  • Authenticated Users : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM : フルコントロール。このキーとサブキー。
  • CREATOR OWNER : フルコントロール。サブキーのみ。
 置換          
HKLM\System\Software\Microsoft\Windows NT\CurrentVersion\Perflib
  • INTERACTIVE : 読み取り。このキーとサブキー。
  • Server Operators : 読み取り。このキーとサブキー。
  • Administrators : フルコントロール。このキーとサブキー。
  • SYSTEM :フルコントロール。このキーとサブキー。
  • CREATOR OWNER :フルコントロール。サブキーのみ。
 置換          
[](#mainsection)[ページのトップへ](#mainsection) ### IPSec ポリシー IPSec セキュリティサービスを構成するには、アプリケーションプログラミングインターフェイス (API) ではなく、IPSec ポリシーを使用します。このポリシーは、ほとんどの既存ネットワークのほとんどの種類のトラフィックに対して、さまざまなレベルの保護を提供します。IPSec ポリシーを構成して、ユーザー、グループ、アプリケーション、ドメイン、サイト、またはグローバル企業のセキュリティ要件を満たすことができます。Microsoft Windows 2000 には、IPSec ポリシー管理と呼ばれる管理インターフェイスが用意されています。これを使用して、Active Directory レベルであらゆるドメインメンバに対して、またはローカルコンピュータで非ドメインメンバに対して、コンピュータの IPSec ポリシーを定義できます。 IPSec ポリシーは、Active Directory で作成されるコンピュータ、ドメイン、サイト、または任意の組織単位に適用できます。IPSec ポリシーは、セキュリティで保護された操作に関する組織のガイドラインに基づいている必要があります。**ルール**と呼ばれるセキュリティ操作を使用することで、1 つのポリシーをコンピュータの異種セキュリティグループまたは組織単位に割り当てることができます。 IPSec ポリシーの管理は複雑なトピックであり、このガイドの範囲を越えています。IPSec ポリシーは Windows 2000 システムの保護においてきわめて有用であるため、IPSec の使用について具体的に説明した[ドキュメント](https://www.microsoft.com/japan/technet/security/guidance/architectureanddesign/ipsec/default.mspx)を参照することをお薦めします。 [](#mainsection)[ページのトップへ](#mainsection) ### 暗号化ファイル システム Windows 2000 オペレーティングシステムには、その暗号化ファイルシステム (EFS : Encrypting File System) を使用して NTFS ボリューム上のファイルとフォルダを暗号化する機能がネイティブに備わっています。EFS は、秘密鍵暗号メカニズムを使用して、ネットワーク上でデータを暗号化された形式で格納します。EFS はファイルシステムドライバとして実行され、対称鍵暗号と秘密鍵暗号の両方を使用してファイルを保護します。 IPSec と同様に、EFS の管理もこのガイドの範囲を越えたトピックです。EFS の使い方は比較的簡単ですが、この機能から最大限のセキュリティ上の利点を得るには、追加の構成が必要です。詳細については、次の情報を参照してください。 - 暗号化ファイル システムの最善の使用方法 [https://support.microsoft.com/default.aspx?scid=kb;ja;223316](https://support.microsoft.com/kb/223316) - Encrypting File System white paper (英語)