Web コンテンツの改ざんに対する防御策についての説明

Administrator アカウント名を変更する。

Administrator のアカウント名を変更することで、ハッカーに対してアカウントの特定をさせないという意味合いからも効果的です。

全てのユーザーアカウントのパスワードを再設定する。

9 文字以上に設定してください。Windows 2000 のパスワードのハッシュ作成方法の特性から、8 文字以下の場合よりもパスワードの解析が大幅に困難になります。また、先頭の 7 文字の中には英字以外の記号を使用してください。この作業はサーバーのファイルシステムに書き込み権限があるユーザー全てに対して行ってください。

付属の Hisecweb.inf セキュリティ テンプレートを確認、更新、および配備する。

Hisecweb.inf という名前のセキュリティ テンプレートが、ほとんどの安全な Web サイトに使用できるベースラインとして添付されています。このテンプレートは、Windows 2000 システム全体の基本的なポリシーを構成します。

Hisecweb.inf は、次のサイトからダウンロードできます。
http://download.microsoft.com/download/win2000srv/SCM/1.0/NT5/EN-US/hisecweb.exe

このテンプレートを使用するには、次の手順を実行します。

Telnet サーバーを保護する。

Windows 2000 に搭載されている Telnet サーバーを使用する場合は、サービスにアクセスできるユーザーを限定する必要があります。そのためには、次の手順を実行します。

TelnetClients グループが存在する場合、Telnet サービスはこのグループに定義されたユーザーにのみサーバーへのアクセスを許可します。

IPSec ポリシーを構成する。

各 Web サーバーに Internet Protocol Security (IPSec) パケット フィルタリング ポリシーを設定することを真剣に考える必要があります。このポリシーは、ファイヤウォールが破られたときのための特別レベルのセキュリティを提供します。複数レベルのセキュリティ技術を組み合わせることでよりセキュアなサイトを構築できると考えられています。

一般に、特にサポートすることを考えていない TCP/IP プロトコルや、開くことを考えていないポートは、すべてブロックする必要があります。IPSec ポリシーは、IPSec 管理ツールまたはリソースキットに付属する IPSecPol コマンド ライン ツールを使って配備できます。

仮想ディレクトリに適切な ACL (Access Control List) を設定する。

この手順は若干アプリケーションに依存するところもありますが、だいたい以下の表に示されたとおりに適用できます。

ログの記録を有効にする。

サーバーが攻撃されているかどうかを確認するときに最も重要なのは、ログの記録です。次の手順に従って、W3C Extended ログ形式を使用する必要があります。

最後の 2 つのプロパティは、1 つのコンピュータで複数の Web サーバーをホストする場合に役に立ちます。Win32 の状態プロパティは、デバッグに役立ちます。ログを調べるときは、エラー 5 に注意してください。これは、アクセス拒否を意味します。ほかの Win32 エラーの意味については、コマンド ラインに net helpmsg err (err はエラーの番号) と入力すれば調べることができます。

注 : W3C Extended ログは、ログの取得時間が 9 時間前の時刻として記録されます。これは、アクセス時間をグリニッジ標準時として記録するためであり、正しい動作です。

すべてのサンプル アプリケーションを無効または削除する。

サンプルはあくまでもサンプルで、デフォルトではインストールされません。製品サーバーには絶対にインストールしないでください。http://localhost または 127.0.0.1 からのみアクセスできるようにインストールされるサンプルもありますが、これらも削除する必要があります。

以下の表は、一部のサンプルについて、デフォルトで配置される場所を示しています。

IIS 5.0 に含まれているサンプル ファイル

IISADMPWD 仮想ディレクトリを削除する。

このディレクトリは、Windows NT と Windows 2000 のパスワードのリセットを可能にします。これは、本来、イントラネットのために設計されたもので、IIS 5 の一部としてはインストールされていませんが、IIS 4 サーバーを IIS 5 にアップグレードしても削除されません。イントラネットを使用しない場合、または Web にサーバーを接続する場合は、これを削除する必要があります。この機能についての詳細は、Microsoft サポート技術情報の記事 184619 を参照してください。

未使用のスクリプト マッピングを削除する 。

IIS は、.asp ファイルや .shtm ファイルのような、一般的なファイル名拡張子をサポートするように構成されています。IIS でこれらのファイル タイプに対する要求を受信すると、その呼び出しは DLL によって処理されます。これらの拡張子や機能を使用しないのであれば、次の手順に従って、このマッピングを削除する必要があります。

次の参照を削除します。

IIS 5.0 から削除する拡張子

重要 : .htr 機能を使用するミッション クリティカルな理由がない限り、.htr 拡張子は削除してください。

ハード ディスクを NTFS 形式でフォーマットする。

NTFS はアクセス制御リストをサポートしているので、分散したアプリケーションではなく Windows NT にセキュリティの原則を設定できます。FAT を使用している場合は、CONVERT.EXE ツールを使って NTFS に変換できます。

すべての Net Share を削除する。

コマンドラインから Net Share を実行し、Net Share /d を使用してすべての共有資源(フォルダやプリンタ) を確実に削除してください。また、レジストリで次のように設定することで、すべての管理用共有資源 (C$, D$, ADMIN$) の共有を解除します。

ハイブ: HKEY_LOCAL_MACHINE\SYSTEM
キー: CurrentControlSet\Services\LanmanServer\Parameters
名前: AutoShareServer
型: REG_DWORD
値: 0

パスワード長を設定する。

9 文字以上に設定してください。Windows NT のパスワードのハッシュ作成方法の特性から、8 文字以下の場合よりもパスワードの解析が大幅に困難になります。また、先頭の 7 文字の中には英字以外の記号を使用してください。

ユーザー アカウント、グループ メンバーシップ、および権限を確認する。

サーバー上のユーザー数とグループ数を最小限にして、グループ メンバーシップを小さく保つようにします。Administrators グループと Domain Admins グループにリストされる最も信頼されたアカウントのみを配置するようにします。また、デフォルト以外のユーザーとグループに権限を付与する場合は細心の注意を払ってください。ユーザー マネージャの [原則] メニューの [ユーザーの権利] をクリックすることで、権限情報にアクセスできます。

Administrator アカウント名を変更する。

これは、"あいまいさによるセキュリティ" の例であると同時に、ハッカーにとっては admin アカウントを決定するためにしなければならない作業が増えることになります。"偽の" 管理者を追加することで、アカウント攻撃の検出に役立てることを考慮してください。

Admin アカウントに推測困難なパスワードを設定する。

admin アカウントに非常に難解なパスワードを設定し、それを頻繁に変更するようにします。詳細については、ここをクリックしてください。

匿名のネットワーク アクセスを制限する。

Windows NT では、認証されていないユーザーが Windows NT ドメインのユーザーを列挙できる機能が備わっています。この機能を無効にするには、レジストリで次のように設定します。

ハイブ: HKEY_LOCAL_MACHINE\SYSTEM
キー: CurrentControlSet\Control\LSA
名前: RestrictAnonymous
型: REG_DWORD
値: 1

[ネットワーク経由でコンピュータへアクセス] を [Everyone] から [Authenticated Users] に変更する。

これにより、ドメインまたはそのマシンでアカウントを持つユーザーのみが、サーバー上の共有資源にアクセスできるようになります。これを行うには、ユーザー マネージャの [原則] メニューの [ユーザーの権利] をクリックし、[権利] ボックスから [ネットワーク経由でコンピュータへアクセス] を選択して、[この権利を与えられたアカウント] ボックスの一覧から [Everyone] を削除し、[Authenticated Users] を追加します。

TCP/IP から NetBIOS をアンバインドする。

TCP/IP から NetBIOS をアンバインドすると、ユーザーが NBTSTAT のようなツールを使ってマシン情報にアクセスすることができなくなります。

成功/失敗したログオン/ログオフを監査する。

ユーザー マネージャの [原則] メニューの [監査] をクリックし、[監査するイベント] をクリックします。"ログオンとログオフ" の成功と失敗をチェックし、"成功/失敗したログオン/ログオフを監査する" を有効にします。

監査ログの上書き間隔を設定する。

イベント ビューアの [ログ] メニューの [ログの設定] をクリックし、3 つすべてのログについて、最大サイズと [イベントを上書きする] を設定します。数日間隔でログが上書きされ、ログの最大サイズが小さい場合は、かなり頻繁にログをチェックする必要があります。

TCP/IP フィルタリングを構成する。

各ネットワーク カードでどのポートを許可するかを指定することで、TCP/IP フィルタリングを構成します。コントロール パネルの [ネットワーク] アイコンをダブルクリックし、[プロトコル] タブの [ネットワーク プロトコル] ボックスから [TCP/IP] を選択します。次に、[プロパティ] ボタンをクリックして [IP アドレス] タブの [詳細] をクリックし、[セキュリティ処理を行う] チェック ボックスをオンにして [構成] をクリックます。ここで次のオプションを設定します。

TCP ポート 80 と 443 のみを許可する。 (SSL を設定している場合)
UDP ポートは許可しない 。
IP プロトコル 6 (TCP) のみを許可する。

仮想ディレクトリに適切な ACL (Access Control List) を設定する。

この手順は若干アプリケーションに依存するところもありますが、だいたい以下の表に示されたとおりに適用できます。

必要最低限のインターネット サービスをインストールする。

一般に、サーバーへのエントリ ポイントを減らすことは、良い方法であると思われます。Windows NT の場合、これはサービス数が減少することを意味します。

最低限必要なサービスは、以下になります。

もし必要であれば、以下のサービスをインストールします。

上記以外のサービスは必要ないと考えられますが、必要に応じて追加してください。

詳細については、サポート技術情報 189271 を参照してください。

注 : 上記 サポート技術情報 189271 にしたがい、NetBIOS Interface を無効にしますと、イベント ID 105 が発生します。このエラーは悪性のものではなく、Web サービスや FTP サービスが影響をうけることはありません。詳細については、サポート技術情報 240779 を参照してください。

適切な認証メソッドを設定する。

これらはアプリケーション固有ですが、アプリケーションにとって "十分強力な" 認証を使用する必要があります。信頼を高めるために IIS4 でサポートされる認証スキーマは次のとおりです。

通常、インターネット上の Web サーバーでユーザー認証を行う場合に、基本認証が利用されます。基本認証ではパスワードをエンコードしただけの安全とはいえない状態で送出されます。そのため、認証を必要とされるサイトの場合には、SSL の利用をお勧めします。

適切な仮想 IIS ログ ファイル ACL を設定する。

IIS で生成されたログ ファイル (%systemroot%\system32\LogFiles) の ACL は、次のように設定されていることを確認してください。

これにより、悪意のあるユーザーが痕跡を隠そうとするのを防止できます。

ログの記録を有効にする。

サーバーが攻撃されているかどうかを確認するときに最も重要なのは、ログの記録です。次の手順に従って、W3C Extended ログ形式を使用する必要があります。

最後の 2 つのプロパティは、1 つのコンピュータで複数の Web サーバーをホストする場合に役に立ちます。Win32 の状態プロパティは、デバッグに役立ちます。ログを調べるときは、エラー 5 に注意してください。これは、アクセス拒否を意味します。ほかの Win32 エラーの意味については、コマンド ラインに net helpmsg err (err はエラーの番号) と入力すれば調べることができます。

注 : W3C Extended ログは、ログの取得時間が 9 時間前の時刻として記録されます。これは、アクセス時間をグリニッジ標準時として記録するためであり、正しい動作です。

また、World Wide Web Publishing Service サービスを開始してから、49 日間一度も再起動を行わなかった場合、IIS のログの日付、時間が更新されずに、同じ時間のログが記録される場合があります。詳細については、223137 をご確認ください。

すべてのサンプル アプリケーションを無効にする、または削除する。

サンプルはサンプルでしかありません。サンプル アプリケーションは特に指定しない限りインストールされず、本番用サーバーにインストールされるべきではありません。これには、ドキュメンテーション (サンプル コードを含む SDK ドキュメンテーション)、Exploration Air サンプル サイトなどが含まれます。サンプル アプリケーションの既定ディレクトリは次のとおりです。

IISADMPWD 仮想ディレクトリを削除する。

このディレクトリでは、Windows NT パスワードをリセットできます。主にイントラネットでの使用を想定して設計されています。この機能が必要ではない場合、またはサーバーが Web 上に存在する場合は、削除する必要があります。この機能の詳細については、184619 [IIS]IIS 4.0を使用した Windows NT アカウントのパスワード変更方法を参照してください。

使われていないスクリプト マッピングを削除する。

IIS はあらかじめ .ASP や .SHTM などの普通のファイル名拡張子をサポートするようにために構成されています。IIS はこれらのタイプのファイルに対するリクエストを受信すると、そのファイルの呼出しが DLL によって処理されます。これらの拡張子や機能のうちで使用しないものがある場合、次の方法でマッピングを削除する必要があります。インターネット サービス マネージャを開き、Web サーバーを右クリックして [プロパティ] をクリックし、[マスタ プロパティ] ボックスの [WWW サービス] を選択して [編集] ボタンをクリックします。次に、[ホーム ディレクトリ] タブの [構成] ボタンをクリックして次の参照を削除します。

Internet Information Services 5.0 セキュリティのチェックリスト
http://www.microsoft.com/japan/technet/prodtechnol/windows2000serv/technologies/iis/tips/iis5chk.mspx

Internet Information Server 4.0 セキュリティ チェックリスト
http://www.microsoft.com/japan/technet/archive/security/chklist/iischk.mspx