Windows Server 2003 Service Pack 1 製品概要

Windows Server 2003 Service Pack 1 (SP1) は、マイクロソフトの「信頼できるコンピューティング (Trustworthy Computing)」の活動の一環として提供される製品の 1 つであり、さらに優れたセキュリティと信頼性を備えた管理しやすいソフトウェア製品の開発を続けることへのマイクロソフトの取り組みを示すものです。Windows Server 2003 SP1 では、賞を獲得するなど素晴らしい実績を誇る Windows Server 2003 オペレーティング システムに、システムの累積更新プログラムのほか、さまざまな機能強化が施されています。SP 1 を導入すれば「攻撃を受けやすい面」を縮小できるので、あらゆる業種の企業でのセキュリティの強化、信頼性の向上、管理の簡素化を図ることができます。

トピック

  Service Pack の概要
  Service Pack の紹介
  技術概要
  まとめ
  関連リンク

Service Pack の概要

マイクロソフトでは、企業の IT リソースのセキュリティ、信頼性、生産性を向上させるソフトウェア ソリューションの開発に取り組んでいます。現在のビジネス環境では、IT セキュリティが最重要事項です。企業と消費者が共有する機密情報は増え続けており、両者はこのようなデータの通信に頼って仕事や取引を行っています。堅牢な IT セキュリティはそれだけでも非常に重要ですが、セキュリティの優れたインフラストラクチャは、拡大する一方の商工業界からのニーズを満たすために必要なサーバーの信頼性向上にも役立ちます。また、適切にセキュリティで保護されたインフラストラクチャにより信頼性が向上すれば、管理者の生産性も向上します。Windows Server 2003 SP1 は、Windows Server 2003 オペレーティング システムに施された更新とセキュリティ強化の集大成であり、更新の管理という進行中のユーザー セキュリティにおける重要課題に取り組むことで、上記の 3 つのニーズすべてに対応しています。

SP 1 の主目的は、主にサーバーのセキュリティに関連するユーザーの問題を軽減することにあります。更新の管理は、拡大するセキュリティの脅威に対する現在の業界標準の防御策ですが、非常に複雑で、手間がかかる作業です。企業ユーザーは、セキュリティの自動更新を利用するか、手動で新しい更新のリリースを監視する必要があります。更新を取得したら、ユーザー側でかなりの手間をかけてこれらの更新をテストし、基幹システムに影響を与えないことを検証する必要があります。最終的には、業務に障害がでないようなかたちで、取得した更新をすべてのサーバーやデータ センターに展開する必要があります。

同時に、セキュリティ ホールの発見とそれが悪用されるまでの時間も、短縮されてきています。ワーム Nimda の場合は、更新の実装が必要になるまでには 331 日間の余裕がありましたが、ワーム Blaster が利用した DCOM の脆弱性に対応する更新の適用までには 25 日間の猶予しかありませんでした。Windows Server 2003 ユーザーの多くにとっては、現状の対策では、提供されるセキュリティが質的にも時間的にも不十分であると考えられます。セキュリティ ホールへの攻撃は事実上防げないと言っても過言ではありません。

Service Pack 1 では、Windows Server 2003 のセキュリティ上のこのような傾向に対し、積極的に取り組んでいます。この Service Pack でのセキュリティ強化は、直感的な、役割 ベースの方法を採用し、新しい更新のテストや展開のタイミングをユーザーが柔軟に制御できるようにしています。また、Service Pack 1 では、Windows ファイアウォールなどのエンジニアリングを強化することにより、予防的なセキュリティ対策を行います。(インターネット接続ファイアウォールの後継機能である Windows ファイアウォールは、Windows XP Service Pack 2 で初めて導入されました。) 企業は、Active Directory® のグループ ポリシーを使用して Windows ファイアウォールの設定を展開できます。

Service Pack 1 は、Windows Server 2003 を拡張し、機能強化したものです。Service Pack 1 は、最新のセキュリティの更新をまとめて提供しているだけでなく、現在の更新の管理方法の基盤となっているパラダイムを転換し、Windows Server 2003 ユーザーに新しい、事前対策型のセキュリティ変革モデルを提供します。

ページのトップへ

Service Pack の紹介

これまでの Service Pack は、製品の更新を配布するための手段に過ぎませんでした。Service Pack で追加機能が提供されたこともありますが、重要な新機能が含まれることはほとんどなく、通常は、システムの信頼性、プログラムの互換性、セキュリティなどを向上させるための更新を提供していました。Service Pack は更新をまとめて提供するので、容易にダウンロードできて便利です。しかし、これでは基本的に更新の集積に過ぎません。Windows Server 2003 SP1 には、このような更新以外に、セキュリティを強化し、機能性を向上させる付加価値のある機能が含まれています。

Service Pack 1 の目標は、Windows Server 2003 のセキュリティ、信頼性、生産性を高めることです。この目標を実現する鍵は、Windows Server 2003 の攻撃を受けやすい面を縮小し、そのセキュリティを強化することにあります。しかし、古いセキュリティ ホールを埋めたり、サーバーのパフォーマンスを徐々に調整するだけでは、激しさを増す攻撃にもはや対抗することはできません。マイクロソフトでは、この Windows Server 2003 のセキュリティの方程式を劇的に変化させることを目標に Service Pack 1 を開発しました。Service Pack 1 では、累積更新の他に、すぐれた機能強化とダイナミックな新機能を提供しています。Service Pack 1 は、Windows Server 2003 を現在利用しているユーザーにとっても、Windows Server 2003 オペレーティングシステムを新規にインストールまたはアップグレードするユーザーにとっても役に立ちます。

Windows Server 2003 Service Pack 1 は、Windows Server 2003 Standard Edition、Windows Server 2003 Enterprise Edition、Windows Small Business Server 2003、Windows Server 2003 Web Edition、Windows Server 2003 Datacenter Edition、Windows Server 2003 with the Server Appliance Kit に適用できます。

Service Pack 1 の内容

Service Pack 1 では、Windows Server 2003 の最新の更新、機能強化、新機能を簡単にまとめて導入できます。このような各コンポーネントにより、Windows Server 2003 の強化されたセキュリティ、信頼性、パフォーマンスをさらに活用できるようになります。

更新

更新の管理は、コンピュータ セキュリティの最大の課題の 1 つです。更新の管理は困難な作業ですが、セキュリティ テクノロジが攻撃戦略の 1 つ 1 つを予測し、すべての脆弱性を補正できるようになるまでは、更新はこれからも企業の IT を保護する上で不可欠な役割を果たしていくでしょう。Service Pack 1 で提供される機能強化や新機能によって、これまでより格段に優れた予防的なセキュリティを実現できますが、やはり既知の脅威に対応していくことも Service Pack 1 の主要な目的の 1 つです。

攻撃の発見に合わせて、こまめに更新を適用することは、これらに対抗していく上で重要です。マイクロソフトではこのような更新を Service Pack 1 でまとめて提供することで、新旧両方のユーザーに Windows Server 2003 の最新の保護を提供しています。

Service Pack 1 で配布する更新は、Windows Server 2003 のもっとも基本的な機能の一部に適用されます。したがって、最も重要なセキュリティ ホールの一部を埋めることができます。これらの更新には、以下の機能に対する更新が含まれています。

• Internet Explorer — このアプリケーションの更新には、偽装された悪意のあるコードを不用意にダウンロードし、従業員から機密データを抽出する手段として、ブラウザのウィンドウのサイズが自動的に変更されるのを防ぐ機能が含まれます。
• Outlook Express — この更新は、ユーザーが HTML ではなくテキスト形式で電子メールを表示できるようにします。電子メールを HTML ではなくテキスト形式でダウンロードすることで、電子メール経由で悪意のあるコードが蔓延するのを防ぐ上で役立ちます。
• WebDAV リダイレクタ — この機能を実現しているプログラムに対する更新を適用すると、標準のファイル サーバーへのアクセスと同じように、Windows SharePoint® Services や MSN コミュニティなどの WebDAV (Web-based Distributed Authoring Versioning) サーバーにアクセスできます。また、この更新により、ユーザーの資格情報 (ユーザー名、パスワード) が伝送される場合に、非暗号化チャネル上で伝送されないようにします。

更新が業務上必要であっても、これが業務上の問題になるべきではありません。マイクロソフトは、Service Pack 1 のホット パッチ (Hot Patching) 機能により、更新の適用に伴うサーバーの停止時間の問題を解決しています。基幹業務サーバーにとっては、再起動が必要な更新は問題があります。このような更新は、IT 組織のサービス保証契約上の問題になりかねません。ホット パッチ (Hot Patching) を使用すると、サーバーを再起動することなく、ドライバ、DLL、API など、Windows Server 2003 のカーネル レベル以外のコンポーネントに更新を適用できます。

機能強化

Service Pack 1 では、セキュリティ ホールを発見し更新を適用して、ハッカーによるセキュリティ ホールの悪用を防ぐだけでなく、Windows Server の初期リリースで提供された機能の強化も行われています。このような機能強化により、製品の品質が大幅に向上され、Windows Server 2003 のセキュリティ、信頼性、および生産性が強化されます。以下に、Service Pack 1 に含まれている主要な機能強化の一部を説明します。

新機能

マイクロソフトでは、Windows Server 2003 Service Pack 1 のリリースという好機を活かして、優れた新機能を導入しています。

Service Pack 1 の展開が必要な理由

Service Pack 1 により、企業は無償で Windows Server 2003 を強化できます。Service Pack 1 では、Windows Server 2003 の既知の脆弱性が修正され、セキュリティ、信頼性、パフォーマンスを向上させるための補完的な機能を実現する機能強化が行われます。

Service Pack 1 は、Windows Server 2003 をまだ導入していない組織にとっては、特に魅力のある製品です。Windows Server 2003 Service Pack 1 をインストールすれば、現在のすべての更新プログラムが既に組み込まれているだけでなく、Windows Server 2003 のリリース後に新たに認識された実際の運用上のニーズを満たす新機能が含まれています。Service Pack 1 は、強力なビジネス ツールとしての Windows Server 2003 の成熟を示す記念すべき製品です。

システム要件*

* 下記のシステム要件は、リリース前のコードに対応しています。最終的なシステム要件は、変更される可能性があります。

Windows Serer 2003, Standard Edition システム要件

Windows Serer 2003, Enterprise Edition システム要件

Windows Serer 2003, Datacenter Edition システム要件

Windows Serer 2003, Web Edition システム要件

Windows Server 2003 Service Pack 1 の使用にあたって

ここでは、Windows Server 2003 Service Pack 1 のセットアップ中に表示される画面を一通り紹介します。Service Pack 1 のインストール作業はとても簡潔で、サーバーのオペレーティング システムを事前に構成する必要はありません。

インストール前の作業

確認のため、Service Pack 1 についての情報が、インストールに先立ち表示されます。

図 1. Service Pack 1 のダウンロード画面

インストール

Windows Server 2003 Service Pack 1 のインストールでは、一般的なわかりやすいウィザードによって、インストール プロセスがガイドされます。以下の図は、このインストール プロセスを紹介する表示画面です。

図 2. Service Pack 1 のインストール : 初期画面

使用許諾契約に同意すると、必要に応じてこの Service Pack をアンインストールできるように、セットアップがシステム ファイルのバックアップを作成します。

図 3. Service Pack 1 のインストール : バックアップ

Service Pack 1 のインストール ウィザードは、インストール プロセスが進行している間、進捗状況を表示します。この段階で、インストール ウィザードはサーバーの構成を確認し、ファイルをインストールします。インストールが完了すると、再起動が必要になります。ユーザーは、インストール ウィザードの完了画面で、コンピュータを後で再起動するように指定することもできます。

図 4. Service Pack 1 のインストールの完了

ページのトップへ

技術概要

Windows Server 2003 Service Pack 1 は、製品の更新と新機能を合わせて提供する非常に魅力的な製品です。以下の表では、Service Pack による Windows Server 2003 の変更点をまとめています。表に続く 2 つのセクションで、Service Pack 1 の主な機能強化と新機能を技術的な面からさらに詳しく説明します。

Service Pack 1 における Windows Server 2003 機能の変更点

netsh winsock reset catalog

netsh winsock show catalog

機能強化

サービスでのより強固な既定値と特権の削減

Windows XP および Windows Server オペレーティング システム ファミリも含め、Windows NT カーネル ベースの Microsoft Windows オペレーティング システムは、リモート プロシージャ コール (RPC) サービスを利用して実行されています。一方、分散コンポーネント オブジェクト モデル (DCOM) は、Windows 全体で RPC が使用されていることを利用して、ユーザーが任意の方法で各自のネットワーク全体にアプリケーションを分散できるようにしています。

Service Pack 1 では、DCOM および RPC 関連のセキュリティが強化されています。RPC (および RPC をベースにしている DCOM) は、基本的に、別のコンピュータ上のプログラムからリモート呼び出し、アクティベーション、起動を行うためのもので、当然、ハッカーには望ましい機能です。SP1 では、コンピュータ レベルのアクセス制御リスト (ACL) を基に、プログラムのアクティベーションや起動をすべて確認し、この攻撃経路を防御します。このようにコンピュータ レベルの ACL を使用することで、あるコンピュータでのすべてのプログラム呼び出しに対して最低限の認証基準を確立でき、システム サービスへのアクセス権を所有しているユーザーと所有していないユーザーを区別できます。

多くの COM アプリケーションには、何らかのセキュリティ固有コード (CoInitializeSecurity 呼び出しなど) が含まれていますが、設定が緩やかなので、プロセスへの認証されていないアクセスが許可されてしまいます。以前のバージョンの Windows Server 2003 では、これらの設定を管理者が上書きして、より強いセキュリティを強制する方法はありませんでした。

COM インフラストラクチャには、RPCSS が含まれています。RPCSS は、システムのスタートアップ時とそれ以降常に実行されるシステム サービスで、COM オブジェクトのアクティベーションと、オブジェクト テーブルの実行を管理し、DCOM リモーティングのヘルパ サービスを提供します。これは、リモートから呼び出し可能な RPC インターフェイスを公開します。一部の COM サーバーでは認証なしのリモート アクセスが許可されるので (前のセクションで説明)、これらのインターフェイスは、認証されていないユーザーも含めて誰からでも呼び出しが可能です。その結果 RPCSS は、悪意あるユーザーからリモートの認証されていないコンピュータを使用して攻撃される可能性があります。

以前のバージョンの Windows では、管理者がコンピュータ上の COM サーバーの公開レベルを把握する方法はありませんでした。管理者は、コンピュータに登録されているすべての COM アプリケーション向けに構成されているセキュリティ設定を系統的に確認することで、公開レベルを把握することは不可能ではありませんが、Windows の既定のインストールでも約 150 の COM サーバーがあることを考えると、この作業にはなかなか手をつけられません。ソフトウェアにセキュリティを組み込んでいるサーバーの設定を調べる方法は、そのソフトウェアのソース コードを調べる以外にはありません。

DCOM のコンピュータ レベルの制限により、以上の 3 つの問題が緩和されます。また、管理者により DCOM のアクティベーション、起動、および呼び出しの着信を無効にできます。

データ実行防止機能

データ実行防止機能 (DEP : Data Execution Prevention) とは、メモリに対して付加的なチェックを行う一連のハードウェア テクノロジとソフトウェアテクノロジのことです。この付加的なチェックは、悪意のあるコードによる攻撃を防ぐ上で役立ちます。Windows Server 2003 Service Pack 1 は、ハードウェアとソフトウェアの両方を使用して、DEP を実行します。

ハードウェアによる DEP では、明示的に実行可能コードが実装されていない限り、プロセス内のすべてのメモリ領域を非実行可能領域としてマークします。攻撃の種類として、非実行可能メモリ領域にコードを挿入し、そこから実行を図るものがあります。DEP は、このような攻撃をインターセプトし、例外を生成することで、防御します。Advanced Micro Devices™ (AMD) および Intel Corporation は、Windows 対応の DEP アーキテクチャを開発、発表しています。Service Pack 1 は、AMD が開発した NX (no-execute page-protection) プロセッサ機能または、Intel が開発した XD (Execute Disable bit) 機能を使用します。(注 : 32 ビット プロセッサがこの機能を利用するには、物理アドレス拡張モードで実行される必要があります。)

Windows Server 2003 に Service Pack 1 を適用すると、さらにその他の DEP セキュリティ チェックが追加されます。これらのチェックは、ソフトウェア DEP と呼ばれ、Windows の例外処理メカニズムを利用した攻撃を軽減します。ソフトウェア DEP は、Service Pack 1 を適用した Windows Server 2003 に対応するプロセッサであれば、実行できます。既定では、プロセッサのハードウェア DEP 機能にかかわらず、ソフトウェア DEP の保護対象となるのは、限られたシステム バイナリのみです。

ソフトウェア DEP は、Windows の例外処理メカニズムに対する付加的なチェックを実行します。プログラムのイメージ ファイルが、SafeSEH (Safe Structured Exception Handling) を使用して作成されている場合は、ソフトウェア DEP により、例外がディスパッチされる前に、例外ハンドラがイメージ ファイル内の関数テーブルに登録されているかどうかが確認されます。プログラムのイメージ ファイルが、SafeSEH を使用して作成されていない場合は、ソフトウェア DEP により、例外がディスパッチされる前に、例外ハンドラが実行可能とマークされたメモリ領域内に読み込まれているかどうかが確認されます。

DEP の最大のメリットは、既定のヒープやさまざまなスタック、メモリ プールなどのデータ ページからのコード実行を防げることです。システムの通常の動作では、コードが既定のヒープやスタックから実行されることはほとんどありません。ハードウェア DEP は、これらの領域から実行されるコードを検出し、見つかった場合は、例外を生成します。この例外が処理されないと、プロセスは終了されます。カーネル モードで保護されたメモリからコードが実行されると、エラーになります。

プロセスの終了やエラーによるシステムの実行停止は、理想的な操作であるようには思えませんが、悪意のあるコードの実行を防ぐ上では有効です。システムで悪意のあるコードが実行されないようにすることで、ユーザーのシステムの損害や、悪意のあるコードの伝播を防ぐことができます。ほとんどの場合、悪意のあるコードによる被害の方が、プロセスの強制終了やシステム エラーによる影響よりも大きくなります。

DEP により、ある種のセキュリティ攻撃を軽減できます。特に、DEP は、ウイルスなどの攻撃で、余分なコードをプロセスに読み込み、この読み込んだコードの実行を図るタイプの攻撃を防ぐことができます。DEP が実装されているシステムでは、このようなコードが実行されると、例外が生成されます。ソフトウェア DEP は、Windows の例外処理メカニズムを悪用した攻撃を軽減します。

DEP の 2 番目のメリットは、優れたエンジニアリングとベスト プラクティスを基に、アプリケーションやドライバが開発されるようになることです。開発者がデータ ページを明示的に実行可能としてマークしない限り、DEP により、データ ページからコードを実行できなくなります。

新機能

Windows ファイアウォール

Windows ファイアウォールは、Microsoft Windows XP Service Pack 2 および Microsoft Windows Server™ 2003 Service Pack 1 用のソフトウェア ベースのステートフル ホスト ファイアウォールです。Windows ファイアウォールでは、有効な例外に相当しない、IPv4 と IPv6 の未承認の着信トラフィックを破棄することで、ネットワークに接続されたコンピュータの保護を強化します。

構成オプションには、以下のものがあります。

実行モードの追加 : オン、ただし例外は許可されません

ポートの静的例外の有効化

プログラム (アプリケーションやサービス) の例外の有効化

特定の種類の ICMP トラフィックの有効化

破棄されたパケットと正常な接続をログ ファイルに記録

Windows Server 2003 Service Pack 1 がインストールされるときは、セットアップでのセットアップ後のセキュリティ更新部分の実行時以外は、Windows ファイアウォールが既定でオフになります。初回のインストール中に Windows ファイアウォールを有効にすることで、セットアップや構成中の多くのネットワーク ベースの攻撃からコンピュータをより保護できるようになります。インストール後は、セキュリティの構成ウィザードでの構成に従ってサーバーで実行される役割に対して、Windows ファイアウォールを有効にすることをお勧めします。ただし、無効にすることが適切であると判断される例外は除きます。たとえば、Windows ファイアウォールが有効にされていれば、最近の MSBlaster 攻撃による影響は、コンピュータに最新の更新が適用されているかどうかにかかわらず、実際よりもかなり小さくて済んだでしょう。

以下の表に、Windows ファイアウォールの機能と機能強化をまとめます。

Windows ファイアウォールの機能と機能強化

Windows ファイアウォールの詳細については、以下のリソースを参照してください。

Microsoft® Windows® XP Service Pack 2 向け Windows ファイアウォール設定の導入

Windows XP Service Pack 2 の Windows ファイアウォールを手動で構成する

Troubleshooting Windows Firewall in Microsoft Windows XP Service Pack 2 (英語)

これらのリソースでは Windows XP Service Pack 2 の Windows ファイアウォールについて説明されていますが、同じ情報のほとんどが Windows Server 2003 SP1 の Windows ファイアウォールに適用されます。

セットアップ後のセキュリティ更新

セットアップ後のセキュリティ更新は、サーバーが初めて起動されてから、Windows Update の最新のセキュリティの更新を適用するまでの間に、サーバーがウイルスに感染しないようにするものです。Service Pack が適用されている Windows Server 2003 の新規インストールでは、サーバーを保護するために Windows ファイアウォールが有効になります。Windows ファイアウォールが有効で、この有効化が管理者により自動セットアップ スクリプトまたはグループ ポリシーを使用して明示的に行われていない場合は、管理者の初回のログオン時にセットアップ後のセキュリティ更新が表示されます。[セットアップ後のセキュリティ更新] ダイアログ ボックスの [完了] ボタンを管理者がクリックするまで、サーバーの着信接続はブロックされるため、Windows Update から安全に更新をダウンロードし、インストールできます。管理者が、グループ ポリシーを利用して、またはインストール時にリモート デスクトップを有効にすることで、ファイアウォールに例外を設定している場合は、これらの例外に割り当てられた着信接続はブロックされません。

セットアップ後のセキュリティ更新は、[スタート] メニューからはアクセスできません。これは、PSSU が Service Pack が適用された完全な Windows Server 2003 (Windows Server 2003 Service Pack 1 以降のバージョン) にしか対応していないためです。PSSU は、以下のオペレーティング システムからアップグレードする場合は、表示されません。

Windows 2000 から Windows Server 2003 Service Pack 1 へのアップグレード

Windows Server 2003 から Windows Server 2003 Service Pack 1 へのアップグレード

ただし、Windows NT 4.0 から Windows Server 2003 Service Pack 1 にサーバーをアップグレードした場合は、PSSU が表示されます。また、自動セットアップ スクリプトや Windows ファイアウォールの有効または無効を指定するグループ ポリシーを使用した Windows Server 2003 のインストールでは、PSSU は機能しません。

図 5. セットアップ後のセキュリティ更新 : ユーザーインターフェイス
拡大表示する

図 6. セットアップ後のセキュリティ更新 : 警告画面

IT セキュリティは、有機的に絶えず変化する状況下での戦いです。マイクロソフトから、オペレーティング システムのインストール用ファイルのリリース後に、ウイルスの脅威を緩和するセキュリティの更新がリリースされている可能性があります。新しいサーバーがネットワークに接続した際に、ファイアウォールが有効でないと、このサーバーはセキュリティの更新をダウンロードし、インストールする前に、ウイルスに感染する可能性があります。セットアップ後のセキュリティ更新は、Windows ファイアウォールを使用して、このリスクを緩和しています。

セキュリティの構成ウィザード

セキュリティの構成ウィザード (SCW) は、ユーザーのサーバーの攻撃を受けやすい面を縮小するための手順を示します。SCW は、一連の質問を使って、ユーザーのサーバーの機能要件 (このサーバーの役割) を特定します。SCW は、50 種以上ものサーバーの役割 (Microsoft Exchange Server や SQL Server などの Windows Server System アプリケーションの役割も含む) ごとに設定されているサービスやポート、その他の機能要件を定義している拡張 XML 知識ベースから取得した役割 ベースのメタファを使用します。サーバーが実行する役割に必要のない機能は無効にされます。

SCW は、この拡張 XML 知識ベースを使用して、役割の検出を実行し、ユーザー入力を要求します。また、サービスの無効化、ポートのブロック、レジストリ値の変更、監査設定の構成を行うためのセキュリティ ポリシーを編集します。ブロックしないポートであっても、アクセス元を制限したり、インターネット プロトコル セキュリティ (IPSec) を使用して保護できます。SCW を使用すると、以前適用したポリシー設定をロールバックできます。また、SCW は、管理スクリプトや他の管理ユーティリティと連携して、ユーザーの組織内のサーバー グループへのセキュリティ構成の適用や、サーバーが適用予定のポリシーに準拠しているかどうかの分析に使用できるコマンドライン ツールも提供しています。SCW は Active Directory とも連携して、SCW により作成されたポリシー設定をグループ ポリシーを利用して展開することもできます。

SCW セキュリティの対応範囲

SCW を使用すると、以下の操作を容易に実行できます。

不要なサービスの無効化

不要な IIS Web 拡張の無効化

マルチホーム シナリオのサポートも含め、使用されないポートのブロック

ブロックされないポートの IPSec を使用した保護

Lightweight Directory Access Protocol (LDAP)、LAN Manager、サーバー メッセージ ブロック (SMB) のプロトコルの公開

高度な SN 比 (signal-to-noise ratio) を使用した監査設定の構成

ウィザードで構成できない設定を含む Windows セキュリティ テンプレートのインポート

SCW の機能

SCW は役割 ベースのセキュリティ ポリシー作成支援以外に、以下の機能もサポートしています。

ロールバック — SCW のセキュリティポリシーの適用前の状態にサーバーを復帰させることができます。これは、適用したポリシーが原因でサービスが正常に機能しなくなった場合に有用です。

分析 — サーバーが適用予定のポリシーに準拠しているかどうかを確認できます。

リモートアクセス — リモート アクセスによる構成および分析操作をサポートします。

コマンドラインサポート — サーバー グループをリモートから構成および分析できます。

Active Directory 統合 — グループ ポリシーを使用して SCW ポリシーを展開できます。

編集 — サーバーの役割の再定義の時期など、SCW のニーズにより作成されたセキュリティ ポリシーを変更できます。

XSL ビュー — XML 形式の知識ベース、ポリシー、分析結果ファイルに保存されているデータを参照できます。

攻撃を受けやすい面の縮小は基礎的なセキュリティのベスト プラクティスですが、必要な機能を停止させることなく、Windows サーバーを適切に保護、テスト、展開する時間をなかなか取れないことが多くあります。その結果、組織内に脆弱なサーバーが存在することになる可能性があります。SCW は、ロックダウン プロセスを自動化する機能です。また、マイクロソフトにより完全にテストおよびサポートされています。脆弱性が悪用された場合、その脆弱性がすべての構成に存在しているとは限らないので、Windows サーバーの攻撃を受けやすい面を縮小することで、直ちに更新を適用すべきサーバーの台数を削減できます。

Windows の管理者は、現在はほとんどの場合、ドキュメント化されたガイドを参照するか、特定のシナリオ用の既存のセキュリティ テンプレートを利用して、セキュリティ テンプレート スナップインにより独自のセキュリティ ポリシーを定義しています。SCW は、これとは対照的に、一連の質問に答えることでカスタムのセキュリティ ポリシーを作成できるオーサリング ツールです。ウィザードによって構成できない設定については、既存のセキュリティ テンプレートをインポートできます。

SCW ユーザー インターフェイス

SCW は、既定ではインストールされません。ただし、簡単にインストールできるように、Windows コンポーネントの一覧に表示されます。SCW がインストールされると、サーバーの [スタート] メニューの [管理ツール] から起動できるようになります。

SCW は標準的な Microsoft ウィザード インターフェイスを備えており、一貫性のある、直感的な操作性を提供しています。SCW では、この標準的なウィザード インターフェイスを使用して、新しいセキュリティ ポリシーの作成や、既存のポリシーの編集手順を示します。また、SCW を使用すると、既存のポリシーを他のサーバーに繰り返し適用したり、以前適用したポリシーを取り消すこともできます。

図 7. セキュリティの構成ウィザード : 実行する操作の選択
拡大表示する

新しいポリシーを作成する場合は、まず新しいポリシーの基本となるサーバーをベースラインとして選択します。セキュリティ ポリシーが作成できたら、同様の構成の他のサーバーにも適用できるため、管理者は時間を節約できます。

図 8. セキュリティの構成ウィザード : 基本のサーバーの選択

SCW は、セキュリティ構成 (Security Configuration) データベースを作成して、ユーザーのポリシー設定情報を保存します。SCW により、セキュリティ構成データベースが構築されると、ユーザーはデータベース内の情報を参照できます。

図 9. セキュリティの構成ウィザード : セキュリティ構成データベース

SCW は、役割 (特定のサーバーに対してユーザーが設定した役割) を基にセキュリティ ポリシーを作成します。同様に、特定のサーバーに実行させるクライアント ロールも指定します。また、監査ポリシーおよびレジストリ設定をカスタマイズすることもできます。

図 10. セキュリティの構成ウィザード : サーバーの役割の選択

SCW では、ウィザードで指定されないサービスの処理、サーバーが処理する追加の管理作業、ポートの処理も構成できます。ユーザーは、ブロックしないネットワーク ポートとブロックするネットワーク ポートを明示的に指定できます。

図 11. セキュリティの構成ウィザード : 公開するポートの指定

ページのトップへ

まとめ

Windows Server 2003 Service Pack 1 は、マイクロソフトの「信頼できるコンピューティング (Trustworthy Computing)」の活動の一環として提供される製品の 1 つであり、さらに優れたセキュリティと信頼性を備えた管理しやすいソフトウェア製品の開発を続けることへのマイクロソフトの取り組みを示すものです。Service Pack 1 では、システムの累積更新をまとめて提供しています。また、さまざまな機能強化や、Windows ファイアウォール、セットアップ後のセキュリティ更新、セキュリティの構成ウィザードなどの新機能も導入されています。これらの新機能は、初めて Windows Server 2003 を導入するユーザーにとっても、既に導入済みのユーザーにとっても役立つ機能です。Service Pack 1 を導入すれば「攻撃を受けやすい面」を縮小できるので、あらゆる業種の企業でセキュリティを強化し、管理の簡素化を図ることができます。

ページのトップへ

関連リンク

詳細については、以下のリソースを参照してください。

ここにはサポートに関する情報も公開されています。

Microsoft .NET (https://www.microsoft.com/japan/net/)

Windows XP Professional オペレーティング システム (https://www.microsoft.com/japan/windowsxp/pro/default.mspx)

Microsoft .NET Enterprise Servers (https://www.microsoft.com/japan/windowsserversystem/default.mspx)

MSDN (https://www.microsoft.com/japan/msdn/)

TechNet (https://www.microsoft.com/japan/technet/default.mspx)

Windows Server 2003 の最新情報については、https://www.microsoft.com/japan/windowsserver2003/default.mspx の Windows Server 2003 Web サイトを参照してください。 このサイトで公開されているリソースの中には、Windows Server 2003 のテクノロジや機能を解説している技術文書が多数あります。技術概要のページを直接参照する場合は、https://www.microsoft.com/japan/windowsserver2003/techinfo/overview/default.mspx にアクセスしてください。

ページのトップへ