Windows 2000 セキュリティ強化ガイド
最終更新日: 2004年1月20日
ここで提供するセキュリティチェックリストは、システムを評価する際に、構成変更がすべて行われていることを確認するために使用できます。
オペレーティング システムの構成
OS のバージョン :.gif) Windows 2000 Professional Windows 2000 Server Windows 2000 Advanced Server Windows 2000 Datacenter ServerService Pack レベル : ネットワーク メンバシップ : ワーク グループ 名前 : ___________ ドメイン 名前 : ___________インストールの日付 : ___________________ |
ドメイン コントローラ |
| その他の Service Pack レベル : ________ Service Pack 後の修正プログラム : _______________________________ _______________________________ _______________________________ |
| 完了済および検証済 | Windows 2000 セキュリティ構成チェックリスト (このチェックリストは、特定のシステムでの設定を追跡するために使用してください。) |
|---|---|
|
|
ファイルシステムの構成 セキュリティ上の目的 : セキュリティの構成を可能にすると共に、セキュリティポリシーへの遵守をサポートします。NTFS 以外のファイルシステムは変換する必要があるので注意してください。変換処理では ACL が設定されないため、変換後に "Setup Security.inf" テンプレート内の既定の ACL を適用する必要があります。 ファイルシステムの種類 : NTFS |
| アカウント ポリシー | |
| パスワードのポリシー | |
|
|
パスワードの履歴を記録する セキュリティ上の目的 : パスワードを再使用できる回数を制限します。 コンピュータの設定 : _____ パスワード数 |
|
|
パスワードの有効期間 セキュリティ上の目的 : ユーザーが自分のパスワードを変更しなければならなくなるまでの期間を設定します。 コンピュータの設定 : _____ 日 |
|
|
パスワードの変更禁止期間 セキュリティ上の目的 : ユーザーがパスワードを変更できない期間を設定します。 コンピュータの設定 : _____ 日 |
|
|
パスワードの長さ セキュリティ上の目的 : ユーザーパスワードに最低限必要な文字数を設定します。 コンピュータの設定 : _____ 文字 |
|
|
パスワードは要求する複雑さを満たす セキュリティ上の目的 : 複雑な (強力な) パスワードの使用を要求します。 コンピュータの設定 : 有効 無効 |
|
|
暗号化を元に戻せる状態でドメインのすべてのユーザーのパスワードを 保存する セキュリティ上の目的 : 有効にしないでください。パスワードに弱い暗号化を使用します。 コンピュータの設定 : 有効 無効 |
| アカウント ロックアウトのポリシー | |
|
|
ロックアウト期間 セキュリティ上の目的 : 無効なパスワードが使用された場合に、指定された期間アカウントをロックします。 コンピュータの設定 : _____ 分 |
|
|
アカウントのロックアウトのしきい値 セキュリティ上の目的 : ログオンが何回失敗した場合にアカウントをロックするかを設定します。 コンピュータの設定 : _____ 回ログオンに失敗 |
|
|
ロックアウトカウントのリセット セキュリティ上の目的 : ロックアウトのしきい値がリセットされるまでに保持される期間を設定します。 コンピュータの設定 : _____ 分 |
| Kerberos ポリシー | |
|
|
ユーザーログオンの制限を強制する
セキュリティ上の目的 : ユーザー権利のポリシーをチェックすることで、すべてのログオン要求を検証します。
コンピュータの設定 :
有効 無効 |
|
|
サービスチケットの最長有効期間 セキュリティ上の目的 : サービスチケットが有効である最長期間を設定します。 コンピュータの設定 : _____ 分 |
|
|
チケットの最長有効期間 セキュリティ上の目的 : ユーザーチケットが有効である最長期間を設定します。 コンピュータの設定 : _____ 時間 |
|
|
ユーザーチケットを更新できる最長有効期間 セキュリティ上の目的 : 期限の切れたチケットの更新期間を設定します。 コンピュータの設定 : _____ 日 |
|
|
コンピュータの時計の同期の最長トレランス セキュリティ上の目的 : ドメイン内のコンピュータ間で同期をとるための最長トレランスを設定します。 コンピュータの設定 : _____ 分 |
| ローカル ポリシー | |
| 監査ポリシー | |
|
|
アカウントログオンイベントの監査
セキュリティ上の目的 : このコンピュータでアカウントの検証を行った、別のコンピュータからのアカウントログオン/ログオフイベントを監査します。"アカウントログオンイベント" は、アカウントが存在する場所で生成されます。
コンピュータの設定 :
成功 失敗 |
|
|
アカウント管理の監査
セキュリティ上の目的 : アカウント管理の動作状況を監査します。
コンピュータの設定 :
成功 失敗 |
|
|
ディレクトリサービスのアクセスの監査
セキュリティ上の目的 : 独自のシステムアクセス制御リストが指定されている Active Directory オブジェクトへのアクセスを監査します。
コンピュータの設定 :
成功 失敗 |
|
|
ログオンイベントの監査
セキュリティ上の目的 : このコンピュータへのローカルまたはネットワークログオン/ログオフイベントを監査します。"ログオンイベント" は、ログオンが行われた場所で生成されます。
コンピュータの設定 :
成功 失敗 |
|
|
オブジェクトアクセスの監査
セキュリティ上の目的 : 独自のシステムアクセス制御リストが指定されているオブジェクト (ファイル、フォルダ、レジストリキー、プリンタなど) へのアクセスを監査します。
コンピュータの設定 :
成功 失敗 |
|
|
ポリシーの変更の監査
セキュリティ上の目的 : ユーザー権利割り当てポリシー、監査ポリシー、または信頼ポリシーに対する変更を監査します。
コンピュータの設定 :
成功 失敗 |
|
|
特権使用の監査
セキュリティ上の目的 : ユーザーによるユーザー権利の行使を毎回監査します。
コンピュータの設定 :
成功 失敗 |
|
|
プロセス追跡の監査
セキュリティ上の目的 : プログラムのアクティブ化、プロセスの終了、ハンドルの重複、間接的なオブジェクトアクセスなどのイベントに関する詳細な追跡情報を監査します。
コンピュータの設定 :
成功 失敗 |
|
|
システムイベントの監査
セキュリティ上の目的 : ユーザーがコンピュータを再起動またはシャットダウンしたときや、システムセキュリティまたはセキュリティログに影響するイベントが発生したときに監査を行います。
コンピュータの設定 :
成功 失敗 |
| ユーザー権利の割り当て | |
|
|
ネットワーク経由でコンピュータへアクセス
セキュリティ上の目的 : ネットワーク経由でコンピュータに接続できるユーザーを特定します。
|
|
|
オペレーティングシステムの一部として機能
セキュリティ上の目的 : ユーザーに対して、オペレーティングシステムとしてコードを実行することを許可します。その結果、このユーザーはシステム上の他のユーザーとしてコードを実行できるようになります。
注 これはきわめて危険な権利であるため、管理者以外のユーザーには割り当てないでください。この権利を持つユーザーは、オペレーティングシステムでのあらゆるセキュリティ対策を回避できます。
|
|
|
ファイルとディレクトリのバックアップ
セキュリティ上の目的 : ユーザーに対して、ファイルとディレクトリのアクセス許可を回避してシステムをバックアップすることを許可します。
注 この権利を持つユーザーは、アクセス権を持たないファイルも含めたコンピュータ上のすべてのファイルを読み取ることができます。
|
|
|
走査チェックのバイパス
セキュリティ上の目的 : ユーザーに対して、通常はアクセスできないフォルダを通過することを許可します。
|
|
|
システム時刻の変更
セキュリティ上の目的 : ユーザーに対して、コンピュータ内部の時計の時刻を設定することを許可します。
|
|
|
ページファイルの作成
セキュリティ上の目的 : ユーザーに対して、ページファイルの作成とサイズ変更を許可します。
|
|
|
トークンオブジェクトの作成
セキュリティ上の目的 : プロセスに対して、アクセストークンの作成を許可します。
|
|
|
永続的共有オブジェクトの作成
セキュリティ上の目的 : プロセスに対して、Windows 2000 オブジェクトマネージャでディレクトリオブジェクトを作成することを許可します。
|
|
|
プログラムのデバッグ
セキュリティ上の目的: ユーザーに対して、別のユーザーのコンテキストで実行されるプロセスにデバッガをアタッチすることを許可します。
注 この権利によって、ユーザーはどのユーザーコンテキストで実行されているプロセスにもコードを挿入することができます。したがって、この権利を持つユーザーは、オペレーティングシステム自体も含めたシステム上の任意のユーザーとしてコードを実行できます。これはきわめて危険な権利であるため、管理者以外のユーザーには割り当てないでください。この権利によって、ユーザーはシステム上のすべてのセキュリティを回避できるようになります。開発者がプログラムをデバッグするにはこの権利が必要であるという誤解がよく聞かれます。これは誤りです。この権利がなくても、ユーザーは自分が所有するプログラムをデバッグできます。この権利が必要となるのは、別のユーザーとして実行されるプログラムを開発者がデバッグする場合だけです。
|
|
|
ネットワーク経由でコンピュータへアクセスを拒否する
セキュリティ上の目的 : ユーザーまたはグループに対して、ネットワークからコンピュータに接続することを禁止します。
|
|
|
バッチジョブとしてログオンを拒否する
セキュリティ上の目的 : ユーザーまたはグループに対して、バッチキュー機能を使ってログオンすることを禁止します。
|
|
|
サービスとしてログオンを拒否する
セキュリティ上の目的 : ユーザーまたはグループに対して、サービスとしてログオンすることを禁止します。
|
|
|
ローカルでログオンを拒否する
セキュリティ上の目的 : ユーザーまたはグループに対して、キーボードからローカルにログオンすることを禁止します。
|
|
|
コンピュータとユーザー アカウントに委任時の信頼を付与
セキュリティ上の目的 : ユーザーに対して、Active Directory でのユーザーまたはグループに関する "委任に対して信頼されている" 設定を変更することを許可します。
|
|
|
リモートコンピュータからの強制シャットダウン
セキュリティ上の目的 : ユーザーに対して、ネットワーク上のリモートコンピュータからコンピュータをシャットダウンすることを許可します。
|
|
|
セキュリティ監査の生成
セキュリティ上の目的 : プロセスに対して、セキュリティログでエントリを生成することを許可します。
|
|
|
クォータの増加
セキュリティ上の目的 : 別のプロセスに対する "プロパティの書き込み" アクセスを持つプロセスに対して、もう一方のプロセスに割り当てられているプロセッサクォータを増やすことを許可します。
|
|
|
スケジューリング優先順位の繰り上げ
セキュリティ上の目的 : 別のプロセスに対する "プロパティの書き込み" アクセスを持つプロセスに対して、もう一方のプロセスの処理優先順位を変更することを許可します。
|
|
|
デバイスドライバのロードとアンロード
セキュリティ上の目的 : ユーザーに対して、プラグアンドプレイデバイスドライバのインストールとアンインストールを許可します。
|
|
|
メモリ内のページのロック
セキュリティ上の目的 : プロセスに対して、物理メモリにデータを保持することを許可します。これによって、システムはディスク上の仮想メモリにデータをページングできなくなります。
|
|
|
バッチジョブとしてログオン
セキュリティ上の目的 : ユーザーに対して、バッチキュー機能を使ってログオンすることを許可します。
|
|
|
サービスとしてログオン
セキュリティ上の目的 : セキュリティプリンシパルに対して、サービスとしてログオンすることを許可します。
|
|
|
ローカルログオン
セキュリティ上の目的 : ユーザーに対して、コンピュータのキーボードからローカルにログオンすることを許可します。
|
|
|
ドメインにワークステーションを追加 (ドメインコントローラ)
セキュリティ上の目的 : ユーザーに対して、特定のドメインにコンピュータを追加することを許可します。
|
|
|
監査とセキュリティログの管理
セキュリティ上の目的 : ユーザーに対して、ファイル、Active Directory オブジェクト、レジストリキーなどの個別リソースにオブジェクトアクセス監査オプションを指定することを許可します。
|
|
|
ファームウェアの環境値の修正
セキュリティ上の目的 : プロセスが API を通じて、またはユーザーが "システムプロパティ" アプレットを通じてシステム環境変数を変更することを許可します。
|
|
|
単一プロセスのプロファイル
セキュリティ上の目的 : ユーザーに対して、Microsoft Windows NT および Windows 2000 のパフォーマンス監視ツールを使ってシステム外プロセスのパフォーマンスを監視することを許可します。
|
|
|
システムパフォーマンスのプロファイル
セキュリティ上の目的 : ユーザーに対して、Microsoft Windows NT および Windows 2000 のパフォーマンス監視ツールを使ってシステムプロセスのパフォーマンスを監視することを許可します。
|
|
|
ドッキングステーションからコンピュータを削除
セキュリティ上の目的 : ポータブルコンピュータのユーザーに対して、[スタート]、[PC の取り外し] の順にクリックしてコンピュータのロックを解除することを許可します。
|
|
|
プロセスレベルトークンの置き換え
セキュリティ上の目的 : 親プロセスに対して、子プロセスに関連付けられたアクセストークンを置換することを許可します。
|
|
|
ファイルとディレクトリの復元
セキュリティ上の目的 : ユーザーに対して、バックアップされたファイルとディレクトリを復元する際にファイルとディレクトリのアクセス許可を回避すること、および有効なセキュリティプリンシパルをオブジェクトの所有者として設定することを許可します。
|
|
|
システムのシャットダウン
セキュリティ上の目的 : ユーザーに対して、ローカルコンピュータをシャットダウンすることを許可します。
|
|
|
ディレクトリサービスデータの同期化
セキュリティ上の目的 : サービスに対して、ディレクトリ同期化サービスの提供を許可します。
|
|
|
ファイルとその他のオブジェクトの所有権の取得
セキュリティ上の目的 : ユーザーに対して、システム内のセキュリティで保護できるオブジェクトの所有権を取得することを許可します。
|
| セキュリティ オプション | |
|
|
匿名接続の追加を制限する セキュリティ上の目的 : コンピュータへの匿名接続に対する制限を設定します。 コンピュータの設定 : 選択されているオプション : _________________________________________ |
|
|
サーバーオペレータがタスクのスケジュールを割り当てるのを許可する (ドメインコントローラのみ)
セキュリティ上の目的 : AT スケジュール機能を使用したジョブの送信を Server Operators に許可するかどうかを決定します。
コンピュータの設定定 :
有効 無効 |
|
|
システムをシャットダウンするのにログオンを必要としない
セキュリティ上の目的 : ユーザーにログオンを要求することなくシャットダウンできるようにコンピュータを設定します。
コンピュータの設定 :
有効 無効 |
|
|
グローバルシステムオブジェクトへのアクセスを監査する
セキュリティ上の目的 : グローバルシステムオブジェクトのアクセスを監査できるようにします。
コンピュータの設定 :
有効 無効 |
|
|
バックアップと復元の特権の使用を監査する
セキュリティ上の目的 : ユーザー権利 "バックアップ" および "復元" を監査できるようにします。
コンピュータの設定 :
有効 無効 |
|
|
リムーバブル NTFS メディアを取り出すのを許可する セキュリティ上の目的 : コンピュータからリムーバブル NTFS メディアを取り出すことのできるアカウントを設定します。 コンピュータの設定 : ポリシーに定義されているアカウント : ____________________ |
|
|
セッションを切断する前に、ある一定のアイドル時間を必要とする セキュリティ上の目的 : 非アクティブ状態が原因でセッションを切断する場合に、切断までに必要となるサーバーメッセージブロック (SMB) セッションでの連続アイドル時間を設定します。 コンピュータの設定 : _____ 分 |
|
|
ログオン時間を経過した場合は自動的にユーザーをログオフする
セキュリティ上の目的 : 有効にすると、ローカルコンピュータに接続されているユーザーのアカウントの有効ログオン時間が過ぎた場合に、そのユーザーの接続が切断されます。ドメインコントローラでのみ設定できます。
コンピュータの設定 :
有効 無効 |
|
|
ログオン時間が時間切れになった場合、自動的にユーザーをログオフする (ローカル)
セキュリティ上の目的 : 有効にすると、ローカルコンピュータに接続されているユーザーのアカウントの有効ログオン時間が過ぎた場合に、そのユーザーの接続が切断されます。
コンピュータの設定 :
有効 無効 |
|
|
システムのシャットダウン時に仮想メモリのページファイルをクリアする
セキュリティ上の目的 : システムのシャットダウン時に仮想メモリのページファイルを消去するかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
常にクライアントの通信にデジタル署名を行う
セキュリティ上の目的 : コンピュータがクライアント側の通信に常にデジタル署名を行うかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
可能な場合、クライアントの通信にデジタル署名を行う
セキュリティ上の目的 : 有効にすると、SMB パケット署名が有効になっているまたは SMB パケット署名を必要とする SMB サーバーと通信する場合のみ、SMB クライアントがSMB パケット署名を実行します。
コンピュータの設定 :
有効 無効 |
|
|
常にサーバーの通信にデジタル署名を行う
セキュリティ上の目的 : 有効にすると、SMB サーバーで SMB パケット署名の実行が必要となります。
コンピュータの設定 :
有効 無効 |
|
|
可能な場合、サーバーの通信にデジタル署名を行う
セキュリティ上の目的 : 有効にすると、必要時に SMB サーバーで SMB パケット署名が実行されます。
コンピュータの設定 :
有効 無効 |
|
|
ログオンに Ctrl+Alt+Del を必要としない
セキュリティ上の目的 : ユーザーがログオンする前に、Ctrl + Alt + Del を押す必要があるかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
ログオン画面に最後のユーザー名を表示しない
セキュリティ上の目的 : Windows のログオン画面に、コンピュータに最後にログオンしたユーザーの名前を表示するかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
LAN Manager 認証レベル セキュリティ上の目的 : ネットワークログオン時に使用するチャレンジ/レスポンス認証プロトコルを決定します。 コンピュータの設定 : 選択されているオプション : ____________________________ |
|
|
ログオン時のユーザーへのメッセージのテキスト
セキュリティ上の目的 : ユーザーがログオンしたときに表示されるテキストメッセージを指定します。
|
|
|
ログオン時のユーザーへのメッセージのタイトル セキュリティ上の目的 : ログオンしようとするユーザーへのメッセージテキストを表示するウィンドウのタイトルバーに表示するタイトルを指定します。 コンピュータの設定 : メッセージ タイトル : _________________________________ |
|
|
ドメインコントローラが利用できない場合に使用する、前回ログオンの キャッシュ数 セキュリティ上の目的 : キャッシュされたアカウント情報を使ってユーザーが Windows ドメインにログオンできる回数を決定します。 コンピュータの設定 : キャッシュ : _____ ログオン |
|
|
コンピュータアカウントパスワードのシステム保守をしない
セキュリティ上の目的 : コンピュータアカウントパスワードが毎週リセットされないようにするかどうかを決定します。このポリシーを有効にすると、コンピュータがパスワードの変更を毎週要求しなくなります。
コンピュータの設定 :
有効 無効 |
|
|
ユーザーがプリンタドライバをインストールできないようにする
セキュリティ上の目的 : Users グループのメンバがプリンタドライバをインストールできないようにするかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
パスワードが無効になる前にユーザーに変更を促す セキュリティ上の目的 : パスワードの有効期限が近づいていることを、Windows 2000 が何日前からユーザーに警告するかを決定します。 コンピュータの設定 : _____ 日 |
|
|
回復コンソール: 自動管理ログオンを許可する
セキュリティ上の目的 : 有効にすると、回復コンソールがパスワードを要求しないで自動的にシステムにログオンするようになります。
コンピュータの設定 :
有効 無効 |
|
|
回復コンソール: すべてのドライブとフォルダに、フロッピーのコピーとアクセスを許可する
セキュリティ上の目的 : このオプションを有効にすると、回復コンソールの SET コマンドが使用可能になります。
コンピュータの設定 :
有効 無効 |
|
|
Administrator アカウント名の変更 セキュリティ上の目的 : "Administrator" アカウントのセキュリティ識別子 (SID) に別のアカウント名を関連付けます。 コンピュータの設定 : 新しいアカウント名 : _________________________________ |
|
|
Guest アカウント名の変更 セキュリティ上の目的 : "Guest" アカウントのセキュリティ識別子 (SID) に別のアカウント名を関連付けます。 コンピュータの設定 : 新しいアカウント名 : _________________________________ |
|
|
CD-ROM へのアクセスを、ローカルログオンユーザーだけに制限する
セキュリティ上の目的 : このポリシーが有効である場合は、対話型ログオンが可能なユーザーのみがリムーバブルメディアである CD-ROM にアクセスできます。
コンピュータの設定 :
有効 無効 |
|
|
フロッピーへのアクセスを、ローカルログオンユーザーだけに制限する
セキュリティ上の目的 : このポリシーが有効である場合は、対話型ログオンが可能なユーザーのみがリムーバブルメディアであるフロッピーにアクセスできます。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティで保護されたチャネル: 常にセキュリティチャネルのデータをデジタル的に暗号化または署名する
セキュリティ上の目的 : このポリシーが有効である場合は、セキュリティで保護されたすべての発信チャネルトラフィックを署名または暗号化する必要があります。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティで保護されたチャネル: 可能な場合、セキュリティチャネルのデータをデジタル的に暗号化または署名する
セキュリティ上の目的 : このポリシーが有効である場合は、セキュリティで保護されたすべての発信チャネルトラフィックを暗号化する必要があります。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティで保護されたチャネル: 可能な場合、セキュリティチャネルのデータをデジタル的に署名する
セキュリティ上の目的 : このポリシーが有効である場合は、セキュリティで保護されたすべての発信チャネルトラフィックに署名する必要があります。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティで保護されたチャネル: 強力な (Windows 2000 かそれ以降のバージョン) セッションキーを必要とする
セキュリティ上の目的 : このポリシーが有効である場合は、セキュリティで保護されたすべての発信チャネルトラフィックに強力な (Windows 2000 以降の) 暗号化キーが必要となります。
コンピュータの設定 :
有効 無効 |
|
|
サードパーティ製の SMB サーバーへ接続するためのパスワードを、暗号化しないで送信する
セキュリティ上の目的 : 有効である場合は、SMBのリダイレクタから、認証時にパスワード暗号化機能をサポートしない Microsoft 以外の SMB サーバーにクリアテキストのパスワードを送信できます。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティ監査のログを記録できない場合は直ちにシステムをシャットダウン
する
セキュリティ上の目的 : セキュリティイベントを記録できない場合にシステムをシャットダウンするかどうかを決定します。
コンピュータの設定 :
有効 無効 |
|
|
スマートカード取り出し時の動作 セキュリティ上の目的 : ログオンしたユーザーのスマートカードをスマートカード読み取り装置から取り出したときの動作を決定します。 コンピュータの設定 : __________________________________________ |
|
|
グローバルシステムオブジェクトの既定のアクセス許可を強化する (例: シンボリックリンク)
セキュリティ上の目的 : このポリシーを有効にすると、既定の DACL が強化されて、管理者以外のユーザーに対し、共有オブジェクトの読み取りが許可され、そのユーザー自身が作成していない共有オブジェクトの変更が禁止されます。
コンピュータの設定 :
有効 無効 |
|
|
署名されていないドライバのインストール時の動作 セキュリティ上の目的 : Windows Hardware Quality Lab から認定されていないデバイスドライバがインストールされようとした場合の動作を決定します。 コンピュータの設定 : __________________________________________ |
|
|
署名されていないドライバ以外のインストール時の動作 セキュリティ上の目的 : デバイスドライバ以外の認定されていないソフトウェアがインストールされようとした場合の動作を決定します。 コンピュータの設定 : __________________________________________ |
| イベント ログ | |
| イベント ログの設定 | |
|
|
アプリケーション ログの最大サイズ セキュリティ上の目的 : アプリケーションイベントログの最大サイズを指定します。 コンピュータの設定 : ______________ キロバイト |
|
|
セキュリティログの最大サイズ セキュリティ上の目的 : セキュリティイベントログの最大サイズを指定します。 コンピュータの設定 : ______________ キロバイト |
|
|
システムログの最大サイズ セキュリティ上の目的 : システムイベントログの最大サイズを指定します。 コンピュータの設定 : ______________ キロバイト |
|
|
アプリケーションログへのゲストアクセスの制限
セキュリティ上の目的 : 有効にすると、匿名ユーザーがアプリケーションイベントログにアクセスできなくなります。スタンドアロンの Windows 2000 Professional および Server では、このポリシーオプションを利用できません。
コンピュータの設定 :
有効 無効 |
|
|
セキュリティログへのゲストアクセスの制限
セキュリティ上の目的 : 有効にすると、匿名ユーザーがセキュリティイベントログにアクセスできなくなります。スタンドアロンの Windows 2000 Professional および Server では、このポリシーオプションを利用できません。
コンピュータの設定 :
有効 無効 |
|
|
システムログへのゲストアクセスの制限
セキュリティ上の目的 : 有効にすると、匿名ユーザーがシステムイベントログにアクセスできなくなります。スタンドアロンの Windows 2000 Professional および Server では、このポリシーオプションを利用できません。
コンピュータの設定 :
有効 無効 |
|
|
アプリケーションログの保存 セキュリティ上の目的 : アプリケーションログの保存方法が "指定した日数" に設定されている場合に、アプリケーションログにイベントを保存しておく日数を決定します。 コンピュータの設定 : _____ 日 |
|
|
セキュリティログの保存 セキュリティ上の目的 : セキュリティログの保存方法が "指定した日数" に設定されている場合に、セキュリティログにイベントを保存しておく日数を決定します。 コンピュータの設定 : _____ 日 |
|
|
システムログの保存 セキュリティ上の目的 : システムログの保存方法が "指定した日数" に設定されている場合に、システムログにイベントを保存しておく日数を決定します。 コンピュータの設定 : _____ 日 |
|
|
アプリケーションログの保存方法 セキュリティ上の目的 : アプリケーションログの処理方法を決定します。 コンピュータの設定 : ________________________________________________ |
|
|
セキュリティログの保存方法 セキュリティ上の目的 : セキュリティログの処理方法を決定します。 コンピュータの設定 : ________________________________________________ |
|
|
システムログの保存方法 セキュリティ上の目的 : システムログの処理方法を決定します。 コンピュータの設定 : ________________________________________________ |
|
|
セキュリティログがいっぱいになったときにコンピュータをシャットダウンする セキュリティ上の目的 : このポリシー設定の代わりに、"セキュリティ監査のログを記録できない場合は直ちにシステムをシャットダウンする" を使用してください。 コンピュータの設定 : ________________________________________________ |
| システム サービス | |
|
|
有効なサービス
セキュリティ上の目的 : 必要なサービスのみを示します。
Alerter Service
Automatic Updates
Background Intelligent Transfer Service
COM+ Event System
Computer Browser
DHCP Client
DHCP Server
Distributed File System (DFS)
Distributed Link Tracking Client
Distributed Link Tracking Server
DNS Client
DNS Server
Event Log
File Replication Service
IIS Admin Service (Web サーバーのみ)
Indexing Service (ファイルインデックスの必要なシステムのみ)
Intersite Messaging
IPSec Policy Agent
Kerberos Key Distribution Center
License Logging
Logical Disk Manager
Logical Disk Manager Administrative Service
Messenger
qNet Logon
Network Connections
NTLM Security Support Provider
Plug and Play
Print Spooler
Protected Storage
Remote Procedure Call (RPC)
Remote Registry Service
Removable Storage
RunAs Service
Security Accounts Manager
Server Service
System Event Notification
Task Scheduler
TCP/IP NetBIOS Helper Service
Telephony
Windows Internet Name Service (WINS)
Windows Management Instrumentation
Windows Management Instrumentation Driver Extensions
Windows Time
Workstation
World Wide Web Publishing Service、Simple Mail Transport Service、NNTP Service、および FTP Service は、正規の IIS サーバーでのみ有効にしてください。それ以外のコンピュータでは、必ずこれらのサービスを無効にするか、アンインストールしてください。 |
|
|
無効なサービス
セキュリティ上の目的 : 以下に挙げる既定のサービスは、無効にすることができます。
Application Management
Clipbook
Distributed Transaction Coordinator
Fax Service
FTP Publishing Service
IIS Admin Service
Indexing Service
Internet Connection Sharing (NAT をサポート)
NetMeeting Remote Desktop Sharing
Network DDE
Network DDE DSDM
Performance Logs and Alerts
QoS RSVP
Remote Access Auto Connection Manager
Remote Access Connection Manager
Remote Procedure Call (RPC) Locator
Routing and Remote Access
RunAs Service
Simple Mail Transport Protocol (SMTP)
Smart Card
Smart Card Helper
SNMP Service
SNMP Trap Service
SMTP
Telnet
Terminal Services
Uninterruptible Power Supply
Utility Manager
Windows Installer
World Wide Web Publishing Service |
| 追加のレジストリ設定 | |
|
|
オプションサブシステム
|
|
|
NULL セッションアクセスを制限する
|
|
|
NULL セッションからアクセス可能な名前付きパイプ
|
|
|
NULL セッションからアクセス可能な共有
|
|
|
ブラウズリストでコンピュータを非表示にする
|
|
|
既定の IPSec 適用除外を解除する
|
|
|
DLL の検索順序を変更する
|
|
|
アプリケーションが生成した入力によってセッションロックが妨害されないようにする
|
|
|
監査ログがしきい値のパーセントに達した場合に監査イベントを生成する
|
|
|
サービス拒否攻撃に対して TCP/IP スタックを強化する
|
|
|
タイムサービス認証を検討する
|
|
|
LMHash の作成を無効にする
|
|
|
自動実行を無効にする
|
|
|
LDAP サーバーによる LDAP BIND コマンド要求の処理
|
|
|
監査ログがいっぱいになった場合に管理警告を生成する
|
|
|
フォルダでの Web 表示をオフにする
|
|
|
NTLM SSP を強化する
|