サービスおよびサービス アカウントのセキュリティ計画ガイド

要点

このガイドは、Microsoft® Windows Server™ 2003 と Windows® XP の各オペレーティング システムで実行されるサービスのセキュリティを保護する戦略を立てるための重要な資料です。このガイドでは、最高レベルの特権で実行するように設定されている Windows サービスに共通の問題点に対処します。攻撃者はこのようなサービスを使って、コンピュータやドメイン、さらにはフォレスト全体に侵入して、完全かつ無制限のアクセス権を得ることができます。そのため、より低い特権で実行できるサービスを特定する方法、およびこれらの特権を体系的に低く設定する方法について説明します。このガイドでは、現在のサービスのインフラストラクチャを査定し、今後のサービス展開を計画するうえでいくつか重要な決定を行えるようにします。

マイクロソフトでは、Windows Server 2003 や Windows XP オペレーティング システムに含まれているサービスは既定のログオン アカウントで実行できることを既にテスト済みで、それらのサービスが最小限の特権レベルで実行され、十分に安全であることを確認しています。このようなサービスは変更しないでください。このガイドでは、主にオペレーティング システムから提供されているのではないサービスのセキュリティを保護する方法について取り上げています。このようなサービスの例には、Microsoft SQL Server™ や Microsoft Operations Manager など、他のマイクロソフトのサーバー製品のコンポーネントとして提供されるサービスなどがあります。サードパーティ製ソフトウェア アプリケーションや社内で開発された基幹業務アプリケーションと共にインストールされるサービスには、セキュリティの強化を必要とするものもあります。

このガイドの主な目標は、ホスト オペレーティング システム上のサービスが侵害された場合に、その影響を軽減できるようにすることです。このガイダンスは、Microsoft Security Center of Excellence (SCoE) の顧客環境での体験に基づいて作成されたものであり、マイクロソフトのベスト プラクティスを提示するものです。

概要

組織では、できる限りサービスのセキュリティを保護して実行する必要があります。組織にポリシーやベスト プラクティスがあれば、セキュリティが保護されていないサービスを悪用から保護できます。脆弱性が悪用されると、サービスの開始時や、サービスからドメイン内の別のコンピュータへの接続時に、サービスの認証に使用されているユーザー名やパスワードにアクセスできる可能性があります。最悪の場合には、未承認のユーザーがドメインレベルの管理者権限を得てしまいます。

Windows サービスは、現在ログオンしているユーザーのセッション以外のセッションで実行される実行プログラムで、ユーザー セッションとは無関係にバックグラウンドで実行されます。サービスはコンピュータの起動時に自動的に開始したり、一時停止や再起動を行うことができます。また、通常はユーザー インターフェイス (UI) を使用してサービスの制御や管理を行いますが、UI を表示しないようにすることもできます。このため、サーバーで使用したり、同一のコンピュータで作業している他のユーザーを妨害せずに長期間実行したりする機能が必要な場合に適しています。マイクロソフトが作成したサービス以外にも、多くのサードパーティ ベンダがバックグラウンドで実行し続けるサービスとして展開できる製品を設計しています。

サービスのセキュリティの脆弱性は、組織が最初にサービスを展開した方法によって生じます。ユーザーと同様に、サービスがコンピュータやネットワーク リソースを使用する際にそのサービスを認証する手段が必要です。Windows 2000 オペレーティング システムがリリースされるまで、ネットワーク上のリソースにアクセスするサービスでは、対象の各リモート サーバーへのサービスの認証にドメイン ユーザー アカウントを使用していました。ローカル システム アカウントはネットワーク経由の認証に使用できませんでした。Windows 2000 がリリースされると、ドメイン ユーザー アカウントと同じように、ローカル システム アカウントを使用してネットワーク リソースを認証できるようになりました。ただし、認証の際にコンピュータの資格情報が使用されます。コンピュータ アカウントは UserAccountControl 属性を備えていないだけのユーザー アカウントなので、ユーザー アカウントと同様にログオンしてリソースにアクセスできることに留意してください。この変更により、サービス展開用の一般的なアカウントの 1 つとしてローカル システム アカウントが使用されるようになりました。Windows Server 2003 がリリースされると、ローカル システム アカウントと同様の新しいビルトイン アカウントが 2 つ追加されたことにより、再び状況が変わりました。この新しいビルトイン アカウントとは、Network Service アカウントと Local Service アカウントです。

新しい Network Service アカウントでも、リモート認証時にコンピュータの資格情報が使用されますが、サーバー自体に対する特権レベルが大幅に低く抑えられ、ローカル管理者特権がありません。新しい Local Service アカウントは、Network Service アカウントと同様に特権レベルは低くなっていますが、名前が示すとおり、ネットワーク リソースに対して認証することはできません。

ネットワーク資産のセキュリティを保護することを求めている組織にとって、サービスのセキュリティを保護して実行することは重要な第一歩です。

サービスのセキュリティを保護して実行する理由

サービスのセキュリティを保護して実行すると、ビジネス上重要な利点を得ることができます。サービスのセキュリティを強化することで、コンピュータが攻撃を受ける範囲を減らすことができ、組織全体のセキュリティが強化されます。また、重要なデータや機密データが保護されます。コンピュータの安定性が高まり、システムの稼働時間が改善されます。管理上のオーバーヘッドを削減できるので、サーバーの保有コストが削減されます。

このガイドでは、現在のサービス インフラストラクチャを査定し、今後のサービス展開を計画するうえでいくつかの重要な決定を行えるようにします。

対象読者

このガイドは、Windows Server 2003 のアプリケーションやインフラストラクチャの開発と展開の計画段階を担当するコンサルタント、セキュリティ担当者、システム設計者、および IT 技術者を対象にしています。これらの役割が担う一般的な責務と担当者は以下のとおりです。

『サービスおよびサービス アカウントのセキュリティ計画ガイド』は、基本的には上記のような職務の担当者を対象にしていますが、中大規模組織の IT ゼネラリストや、Microsoft Operations Framework (MOF) チーム モデルで特定されるインフラストラクチャ、運用、およびセキュリティ チームの担当者も支援します。

設計ガイドの概要

このガイドは、次の章で構成されています。

第 1 章 : はじめに

要点、ビジネス上の課題と利点の紹介、推奨対象読者、各章の概要を示します。

第 2 章 : サービスのセキュリティを保護して実行するためのアプローチ

サービスへのログオンに使用するアカウントの種類を概説し、サービスのセキュリティを保護して実行するためのプログラムを計画するときに適用する原則と戦略について説明します。

第 3 章 : サービスのセキュリティを保護して実行する方法

前の章で説明した原則と戦略に従って、サービスのセキュリティを保護して実行する方法について説明します。Windows Server 2003 Service Pack 1 に含まれている新しいセキュリティの構成ウィザードについても説明します。このウィザードは、サービスのセキュリティを保護して実行する計画に不可欠のリソースです。

第 4 章 : まとめ

このガイドで紹介したガイダンスと対処した問題についてまとめます。その他の関連資料へのリンクも提供します。

ページのトップへ

2 of 6