Windows 2000 セキュリティ強化ガイド

トピック

	はじめに
	ドキュメントの概要
	用語、規則、および前提条件
	改訂履歴

はじめに

Windows 2000 セキュリティ強化ガイドへようこそ。このドキュメントは、管理者を対象として、セキュリティで保護された Windows 2000 システムの設定および構成方法を複数のシナリオを使用して説明します。このドキュメントの内容は、Microsoft が発行している『Microsoft Solutions for security』 (英語)などの、他のセキュリティ強化ガイドの基礎を構成するものです。

このドキュメントは、『Windows 2000 Common Criteria Security Configuration Guide』 (英語) に代わるものではなく、広く一般的に適用可能なガイドです。Windows 2000 の共通基準 (Common Criteria) で評価された構成で指定されているサービスの選択および除外が可能なシステムに幅広く適用されます。共通基準のガイドは、共通基準の評価要件への準拠が特に求められ、そのためにユーザビリティの一部を犠牲にする必要がある汎用システム向けに作成されています。一方、このドキュメントは、基本的なオペレーティングシステム機能のトレードオフが不要な、一般的なシステムクラスに関する包括的なガイドを提供することを目的としています。このガイドの推奨事項の大部分は、Microsoft のお客様が新しいビルドのシステムだけではなく、既存の Windows 2000 システム推奨設定を安全に展開できるように選択されています。また、Windows Server 2003 の既定のアクセス許可も確認し、既存の Windows 2000 Server のサービスを停止しないアクセス許可を推奨しています。

ページのトップへ

ドキュメントの概要

このドキュメントは次の章で構成されています。

「第 1 章 - はじめに」では、このドキュメントの目的と構成および対象読者の前提条件について紹介します。

「第 2 章 - システム構成」では、このドキュメントの説明で対象となる Windows 2000 の構成を確認します。

「第 3 章 - オペレーティングシステムのインストール」では、Windows 2000 のインストール方法について説明します。

「第 4 章 - セキュリティが保護された構成」では、Windows 2000 のセキュリティの変更方法について説明します。

「第 5 章 - セキュリティの構成」では、推奨される構成変更と付属のテンプレートを使用して変更を自動化する方法について説明します。

「第 6 章 - Windows 2000 Hardening Guide 構成テンプレート」

「第 7 章 - 参照情報」では、このドキュメントの作成に使用された参照情報を提供します。

「付録 A - Windows 2000 の既定のセキュリティポリシーの設定」では、Windows 2000 の既定のセキュリティポリシーの設定を確認します。

「付録 B - ユーザーの権利と特権」では、Windows 2000 の既定のユーザーの権利の割り当てを確認し、推奨される変更を要約します。

「付録 C - Windows 2000 のセキュリティ構成チェックリスト」には、必要なインストールと構成手順すべての実行を確認する、構成チェックリストがあります。

ページのトップへ

用語、規則、および前提条件

このドキュメントは、全体を通して次の用語と規則に従っています。

また、このドキュメントでは何も設定を要求していないことも重要な点です。このドキュメントはセキュリティのガイドを説明するのみで、要件を実行する箇所はありません。このような性質上、一部に「強くお薦めする設定」もありますが、設定はあくまでも推奨事項です。通常、強くお薦めするものは、機能への影響が非常に小さく、セキュリティ上の効果が大きい設定です。

また、既定値がこのガイドの目的に即している場合、設定に関する説明が省略されていることもあります。これは主として、ガイドが長くなるのを防ぎ、読みやすくするための措置です。従って、セキュリティ インターフェイスのいずれかで設定が示され、このガイドに説明がない場合は、設定を既定値に保持することをお薦めします。

物理的にセキュリティが保護されていないコンピュータを保護することは不可能です。コンピュータに物理的にアクセスできる攻撃者は、最終的に侵入が可能です。Windows 2000 でも、その他のオペレーティングシステムでも、物理的なセキュリティが保護されていないコンピュータを保護することはできません。このため、このガイドの推奨事項は、物理的にコンピュータが承認されないユーザーによる攻撃から保護されていることを前提としています。セキュリティに関する鉄則では、「悪意のある攻撃者があなたのコンピュータに対して物理的なアクセスを無制限に行える場合、もはやそれはあなたのコンピュータではない」とされています (http://www.microsoft.com/japan/technet/archive/community/columns/security/essays/10imlaws.mspx)。初めから物理的に保護されていないコンピュータに、推奨されている構成設定を適用することはお薦めしません。このようなコンピュータはセキュリティ上の問題があり、初めから構築しなおす必要があると見なされます。

このガイドの設定は、少なくともファイアウォールかフィルタリングルータで保護されたネットワーク上に配置されたシステム向けのものです。このガイドで意図する最小限のファイアウォールとは、少なくとも TCP ポート 135、139、445、UDP ポート 135、137、445 をブロックするものです。ファイアウォール保護が何もない要塞ホストシステム (インターネットに直接接続される) の場合は、このガイドで説明しているセキュリティ要件より厳しくする必要があります。要塞システムでは、セキュリティを保護するため重要な機能を犠牲にせざるを得ない場合もあります。このようなシステムのセキュリティ保護にもこのガイドの構成設定を使用できますが、一部の設定は再検討が必要な場合もあります。状況によっては、要塞ホストに推奨される追加の変更が強調表示されています。

このガイドで推奨される設定の多くは、Service Pack 3 より前のサービスパックリビジョンでは機能しません。以前のバージョンの Windows 2000 についてはテストが行われていません。Service Pack 3 は http://www.microsoft.com/japan/windows2000/downloads/ のサイトからダウンロードできます。

このガイドは、Microsoft Internet Information Services (IIS) を実行するシステムのセキュリティ保護方法を示す公式ドキュメントではありません。Windows 2000 サーバー製品では既定で IIS がインストールされますが、Web サーバーのセキュリティ保護についてはこのドキュメントでは扱いません。IIS を使用しない場合は、アンインストールしてください。詳細が必要な場合は、Microsoft の IIS のセキュリティ保護に関する TechNet/Security Web サイト http://www.microsoft.com/technet/archive/security/chklist/iis50srg.mspx (英語) を参照してください。.特に、最新の修正プログラムすべてをインストールするだけではなく、サーバーに IIS Lockdown ツールと URLScan も使用するように強くお薦めします。これらのツールは次の Web サイトで入手可能です。

このガイドは、読者がオペレーティングシステムのインストールやサーバーのドメインコントローラへの昇格などの基本的なシステム管理の概念を理解していることを前提にしています。このような概念を理解していない読者には、Windows 2000 管理者用コースのいずれかを受講するようにお薦めします。詳細については、Microsoft のトレーニングと認定資格の Web サイト (http://www.microsoft.com/japan/partners/mtc/) を参照してください。

ページのトップへ

改訂履歴

ページのトップへ

1 of 10