サービスおよびサービス アカウントのセキュリティ計画ガイド
第 4 章 - まとめ
最終更新日: 2006年2月1日
ダウンロード
.gif){kind=icon}
サービスおよびサービス アカウントのセキュリティ計画ガイド (英語)
以前は、開発者はネットワーク オペレーティング システムにおける優先事項はアクセスの確保であるという前提に基づいていました。また、多くの組織にとってはそれが事実でした。ユーザーがリソースにアクセスできなかったり、必要なサービスを実行できなかったりすると、生産性が低下しました。侵入や攻撃に関連付けられるリスクよりも、容易なアクセスや簡単に実行できるサービスの必要性が優先されていました。しかし、悪意のあるコードやウイルスの作成者が増え、洗練されていくにつれて、リスクが増してきています。現在では、多くの組織がセキュリティを最優先事項として対応するようになりました。
以前はアプリケーションやサービスをエンタープライズ環境にインストールするときに、すべての機能が利用できる最高レベルのアクセス許可を使用するのが一般的でした。
このことは、従来、次のような要素に起因していました。
マイクロソフトなどのソフトウェア ベンダは、顧客のネットワーク環境について完全なビジョンを持っていませんでした。
顧客は、相互運用性を必要とするさまざまなソフトウェア ベンダの製品を所持していました。
アプリケーションをインストールしたユーザーと、アプリケーションを実行するユーザーが同じであるという前提がありました。
ただし、上記の要因は、組織がサービス アカウントに必要以上に高い特権レベルを与えてしまったり、アプリケーションとサービスが攻撃者によって最初に対象とされる脆弱性になっていたことも意味します。
このような問題は、独立系ソフトウェア ベンダ (ISV) が Microsoft® .NET Framework を使用するアプリケーションや Microsoft Visual Studio® 2005 などの開発環境内で役割ベースのセキュリティの優れた統合を実現したことによっていくぶん対処されてきました。
また、マイクロソフトは最新のオペレーティング システムである Microsoft Windows Server™ 2003 を大幅に変更することによって問題に対処しています。Windows Server 2003 では追加設定の必要がなく、使用開始からオペレーティング システムのセキュリティが保護されています。
Windows Server 2003 オペレーティング システムの変更点には、共有フォルダと共有ファイルの両方のリソースに対する既定のアクセス許可が異なることや、Everyone グループのメンバシップに関する変更、オブジェクトの所有者に関する変更、共通のサービスにおける既定の設定に関する変更、認証プロセスに関する変更などがあります。
Windows Server 2003 と以前のバージョンの Windows での既定のセキュリティ設定の違いに関する詳細については、「既定のセキュリティ設定の違い」(https://technet2.microsoft.com/windowsserver/en/library/1494bf2c-b596-4785-93bb-bc86f8e548d51033.mspx) を参照してください。
サービスは現在でも攻撃者に最初に対象とされる脆弱性です。そのため、非常に高いレベルの特権で実行されるサービスのリスクは特に高いといえます。使用する必要のない特定のサービスがある場合は無効にしてください。不要なサービスを無効にすると、ネットワークの攻撃を受けやすい対象をすぐに減らすことができます。クライアントを認証しないサービスや安全性の低いプロトコルを使用するサービスにも高いリスクがあります。詳細については、「IPsec とグループ ポリシーを使用したサーバーおよびドメインの分離」(https://go.microsoft.com/fwlink/?linkid=33945) を参照してください。
必要なサービスについては、プロセスを確認してください。プロセスを確認することにより、管理者は必要に応じてシステム特権を使用している Windows サービスを特定し、特定したサービスの実行に必要な最小特権を確立した後、低いレベルの特権でサービスを再展開することができます。
トピック
次の手順
サービスのセキュリティを保護して実行する方法を定義したプログラムを組織にまだ展開していない場合、この計画ガイドによってこのようなプロジェクトの計画についての基盤が提供されます。
サービスのセキュリティを保護して実行する方法を計画する際に、組織で行う必要がある主要な手順は次のとおりです。
Windows サービスの既存の特権レベルを特定するプロセスを定義します。
特定のサービスの実行に必要な最小限の特権レベルを確立するための系統的な方法を確認します。
運用環境にほとんど影響を与えずに既定以外のサービスに与えられた特権のレベルを低くするための体系的な方法を定義します。
参考資料
サービスのセキュリティを保護して実行するプログラムの整合性を確保できるかどうかは、長期的なメンテナンスによって決まります。Microsoft Operations Framework (MOF) では、運用上のベスト プラクティスに関する一般的な情報を説明しています。MOF の詳細については、Microsoft Operations Framework の Web サイト (www.microsoft.com/japan/technet/itsolutions/techguide/mof/default.mspx) を参照してください。
このガイドは、基本的には一連のベスト プラクティスで構成されています。サービスのセキュリティを保護して実行するためのその他のベスト プラクティスについては、次のリソースを参照してください。
Windows Server 2003 のシステム サービスの詳細については、『脅威とその対策ガイド』(www.microsoft.com/japan/technet/security/guidance/serversecurity/tcg/tcgch01n.mspx) の第 7 章「システム サービス」を参照してください。
Service Pack 1 を適用した Windows Server 2003 でセキュリティを強化し、信頼性を向上して、管理を簡素化する方法の詳細については、Windows Server 2003 Service Pack 1 の Web サイト (www.microsoft.com/japan/windowsserver2003/downloads/servicepacks/sp1/default.mspx) を参照してください。
Windows Server 2003 でグループ ポリシーおよび Active Directory® サービス インフラストラクチャを使用する方法の詳細については、「グループ ポリシー」(www.microsoft.com/japan/windowsserver2003/technologies/management/grouppolicy/default.mspx) を参照してください。
MBSA の詳細については、Microsoft Baseline Security Analyzer (MBSA) の Web サイト (www.microsoft.com/japan/technet/security/tools/mbsahome.mspx) を参照してください。
Windows Management Instrumentation の詳細については、次のリソースを参照してください。
現在の Windows オペレーティング システムのセキュリティの詳細については、次のリソースを参照してください。