セキュリティ入門

  • [アーティクル]

管理権限のセキュリティに関する考慮事項

最終更新日: 2000年11月15

トピック

このホワイトペーパーの趣旨
はじめに
一般的な考慮事項
オペレーティング システムのセキュリティ
通信上のセキュリティ
公開鍵基盤
アプリケーションのセキュリティ
セキュリティ管理

このホワイトペーパーの趣旨

管理権限のセキュリティに関する責任事項についてすべてを 1 つの資料だけで詳細に説明することは不可能ですので、このホワイトペーパーではセキュリティに関する問題の概要を説明します。

このホワイトペーパー全体を通して、次に示す 2 つの点を念頭においてください。

  • セキュリティ ソリューションは、セキュリティの確保と使い勝手の折衷によって実装されるものです。一般に、使い勝手を優先させることはセキュリティの低下または欠如を意味し、逆に高いセキュリティを優先させた場合は使い勝手が悪くなります。セキュリティ構築には、セキュリティと使い勝手のバランスを適切に保つことが大きな課題となります。

  • セキュリティは組織内の全員の責任です。安全な IT 環境を構築する責任は、組織のネットワーク管理者だけの問題ではありません。組織内のすべての人が、組織のセキュリティ ポリシーの遵守と実現に対して責任を持っています。

ページのトップへ

はじめに

このホワイトペーパーで議論されているセキュリティ ソリューションを実装することによって、次に示すセキュリティ サービスを提供または支援することができます。

  • 機密性。 このセキュリティ サービスにより、認可されていない情報の漏洩が防止されます。

  • 認証。 このセキュリティ サービスにより、データの出所とユーザーの身元が保証されます。

  • 可用性。 このセキュリティ サービスにより、データやシステムが外的な阻害要因に関係なく常時利用できることが保証されます。

  • 整合性。 このセキュリティ サービスにより、情報の改ざんができなくなること、あるいは少なくとも改ざんされた事実を発見できることが保証されます。

各種のさまざまなセキュリティ ソリューションは、次の分野に分類できます。各分野についてこのホワイトペーパーで説明します。

  • 一般的な考慮事項

  • オペレーティング システムのセキュリティ

  • 通信上のセキュリティ

  • アプリケーションのセキュリティ

  • 公開鍵基盤

  • セキュリティ管理

一般的な考慮事項

ここでは、後述するオペレーティング システムのセキュリティ、通信上のセキュリティ、アプリケーションのセキュリティ、公開鍵基盤、およびセキュリティ管理などほかのすべての分野に影響を与える、セキュリティに関する以下の重要な項目について説明します。

  • セキュリティ ポリシー

  • 侵入検知

  • セキュリティ阻害時アクションプラン

OS のセキュリティ

オペレーティング システムのセキュリティに関する議論では、OS カーネルの一部として実装されるすべてのセキュリティ サービスを対象とします。OS のセキュリティは次のコア サービスを基本とします。

  • 認証

  • 認可

  • 監査

通信上のセキュリティ

通信上のセキュリティでは、情報が通信経路を伝送中に行うセキュリティ (認証性、機密性、整合性など) について説明します。以下のように分類できます。

  • リモート アクセス セキュリティ

  • 仮想プライベート ネットワーキング

  • ファイアウォール アーキテクチャ

公開鍵基盤

将来、システム管理者は自身の IT 環境の基盤となっている公開鍵基盤の影響について議論する必要があると思われます。公開鍵基盤 (PKI) はさまざまな種類のアプリケーションに対して強力なセキュリティ サービスを提供できることから、セキュリティ インフラの中心的存在、つまり、欠くことのできない重要な分野になると予想されます。

アプリケーションのセキュリティ

アプリケーションのセキュリティでは、アプリケーションに特有のセキュリティ問題について説明します。PKI 対応アプリケーションについても説明します。

セキュリティ管理

ここでは一般的な管理手法と Windowsｮ のセキュリティ管理ツールについて説明します。

ページのトップへ

一般的な考慮事項

ここでは、後述するほかのすべての分野に影響を与えるセキュリティに関する一般的な項目について説明します。セキュリティ ポリシー、侵入検知システム (IDS)、およびセキュリティ阻害時アクションプランまたは業務継続計画、という各項目について議論します。

セキュリティ ポリシー

セキュリティ システムまたはセキュリティ ソリューションにおいても最も重要な要素がセキュリティ ポリシーです。セキュリティ ポリシーはインフォメーション テクノロジー (IT) とは直接関係がないため、しばしば技術要員によって見落とされがちです。

セキュリティ ポリシーとは、組織の IT リソースのために確保できるセキュリティとできないものについての概要を示す文書のことです。システム部門と業務部門の管理者が作成します。

セキュリティ ポリシーを定義する際は、次の 2 とおりの手法が試みられます。

  • 禁止的手法。明示的に許可されないことをすべて禁止する。

  • 制限的手法。明示的に禁止されないことをすべて許可する。

自組織のセキュリティ ポリシーを作成する際、セキュリティ ポリシーの作成は複雑なため、多くの企業外部の専門家に作成を依頼します。IT セキュリティ ポリシーの一例がオーストラリアのパースにある Murdoch University 社 の Web サイトで公開されています。

侵入検知

侵入検知システム (IDS) の目的は、ハッカーによる自組織の IT インフラへの不正侵入と 社内の正規ユーザーによる IT リソースの誤用を検知することです。多くの企業では、社内の正規ユーザーによる IT インフラの意図的な悪用や、意図せずに行う誤用に対して注意を怠りがちです。最近の FBI によるコンピュータ犯罪調査によれば、不正侵入のおよそ 60% が正規ユーザーによって行われています。

侵入とは、自組織の IT リソースに対して、その機密性、整合性、可用性、または認証性を阻害しようとするあらゆる試みであると定義できます。

侵入検知ツールは監査ツールと分析ツールの 2 つに分類できます。監査ツールは、組織の IT リソースの悪用を検知し、分析ツールは通常のシステム利用とは異なるパターンを検出します。監査追跡の分析も分析ツールの役割の 1 つです。

高性能の IDS は高度な可用性、つまり高いフォールト トレランス性 (障害対応能力) を備えています。コンピュータ システム上のパフォーマンスに影響を与えない完全に透過的な方法で稼動します。

一般的な IDS 製品とベンダー

会社名 製品名 Web ページ
AXENT Technologies Omniguard https://www.axent.com
Cisco Systems Cisco Secure IDS https://www.cisco.com
Internet Security Systems RealSecure https://www.iss.net
RSA security Kane Security Analyst https://www.rsa.com
Cybersafe Centrax https://www.cybersafe.com
**セキュリティ阻害時アクションプランおよび業務継続計画** セキュリティ ポリシーのほかにも、セキュリティ阻害時アクションプランと業務継続計画の 2 つの文書は重要です。2 つの文書は密接に関連しており、ほとんどの企業では 1 つの文書にまとめています。これらの文書は、組織の IT リソースの一部のセキュリティが攻撃されたときに何をなすべきかが記述されており、以下のような場合に備えた対処方法が記載されています。 - 組織の Web サイトがハッカーによる侵入を受けた後の対処方法 - クリティカルな Windows 2000 ドメイン コントローラの 1 つで深刻なハードウェア障害が発生した後の対処方法 - 従業員が組織のデータを盗み出し、それらを競争企業などに流した場合の対処方法 - 火災や洪水などの大きな災害の発生後の組織の IT インフラへの対処方法 [](#mainsection)[ページのトップへ](#mainsection) ### オペレーティング システムのセキュリティ **認証** 認証とは、"システムが誰と交信しているのか?"、または相互認証の場合には "どのシステムがユーザーと交信しているのか?"、という質問に答えるものです。 管理権限における認証関連の作業にはたとえば次のようなものがあります。 - Windows 2000 で利用可能な認証プロトコルとその利点と欠点を評価します。 Windows 2000 が従来のクライアントのログオンやリソース要求を認証する方法は? Windows 2000 の認証プロトコルについては次の段落で説明します。 - 資格証明 (ユーザー ID とパスワード) の内容 (組織のパスワード ポリシー、認証資格証明の保存方法、それらの認証資格証明の管理および更新の方法) の評価を行います。 - 現在の認証方法が Windows 2000 の認証プロトコルと相互運用が可能かどうかを評価します (たとえば、Kerberos、NTLM、DPA、Secure Channel など)。 - 組織の IT 環境においてシングル サインオンが必要かどうかについて評価します。組織には、さまざまなオペレーティング システム (NetWare、OS/2、UNIX、PathWorks、AS/400、Linux) と、それらに関連する認証方法やプロトコルが使われていることに考慮する必要があります。また、イントラネット (LAN)、エクストラネット、およびインターネット認証など、認証のさまざまな適用範囲についても考慮する必要があります。特にブラウザのセキュリティには注意を払ってください。 **認証プロトコル** **Windows 2000 で利用可能な各種認証プロトコルおよび利点と欠点**

認証プロトコル 利点と欠点
NTLM 利点
管理コストが少ない
チャレンジ アンド レスポンス方式
Windows 95、98、2000、および NT4 でサポートされている 欠点
ファイアウォール経由の認証に使用できない
パススルー認証が必要
委任転送をサポートしていない
オンライン上に暗号鍵の配布センター (DC) が必要となる
対象キー暗号方式
Microsoftｮ 専用のプロトコルである
Kerberos 利点
ファイアウォール経由の認証に使用できる
委任転送をサポートしている
相互認証をサポートしている
オープンな規格管理
コストが少ない 欠点
オンライン上の暗号鍵の配布センター (DC) が必要
対象キー暗号方式
Windows 2000 でしかサポートされていない
Kerberos PKINIT 利点
非対称キー暗号方式
資格証明の安全な保管場所 (スマート カード) をサポートしている
オープンな規格
相互認証 欠点
追加のハードウェアの配置が必要
管理コストの増大 (スマート カードの保守)
電子証明書ベースの認証 (SSL-TLS) 利点
スケーラビリティがある
非対称キー暗号化方式
相互認証が可能である
ファイアウォール経由の認証に使用できる 欠点
管理コストの増大 (電子証明書の管理)
ダイジェスト認証 利点
ファイアウォール経由の認証に使用できる
ダイジェスト機能に基づく
オープンな規格 欠点
現時点ではサポートが限定されている (サポートしている製品は最新の Microsoft 製品のみ)
基本認証 利点
セットアップが簡単である
ファイアウォール経由の認証に使用できる 欠点
資格証明が保護されない

認証の適用範囲

異なる適用範囲で利用可能な認証方法 : イントラネット、エクストラネット、インターネット

認証の適用範囲 利用可能な認証方法
イントラネット (LAN) Kerberos-Kerberos PKINIT
エクストラネット (MAN-WAN) SSL-TLS、ダイジェスト、基本認証、匿名
インターネット (WAN) SSL-TLS、ダイジェスト、基本認証、匿名
**SSO (シングル サインオン)** Windows 2000 環境でシングル サインオンを実現するには Kerberos と PKI の 2 つの認証テクノロジーが検討できます。 現時点では、成熟したシングル サインオン ソリューションとして判断できるのは Kerberos に限られます。さまざまなベンダーから提供されている Kerberos を各種のプラットフォームで利用できます。PKI についても同様のことがいえますが、各種オペレーティング システム用のシングル サインオンの完全なソリューションとしてはまだ広く認知されていませんが、アプリケーション用の SSO ソリューションとしては受け容れられています。Shym および [Diversinet](https://www.dvnet.com) の 2 社から提供されている製品は、SSO の分野において検討に価する PKI 関連製品です。PKI についてはこのホワイトペーパーで詳しく説明します。 **認証/アクセス制御** 認証は、ユーザーがコンピュータ システム上で利用できるリソースにアクセスできるかどうか、そしてユーザーがそれらのリソースにアクセスする方法を解決する必要があります。リソースは、ファイルやプリンタ、モデムなどさまざまなものです。認証について考慮するにあたって、管理権限において次のようなセキュリティ関連の作業が発生します。 - アクセス制御設定について評価する。 - 企業のリソース管理の方法 (集中化か分散化か) を評価する。 - 前の項目に関連して、管理の委譲を設定するのか、またはその必要性について評価します。Windows 2000 には管理委譲のための拡張サポートがあります。 - 承認に必要なデータの管理およびバックアップ方法を評価します。 - 多くの組織では複数のオペレーティング システムを使用しているため、アクセス制御設定の相互運用性を評価する必要があります。たとえば、Windows 2000 と Netware 間、あるいは Windows 2000 と SAMBA 間のアクセス制御の相互運用性についてなどです。 最近では、属性証明書がアクセス制御におけるトレンドとなっています。これらはアクセス制御に使われる、有効期限の短い証明書です。PKI の展開を検討している企業では、属性証明書の導入も合わせて検討したほうがよい場合もあります。 **監査** 監査の目的は、コンピュータ システム上で発生するセキュリティ関連の情報をすべて収集することです。監査によってコンピュータ システムの正当なまたは不正な使用状況を分析できます。監査について考慮するにあたって、管理権限において次のようなセキュリティ関連の作業が発生します。 - 監査の実装方法を評価します。アクセス制御と同様なものにするのか、 集中化させるか分散化させるかなどを評価します。 - 監査を集中化方式で実装する場合は、ログと監査情報を統合するための手段を確認しておく必要があります。 - 監査目的に利用できるさまざまなソリューションやテクノロジーを評価します。 Windows 2000 には、イベント ビューアとセキュリティの設定と分析 (SCA) ツールという、2 つの独創的な OS 監査ツールが付属しています。また、ほかのソフトウェア ベンダーの高性能な OS 監査ツールも利用できます。 [](#mainsection)[ページのトップへ](#mainsection) ### 通信上のセキュリティ **RAS のセキュリティ** リモート アクセス セキュリティ (RAS) により、ユーザーは電話接続、従来型電話網回線、または ISDN 回線を使用して安全な方法で企業のドメインにあるリソースにアクセスできます。RAS について考慮するにあたって、管理権限において次のようなセキュリティ関連の作業が発生します。 - RAS セキュリティ ソリューションの設計においては、RAS の実装方法についての十分な知識が必要です。製品、プロバイダ、管理者について十分な評価を行ってから決めます。 - RADIUS や TACACS などの特殊化されたトリプル A (認証、認可、監査) RAS セキュリティ プロトコルの使用について評価します。 - ファイアウォール、コンテンツ チェック ソフトウェア、仮想プライベート ネットワーク ソリューション、認証システム、認可システムなどのほかのセキュリティ要素とRAS セキュリティ との相互作用について評価します。 **仮想プライベート ネットワーキング** 仮想プライベート ネットワーク (VPN) を使うと、インターネットなどの信頼性のない通信経路を介した通信が保証されます。仮想プライベート ネットワーキングについて考慮するにあたって、管理権限において次のようなセキュリティ関連の作業が発生します。 - VPN を実装する理由を評価します。 - 通信コストの軽減 - 高度なセキュリティ - VPN ソリューションを実装すべき個所を決定します。 - VPN における主なセキュリティ要件を決定します。データの機密性、単にデータの暗号化だけ、またはエンティティ認証だけなのか、あるいはどちらの要件も満たすようにするかなどを決めます。 - VPN のさまざまな設計方法を評価します。 自発的なあるいは強制的なトンネリング ゲートウェイとトンネリング VPN の比較 ダイヤルアップ、サイト ツー サイトと安全なイントラネットの比較 - さまざまな VPN プロトコルの機能や特長を評価します。各種のソリューションについて以下を検討します。 - トンネリング プロトコル (IPSec など) - キャリア プロトコル (IP など) - パッセンジャー プロトコル (TCP など) - カプセル化プロトコル (ESP、AH など) - 導入できる Microsoft 製品またはサードパーティ製品を決める。 - VPN ソリューションの管理方法を評価します。 - ファイアウォール、コンテンツ チェック ソフトウェア、リモート アクセス セキュリティ ソリューション、認証システム、認可システム、監査システムなどのほかのセキュリティ要素と VPN セキュリティ アーキテクチャとの相互作用について評価します。 **ファイアウォール アーキテクチャ** ファイアウォールは、信頼性のあるネットワークと信頼性のないネットワークとの間の通信を安全にします。ファイアウォール アーキテクチャについて考慮するにあたって、管理権限において次のようなセキュリティ関連の作業が発生します。 - ファイアウォール ソリューションを実装する場所、たとえば企業内のイントラネット内、またはイントラネットとインターネット間なのかを決定する。 実装するファイアウォールの種類を決定する。 - パケット フィルタリング - アプリケーション ゲートウェイ (プロキシ サーバー) - マルチ ソリューション - ファイアウォール ポリシーの定義方法を評価します。最も重要なポリシー ルールを決定します。 - 使用するファイアウォール アーキテクチャを評価します。緩衝地帯 (DMZ) を設けるか、どのサーバーを DMZ に設置するか、 DMZ へのエントリ ポイントを防護するファイアウォールの種類などを決定します。 - VPN、リモート アクセス セキュリティ ソリューション、コンテンツ チェック ソフトウェア、認証システム、認可システム、監査システムなどのほかのセキュリティ要素とファイアウォール アーキテクチャとの相互作用について評価します。 - 導入するファイアウォール製品を決定します。 - ファイアウォール ソリューションの管理者と管理方法を決定する。 - Windows 2000 の実行環境でのファイアウォール アーキテクチャとファイアウォール ポリシーへの影響を評価します。 [](#mainsection)[ページのトップへ](#mainsection) ### 公開鍵基盤 公開鍵基盤のための計画により、次のようなセキュリティ関連の作業が管理権限に対して発生します。 - 認証局 (CA) を設置する場所 - CA を Active Directory に統合するか ? - PKI の信頼関係をどのように構成するか ? - CA 階層をどのように構築するか ? - 階層間での相互認定がどこで必要か ? - 異なる CA ソフトウェアを使用する CA どうしで信頼関係があるか ? - PKI 管理作業の一部または全部を内部で処理するか、または外部に委託して処理するか ? - Microsoft Certificate Server 製品を使用するか、または Entrust、Verisign、ID2、Baltimore、Utimaco などのサードパーティ製品を使用するのか ? 次のどのアプリケーションで公開鍵基盤を使用するのか ? - S/MIME (保護された Exchange またはインターネット メール) - 保護された Web アプリケーション (SSL、TLS) - コード署名アプリケーション (Authenticode) - スマートカード ログオン - IPSec (トンネリング プロトコル) - 暗号化ファイル システム (NTFSv5) - PKI をどのように管理するか ? - PKI とほかの PKI 製品とをどのように相互運用できるのか ? - PKI ソリューションが PKI の規格 (PKINIT、PKCS、RFC 2459) に準拠しているか ? - PKI と Kerberos がどのように連携動作するのか ? [](#mainsection)[ページのトップへ](#mainsection) ### アプリケーションのセキュリティ **アプリケーションのセキュリティに関する一般的な考慮事項** ここでは、管理権限において組織の中心的なアプリケーションのセキュリティ設定を確認し、個々のアプリケーションのコードやリソースへのアクセスがどのように定義されているのかを特定します。調査すべき点は以下のとおりです。 - どのような認証機構があり、どれを使用できるのか ? - アプリケーションのコードやリソースへのアクセスはどのように定義されているのか ? **PKI 対応アプリケーション** アプリケーションのセキュリティには次のような PKI 対応アプリケーションのための計画も含まれます。 - スマートカード ログオン - EFS - S/MIME - セキュア チャネルなど [](#mainsection)[ページのトップへ](#mainsection) ### セキュリティ管理 管理モデルについて検討するときは、業務の構造、地理的な場所 (サイト)、ヘルプ デスクや運営スタッフの配置、および既存のセキュリティ モデルといった、企業内のさまざまな側面についての調査を行う必要があります。セキュリティ管理を組織化する方法を中心に検討します。 - セキュリティ管理を集中化するか、それとも分散化するか ? - どの管理ツールが使用できるか ? Windows 2000 ツールを使うか、サードパーティ製ツールを使うかを検討します。 #### 集中化と分散化の比較 管理モデルを決定する場合は、サポート、運営、管理の各業務についての概要を把握しておくことが重要です。地理的な要件や、管理権限、管理者の役割 (アカウント オペレータ、バックアップ オペレータおよびその他のオペレータなど) の委任レベルなどが含まれます。組織全体を 1 の中央のグループで管理するか、あるいは企業の個々の部門が独自のインフラを持つかどうかを決めます。また、それぞれのグループの技術者の Microsoft Windows 2000 テクノロジーの習熟度についても調べます。具体的には次のようなことがらを検討します。 - 必要となる管理者の役割をすべて列挙する。 - 企業が管理権限をローカル管理者に委任するかどうかを決める。 - 管理レベル (中央、地域、ローカル) の数を決定する。 **管理ツール** どのツール (OS 標準のツールおよびサードパーティ製ツール) を使用して既存の環境を管理するのかを決めます。個々のツールの機能を理解し、似たような機能が Windows 2000 のツールで利用できるかどうか調べます。 次の表は、Windows 2000 リソース キットに付属している Windows 2000 セキュリティ管理ツールの概要を示したものです。ここでは Microsoft のセキュリティ管理ツールだけでなく、サードパーティ製のツールについてもいくつか紹介しています。

Microsoft のセキュリティ管理ツール
OS のセキュリティ : 認証  
Kerbtray Kerberos Tray は、Kerberos プロトコルが動作しているコンピュータのチケット情報を表示する GUI ツールです。
Klist Kerberos List は、現在のログオン セッションに許可されている Kerberos チケットの表示と削除を可能にするコマンドライン ツールです。このツールでチケットを表示するには、使用している Windows 2000 コンピュータが Windows 2000 ドメインに参加している必要があります。
Dommon Domain Monitor は、ドメイン内のサーバーのステータスと、ドメイン コントローラへのセキュア チャネルのステータス、および信頼されるドメイン内のドメイン コントローラへのセキュア チャネルのステータスを、それぞれ監視します。Domain Monitor では、ドメイン コントローラの名前や、信頼されるドメインの一覧のほか、各種のステータス エラーが表示されます。
Getsid GetSID は、2 つのアカウントのユーザー セキュリティ ID (SID) を比較します。ユーザー データベースが損傷している可能性があるときに、このツールを使用してプライマリ ドメイン コントローラとバックアップ ドメイン コントローラのアカウント SID を比較できます。
Setspn このコマンドライン ツールを使用すると、Active Directory ディレクトリ サービス アカウントのサービス プリンシパル名 (SPN) ディレクトリのプロパティを管理できます。SPN はサービスを実行するための対象となるプリンシパル名を探すために使用します。SetSpn では、現在の SPN の表示、ホスト SPN のリセット、補足 SPN の追加と削除ができます。
OS のセキュリティ : アクセス制御  
Appsec Application Security ツールは、マルチユーザー環境において、ネットワーク上のアプリケーションへの一般ユーザーのアクセスを制限するために使用する管理用の GUI ベースのアプリケーションです。このツールを使用してアプリケーションのセキュリティを有効にすると、一般ユーザーが許可されていないプログラムを実行しようとした場合に、システムにより実行が拒否されます。
Showpriv ShowPriv は、特定の権限が許可されているユーザーまたはグループを表示するコマンドライン ツールです。このツールは対象コンピュータ上でローカルに実行するか、またはドメイン権限を持つユーザーやグループを表示するためにドメイン コントローラ上で実行する必要があります。
Svcacls このコマンドライン ツールはサービス オブジェクトに関するアクセス制御リスト (ACL) を設定するもので、管理者がサービスの制御権の委譲できるようになります。
Enumprop このコマンドライン ツールは、任意のディレクトリ サービス オブジェクトに関するすべてのプロパティ セットをダンプ出力します。EnumProp を使用すると、オブジェクトのセキュリティ記述子を表示したり、オブジェクトの指定された属性セットだけを一覧表示したりすることが可能です。
Global このコマンドライン ツールは、リモート サーバー上またはドメイン上のグローバル グループのメンバーを表示します。
Grpcpy この GUI ベースのツールを使用すると、ユーザーは既存のグループ内のユーザー名を、同じドメインまたは別のドメインにコピーしたり、Microsoft Windows 2000 が稼動しているコンピュータ上にコピーできます。
Local このコマンドライン ツールは、リモート サーバー上またはドメイン上のローカル グループのメンバーを表示します。
ntrights このコマンドライン ツールを使用すると、ローカルまたはリモートのコンピュータ上のユーザーまたはユーザー グループに対して、任意の Windows 2000 権限の許可または取り消しができます。また、変更を示しているコンピュータのイベント ログにエントリを置くこともできます。
permcopy このコマンドライン ツールは、ある共有から別の共有に対して、共有レベル (フル コントロール、読み取り、変更) およびファイル レベル (フル コントロール、変更、読み取りと実行、読み取り、書き込み、ディレクトリの往来) の各権限 (ACL) をコピーできます。
perms Perms は、指定したファイルやファイル セットに対するユーザーのアクセス許可を表示します。
showacls このコマンドライン ツールは、ファイル、フォルダ、およびツリーに対するアクセス権を列挙します。特定の ACL だけを列挙するマスク処理も可能です。
showgrps このコマンドライン ツールは、ユーザーが所属しているグループを表示します。指定したネットワーク ドメインの内部にあるグループも表示します。
subinacl このコマンドライン ツールを使用すると、管理者はファイル、レジストリ キー、およびサービスに関するセキュリティ情報を取得し、それらの情報をユーザーからユーザーへ、ローカル グループまたはグローバル グループからグループへ、あるいはドメインからドメインへ転送できます。
showmbrs このコマンドライン ツールは、指定したグループのメンバーのユーザー名を表示します。指定したネットワーク ドメインの内部にあるグループのメンバーのユーザー名も表示します。
Usrtogrp このコマンドライン ツールは、ユーザー指定の入力テキスト ファイルに記述されている情報に従って、ユーザーをローカル グループやグローバル グループに追加します。
xcacls このツールを使用すると、Windows のエクスプローラからアクセスできるファイル システム関連のすべてのセキュリティ オプションを、コマンド ラインから設定できます。XcAcls は、ファイルのアクセス制御リスト (ACL) を表示および変更することでこの操作を実現します。
OS のセキュリティ : 監査  
Auditpol AuditPol は、ユーザーがローカル コンピュータまたは任意のリモート コンピュータの監査ポリシーを変更できるようにする、コマンドライン ツールです。AuditPol を実行するには、ユーザーは対象となるコンピュータ上で管理者権限が必要です。
Dumpel Dump Event Log は、ローカル システムまたはリモート システムのイベント ログを、タブで区切られたテキスト ファイルにダンプ出力するコマンドライン ツールです。このツールは特定のイベント種別を選択または除外する場合にも使用できます。
Logevent このツールを使用すると、ローカル コンピュータまたはリモート コンピュータのどちらかのイベント ログに対して、コマンド プロンプトまたはバッチ ファイルからエントリを作成できます。
通信上のセキュリティ  
Iasparse このコマンドライン ツールは、インターネット認証サービス (IAS) とリモート アクセス サーバー ログを解析し、それらを判読可能な形式に変換します。これらのサービスによって生成されるログ ファイルはどちらも非常にわかりずらく、一般のユーザーが理解するのは困難です。
ipsecpol このコマンドライン ツールは、ディレクトリ サービス内、あるいはローカルまたはリモートのレジストリ内の IPSec (Internet Protocol Security) のポリシーを設定します。このツールは Microsoft 管理コンソール (MMC) スナップインをもとに設計されており、このスナップインが行う動作をすべて実行します。
公開鍵基盤  
Dsstore このツールは企業の公開鍵基盤の統合の管理を支援するもので、展開のシナリオのいくつかに必須の機能を備えています。
Efsinfo このコマンドライン ツールは、NTFS パーティション上の暗号化ファイル システム (EFS) を使用して暗号化されたファイルやフォルダに関する情報を表示します。
サードパーティ製ツール  
System Scanner System Scanner for Windows は、Microsoft Windows 2000、Microsoft Windows NT Version 4.0、Microsoft Windows 95、および Microsoft Windows 98 に対応したセキュリティ査定ソリューションです。
CyberSafe Log Analyst CyberSafe Log Analyst は Microsoft Windows 2000 セキュリティ イベント ログの分析ツールです。このツールは Windows 2000 で使用される Microsoft 管理コンソール (MMC) へのスナップインとして設計されており、Windows 2000 から生成されるセキュリティ イベント ログの整理や解析を支援し、より効果的でシステムワイドなユーザー活動の分析を行います。
Tru Access manager Lite TRU Access Manager Lite は、Telco Research により開発された総合的なネットワーク アカウント処理アプリケーションで、ユーザーやワークグループによるネットワークの使用状況についてそれらを追跡して報告できます。
Microsoft Corporation. All rights reserved. この文書に記載されている情報は、発行時における Microsoft Corporation の見解を表したものです。Microsoft は変化する市場の状況に対応する必要があるため、この文書は Microsoft の約束事項として解釈すべきではなく、Microsoft はこの文書の発行日以降に公開されるいかなる情報の精度について、一切責任を負いません。 本書は、情報の通知のみを目的としており、Microsoft は本書に記載されている情報について明示的にも暗黙的にも一切の保証を致しません。 Microsoft は、米国およびその他の国における Microsoft Corporation の登録商標または商標です。 [](#mainsection)[ページのトップへ](#mainsection) ##### 目次 - [エンド システムのセキュリティに関する考慮事項](https://technet.microsoft.com/ja-jp/library/1f44a045-e307-4ed0-832a-8efcebba657c(v=TechNet.10)) - [セキュリティ要素構成アーキテクチャ](https://technet.microsoft.com/ja-jp/library/540a3b86-f8f0-49ca-939e-ab7c609c3601(v=TechNet.10)) - 管理権限のセキュリティに関する考慮事項 [](#mainsection)[ページのトップへ](#mainsection)