Windows Server 2003 セキュリティ ガイド

トピック

	概要
	匿名アクセスと SSLF 設定
	監査ポリシーの設定
	ユーザー権利の割り当て
	セキュリティ オプション
	イベント ログの設定
	追加のセキュリティ設定
	SCW を使用してポリシーを作成する
	まとめ

概要

この章では、環境内で Microsoft® WindowsServer™2003 SP1 を実行する Web サーバーのセキュリティ強化に役立つ指針を説明します。組織のイントラネット内の Web サーバーおよびアプリケーションを包括的にセキュリティ保護するため、各 Microsoft インターネットインフォメーションサービス (IIS) サーバーと、そのサーバーで実行している各 Web サイトおよびアプリケーションを、そのサーバーおよびアプリケーションに接続してくるクライアント コンピュータから保護することをお勧めします。また、これらの Web サイトおよびアプリケーションを、組織のイントラネット内の他 IIS サーバー上で実行している Web サイトおよびアプリケーションから保護する必要もあります。

悪質なユーザーおよび攻撃者から保護するため、Windows Server 2003 ファミリのメンバについては、既定の構成では IIS はインストールされません。インストールされた場合、IIS はセキュリティの厳しい "ロック" モードになります。たとえば、IIS の既定の状態では、静的なコンテンツのみが処理されます。Active Server Pages (ASP)、ASP.NET、サーバー側インクルード (SSI)、Web Distributed Authoring and Versioning (WebDAV) 発行、Microsoft FrontPage® Server Extensions などの機能は、侵入者によって悪用される可能性があるので、動作させるには管理者が有効にする必要があります。これらの機能とサービスは、インターネット インフォメーション (IIS) サービス マネージャ の Web サービス拡張ノードで有効にできます。IIS マネージャは、IIS の管理を容易にするために設計されたグラフィカル ユーザー インターフェイス (GUI) です。IIS マネージャには、ファイル管理、ディレクトリ管理、およびアプリケーション プール構成に使用するリソースと、セキュリティ、パフォーマンス、および信頼性のための各種機能が組み込まれています。

組織のイントラネット内で HTML コンテンツをホストする IIS Web サーバーのセキュリティを向上させるために、この章の以下で説明する設定を実装することを検討してください。また、サーバーのセキュリティを保護するために、新しい脅威を検出できるようにセキュリティの監視、検出、および対応の手順を導入する必要もあります。

この章で説明しているほとんどの設定は、グループ ポリシーを使用して構成および適用されています。MSBP を補う付加的な GPO を適切な OU にリンクすると、Web サーバーのセキュリティはさらに向上します。使いやすさを考慮し、この章では MSBP と異なるポリシー設定だけについて説明します。

これらの設定は、Web サーバー OU に適用される付加的なグループ ポリシー テンプレートに、可能な限りまとめられています。この章で説明している設定の一部は、グループ ポリシーを使用して構成することができません。このような設定を手動で構成する方法についても、詳しく説明します。

次の表は、このガイドで定義している 3 種類の環境ごとに Web サーバー セキュリティ テンプレートの名前を示しています。これらの Web サーバー セキュリティ テンプレートには、付加的な Web サーバー テンプレートのポリシー設定が用意されています。このテンプレートを使用して、適切な環境で Web サーバー OU にリンクされる新しい GPO を作成できます。OU とグループ ポリシーを作成し、適切なセキュリティ テンプレートを各 GPO にインポートする手順の詳細については、「第 2 章 WindowsServer2003 のセキュリティ強化メカニズム」を参照してください。

表 9.1 IIS サーバー セキュリティ テンプレート

すべての既定の設定については、http://go.microsoft.com/fwlink/?LinkId=15159 の関連ガイド『脅威とその対策 : Windows Server 2003 と Windows XP のセキュリティ設定』を参照してください。

このガイドでは、最小限の機能をインストールおよび有効にして IIS をセキュリティ保護する方法について説明します。IIS で追加機能を使用する予定がある場合は、セキュリティ設定の一部を調整する必要があります。SMTP、FTP、NNTP などのサービスを追加インストールする場合は、用意されたテンプレートやポリシーを調整する必要があります。

http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx の「IIS and Built-in Accounts (IIS 6.0)」(英語情報) では、IIS の各種機能で使用されるアカウントとそれぞれに必要な権限について説明しています。
複雑なアプリケーションをホストする Web サーバーにセキュリティの高い設定を実装する場合は、http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/848968f3-baa0-46f9-b1e6-ef81dd09b015.mspx の「IIS 6.0 Documentation」(英語情報) を全部を読むと参考になります。

ページのトップへ

匿名アクセスと SSLF 設定

MSBP の SSLF のシナリオで明示的に定義されている 4 種類のユーザー権利は、IIS Web サイトへの匿名アクセスを阻止することを目的としています。ただし、SSLF 環境で匿名アクセスを許可する必要がある場合は、このガイドの第 2 章、第 3 章、および第 4 章で説明している OU 構造と GPO に重要な変更を行う必要があります。また、メンバ サーバー OU の下位階層に属さない新しい OU を作成する必要があります。この OU をドメイン ルートに直接リンクするか、別の OU 階層の子 OU にします。ただし、この新しい OU 内に配置する IIS サーバーに影響を与える GPO には、ユーザー権利を割り当てないでください。ユーザー権利がドメイン ベースの GPO によってではなくローカル ポリシーによって制御されるように、IIS サーバーを新しい OU に移動し、新しい GPO を作成してから、その GPS に MSBP 設定を適用し、ユーザー権利の割り当てを設定し直すことができます。つまり、この新しい GPO では、次のユーザー権利を未定義に設定する必要があります。

有効にする必要がある IIS 機能の設定内容によって、未定義に設定する必要がある他のユーザー権利の割り当てを設定し直す必要があるかどうかが決まります。

ページのトップへ

監査ポリシーの設定

このガイドで定義している 3 種類の環境における IIS サーバーの監査ポリシーの設定は、MSBP を使用して構成されます。MSBP の詳細については、「第 4 章 メンバ サーバー ベースライン ポリシー」を参照してください。MSBP の設定によって、関連するすべてのセキュリティ監査情報がすべての IIS サーバーに記録されます。

ページのトップへ

ユーザー権利の割り当て

このガイドで定義している 3 種類の環境における IIS サーバーのユーザー権利の割り当て設定は、MSBP を使用して構成されます。MSBP の詳細については、「第 4 章 メンバ サーバー ベースライン ポリシー」を参照してください。MSBP の設定によって、関連するすべてのセキュリティ監査情報がすべての IIS サーバーに記録されます。

ページのトップへ

セキュリティ オプション

このガイドで定義している 3 種類の環境における IIS サーバーのセキュリティ オプションの設定は、MSBP を使用して構成されます。MSBP の詳細については、「第 4 章 メンバ サーバー ベースライン ポリシー」を参照してください。MSBP の設定により、関連するすべてのセキュリティ オプションが IIS サーバー間で同一に構成されます。

ページのトップへ

イベント ログの設定

このガイドで定義している 3 種類の環境における IIS サーバーのエラー ログの設定は、MSBP を使用して構成されます。MSBP の詳細については、「第 4 章 メンバ サーバー ベースライン ポリシー」を参照してください。MSBP の設定により、適切なイベント ログの設定が組織内の IIS サーバー間で同一に構成されます。

ページのトップへ

追加のセキュリティ設定

IIS が WindowsServer2003 SP1 を実行するコンピュータにインストールされている場合は、IIS の既定の設定では、静的な Web コンテンツの転送のみが許可されます。Web サイトとアプリケーションが動的コンテンツを含んでいたり、何らかの追加 IIS コンポーネントが必要となる場合には、 IIS 追加機能を個別に有効にする必要があります。ただし、環境内の各 IIS サーバーに対する攻撃の危険性を最小限に抑えるように注意する必要があります。組織内の Web サイトが静的コンテンツのみで構成されており、他の IIS コンポーネントを一切必要としない場合は、既定の IIS の構成で、IIS サーバーの構成で、IIS サーバーが攻撃を受ける危険性を最小限に抑えることができます。

MSBP を使用してセキュリティ設定を適用することで、IIS サーバーのセキュリティを大幅に強化できます。それでも、検討する必要のある追加の設定がいくつかあります。ここで説明する設定はグループ ポリシーでは実装できないので、すべての IIS サーバーにおいて手動で構成する必要があります。

必要な IIS コンポーネントのみインストールする

IIS 6.0 には、World Wide Web Publishing Service 以外にも、FTP、NNTP、SMTP を提供するために必要なサービスなど、コンポーネントとサービスがあります。IIS のコンポーネントとサービスをインストールして有効化するには、Windows コンポーネント ウィザードの [アプリケーション サーバー] を使用します。このツールは、[コントロールパネル] の [プログラムの追加と削除] から起動します。IIS をインストールしたら、Web サイトおよびアプリケーションに必要なすべての IIS コンポーネントおよびサービスを有効にする必要があります。

インターネット インフォメーション サービス (IIS) 6.0 をインストールするには

Web サイトおよびアプリケーションに必要な最小限の IIS コンポーネントとサービスだけを有効にするようにしてください。不要なコンポーネントとサービスを有効にすると、IIS サーバーが攻撃を受ける危険性が高まります。以下の図と表に、IIS コンポーネントの場所と推奨設定を示します。

次の図は、[アプリケーション サーバー] ダイアログ ボックスのサブコンポーネントを示しています。

図 9.1 [アプリケーション サーバー] ダイアログ ボックスとサブコンポーネントのリスト
画像を画面全体に表示

次の表は、アプリケーション サーバーのサブコンポーネントの説明と、それを有効にすることが推奨される状況を示しています。

表 9.2 アプリケーション サーバー サブコンポーネントの推奨設定

次の図は、[インターネット インフォメーション サービス (IIS)] ダイアログ ボックスのサブコンポーネントを示しています。

図 9.2 IIS ダイアログ ボックスとサブコンポーネントのリスト
画像を画面全体に表示

次の表は、IIS のサブコンポーネントの説明と、それを有効にすることが推奨される状況を示しています。

表 9.3 IIS サブコンポーネントの推奨設定

次の図は、[メッセージ キュー] ダイアログ ボックスのサブコンポーネントを示しています。

図 9.3 [メッセージ キュー] ダイアログ ボックスとサブコンポーネントのリスト
フルサイズ イメージを表示する

次の表は、メッセージ キューのサブコンポーネントの説明と、それを有効にすることが推奨される状況を示しています。

表 9.4 メッセージ キュー サブコンポーネントの推奨設定

次の図は、[バックグラウンド インテリジェント転送サービス (BITS) サーバー拡張] ダイアログ ボックスのサブコンポーネントを示しています。

図 9.4 BITS サーバー拡張ダイアログ ボックスとサブコンポーネントのリスト
フ画像を画面全体に表示

次の表は、BITS サーバー拡張のサブコンポーネントの説明と、それを有効にすることが推奨される状況を示しています。

表 9.5 BITS サーバー拡張サブコンポーネントの推奨設定

次の図は、[WWW (World Wide Web) サービス] ダイアログ ボックスのサブコンポーネントを示しています。

図 9.5 [WWW (World Wide Web) サービス] ダイアログ ボックスとサブコンポーネントのリスト
画像を画面全体に表示

次の表は、WWW (World Wide Web) サービスのサブコンポーネントの説明と、それを有効にすることが推奨される状況を示しています。

表 9.6 は、WWW (World Wide Web) サービス サブコンポーネントの推奨設定

必要な Web サービス 拡張のみ有効にする

IIS サーバーで実行している多くの Web サイトとアプリケーションには、動的コンテンツの生成など、静的なページの処理以外の機能が用意されています。IIS サーバーによる動的コンテンツの機能と拡張は、Web サービス拡張を使用して実現されます。

IIS 6.0 の拡張セキュリティ機能により、Web サービス拡張を個別に有効または無効にすることができます。前述のように、新規インストール後の IIS サーバーは、静的なコンテンツのみ送信します。動的コンテンツ機能を有効にするには、IIS マネージャの Web サービス拡張ノードを使用することができます。これらの拡張には、ASP.NET、SSI、WebDAV、FrontPage Server などがあります。

既存のアプリケーションとの互換性を最大限に活かす方法の 1 つは、すべての Web サービス拡張を有効にすることですが、この方法では、IIS が攻撃を受ける危険性が増し、セキュリティ リスクが増大します。環境内の IIS サーバーで実行している Web サイトおよびアプリケーションに必要な Web サービス拡張だけを有効にする必要があります。こうすることで、サーバーの機能が最小限に抑えられ、各 IIS サーバーの攻撃の危険性を低減できます。

IIS サーバーが攻撃を受ける危険性をできる限り小さくするには、このガイドで定義している 3 種類の環境内の IIS サーバーで、必要な Web サービス拡張のみを有効にする必要があります。

次の表は、事前定義されている Web サービス拡張と、それが必要になる状況の詳細な説明を示しています。

表 9.7 Web サービス拡張を有効にする

専用のディスク ボリューム上にコンテンツを配置する

IISは、既定の Web サイトのファイルを <systemroot>\inetpub\wwwroot フォルダに配置します。この <systemroot> は、Windows Server 2003 オペレーティング システムがインストールされているドライブです。

このガイドで定義している 3 種類の環境では、Web サイトおよびアプリケーションを構成するすべてのファイルとフォルダが、オペレーティング システムとは異なる専用ディスク ボリュームに配置されます。このようにすることで、ディレクトリ トラバーサル攻撃を防ぐことができます。ディレクトリ トラバーサル攻撃とは、攻撃者が IIS サーバーのディレクトリ構造外にあるファイルの要求を送信する攻撃です。

たとえば、Cmd.exe ファイルが <systemroot>\System32 フォルダにあるとします。この場合、攻撃者はコマンド プロンプトを起動しようとして、次のような要求を送信してきます。

..\..\Windows\system\cmd.exe

in an attempt to invoke the command prompt.

Web サイト コンテンツが別のディスク ボリュームにある場合は、このタイプのディレクトリ トラバーサル攻撃は、次の 2 つの理由から阻止することができます。１つは、WindowsServer 2003SP1 の基本ビルドの一部として Cmd.exe のアクセス許可はリセットされており、このファイルにアクセスできるユーザー グループは制限されています。2 つ目として、Cmd.exe ファイルは Web ルートと同じディスク ボリューム上には存在しません。そして、このタイプの攻撃で異なるドライブ上のコマンドにアクセスする方法は、現在のところありません。

Web サイトおよびアプリケーションのファイルとフォルダを専用ディスク ボリューム上に配置すると、セキュリティ関連の効果だけではなく、バックアップや復元などの管理作業も簡単になります。また、別の専用物理ドライブに配置すると、システム ボリュームでのディスク競合が減少し、全体的なディスク アクセス パフォーマンスが向上します。

NTFS アクセス許可を設定する

Windows Server 2003 SP1 を実行するコンピュータは、NTFS ファイル システムのアクセス許可を検証し、ユーザーやプロセスが特定のファイルまたはフォルダに対して持っているアクセス許可の種類を判断します。このガイドで定義している 3 種類の環境で、IIS サーバー上の Web サイトに NTFS アクセス許可を割り当て、特定のユーザーからのアクセスを許可したり禁止したりする必要があります。

NTFS アクセス許可を割り当てる対象は、Web サイトおよびアプリケーションのコンテンツに対するアクセスを許可または拒否されているアカウントに限られます。NTFS アクセス許可は、Web アクセス許可の代わりとして使用するのではなく、Web アクセス許可と組み合わせて使用する必要があります。これに対し、Web サイトのアクセス許可を割り当てる対象は、Web サイトとアプリケーションにアクセスするすべてのユーザーに及びます。同じディレクトリまたはファイルに対する Web アクセス許可と NTFS アクセス許可が競合する場合は、さらに制限された設定を適用します。

匿名アクセスが望ましくない Web サイトおよびアプリケーションでは、匿名アカウントのアクセスを明示的に拒否する必要があります。匿名アクセスが発生するのは、認証された資格情報を持たないユーザーがネットワーク リソースにアクセスした場合です。匿名アカウントには、ビルトインの Guest アカウント、Guests グループ、IIS Anonymous アカウントなどがあります。また、どのような書き込みアクセス許可も、IIS 管理者以外のユーザーには一切、付与しないでください。

次の表は、IIS サーバーのファイルの種類ごとに適用すべき推奨 NTFS アクセス許可をまとめたものです。ファイルを種類ごとにグループ化して別々のフォルダに分類しておくと、NTFS アクセス許可の適用が簡単になります。

表 9.8 NTFS アクセス許可の推奨設定

IIS Web サイトのアクセス許可を設定する

IIS は、Web サイトのアクセス許可を検証し、スクリプト ソースへのアクセスの許可やディレクトリ参照など、Web サイト内で行う操作の種類を判断します。このガイドで定義している 3 種類の環境では、IIS サーバーで Web サイトのアクセス許可を割り当て、Web サイトのセキュリティをさらに強化する必要があります。

Web サイトのアクセス許可は、NTFS アクセス許可と組み合わせて、特定のサイト、ディレクトリ、およびファイルについて設定できます。このアクセス許可を割り当てる対象は、NTFS アクセス許可とは異なり、IIS サーバーで実行されている Web サイトにアクセスするすべてのユーザーに及びます。Web サイトのアクセス許可は、MMC の [IIS マネージャ] スナップインを使用して適用します。

次の表は、IIS 6.0 でサポートされている Web サイトのアクセス許可の一覧を示し、各アクセス許可を Web サイトに割り当てる状況について簡単に説明しています。

表 9.9 IIS 6.0 Web サイトのアクセス許可

IIS ログを構成する

このガイドで定義している 3 種類の環境では、IIS サーバーで IIS のログを有効にすることをお勧めします。

ログは、Web サイトやアプリケーションごとに個別に作成できます。IIS は、Windows オペレーティング システムのイベント ログとパフォーマンス監視機能よりも有効な情報をログに記録します。IIS のログには、誰がサイトにアクセスしたか、何を参照したか、いつその情報が最後に参照されたかといった情報が含まれます。IIS のログを使用すると、コンテンツのアクセス頻度を評価したり、情報のボトルネックを把握できる他、攻撃調査のリソースとしても利用できます。

MMC の [IIS マネージャ] スナップインを使用すると、ログ ファイルの形式、ログ スケジュール、およびログに記録する具体的な情報を設定できます。ログのサイズを制限するために、ログにどのフィールドを記録するかを慎重に計画する必要があります。

IIS のログを有効にすると、IIS は W3C 拡張ログ ファイル形式を使用して、毎日の動作状況のログを作成します。このログは、IIS マネージャで Web サイトごとに指定されたディレクトリに保存されます。サーバーのパフォーマンスを向上させるため、ログはシステムの入っていないストライプ ディスク ボリュームまたはストライプ/ミラー ディスク ボリュームに保存してください。

また、ログは、UNC (Universal Naming Convention) 形式の完全なパス名を使用して、ネットワーク上のリモート共有にも書き込むことができます。このリモート ログ機能により、管理者はログ ファイルの保存とバックアップを集中管理するように設定できます。ただし、ネットワーク経由でログ ファイルが書き込まれる場合は、サーバーのパフォーマンスが低下する可能性があります。

IIS のログファイルは、他の ASCII や ODBC (Open Database Connectivity) 形式を使用するように設定することができます。ODBC ログは、動作状況情報を SQL データベースに保存できます。ただし、ODBC ログを有効にすると、IIS のカーネル モード キャッシュが無効になり、サーバー パフォーマンスが全体的に低下する場合があります。

何百個ものサイトをホストする IIS サーバーでは、集中バイナリ ログを有効にすると、ログのパフォーマンスが向上します。集中バイナリ ログは、IIS サーバー上のすべての Web サイトが 1 つのログ ファイルに動作状況情報を書き込むことができます。これにより、個別に保存し分析する必要のあるログの数が減少し、IIS ログ プロセスの管理しやすさと拡張性が大幅に向上します。集中バイナリ ログの詳細については、http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/13a4c0b5-686b-4766-8729-a3402da835f1.mspx の「IIS Centralized Binary Logging」ページ (英語情報) を参照してください。

IIS ログが IIS サーバー上に保存されている場合、ログへのアクセス許可があるのは既定ではサーバー管理者のみです。ログ ファイルのディレクトリまたはファイルの所有者が Local Administrators グループに属していない場合は、HTTP.sys ファイル (IIS 6.0 のカーネルモード ドライバ) により NT イベント ログにエラーが記録されます。このエラーは、ディレクトリまたはファイルの所有者が Local Administrators グループに属しておらず、所有者が Local Administrators グループに追加されるか、既存ディレクトリか既存ログ ファイルが削除されるまで、ログ記録が中止されていることを示します。

ユーザー権利の割り当てに独自のセキュリティ グループを手動で追加する

MSBP を使用して適用されるユーザー権利の割り当てのほとんどに対して、このガイドに付属のセキュリティ テンプレートでは適切なセキュリティ グループが指定されています。ただし、テンプレートに含まれていないアカウントとセキュリティ グループもいくつかあります。これらのセキュリティ識別子 (SID) はそれぞれの Windows 2003 ドメインに固有のものであるためです。手動で設定する必要があるユーザー権利の割り当てを以下の表に示します。

警告 :次の表には、ビルトイン Administrator アカウントの記載があります。Administrator アカウントとビルトイン Administrators セキュリティ グループとを混同しないように注意してください。以下のアクセス拒否のユーザー権利のいずれかに Administrators セキュリティ グループを追加した場合、ローカルにログオンしてその間違いを修正する必要があります。

また、「第 4 章 メンバ サーバー ベースライン ポリシー」の推奨に従ってビルトイン Administrator アカウントの名前を変更している場合があります。Administrator アカウントをいずれかのユーザー権利に追加した場合は、名前の変更後のアカウントを指定していることを確認してください。

表 9.10 手動で追加されるユーザー権利の割り当て

重要 :"すべての非オペレーティング システム サービス アカウント" には、企業全体において特定のアプリケーションで使用されるサービス アカウントが該当しますが、LOCAL SYSTEM アカウント、LOCAL SERVICE アカウント、および NETWORK SERVICE アカウント (オペレーティング システムが使用するビルトイン アカウント) は該当しません。

既知のアカウントを保護する

Microsoft Windows Server 2003 には、削除できず、名前だけ変更できるビルトイン ユーザー アカウントがいくつかあります。Windows Server 2003 の最もよく知られているビルトイン アカウントは、Guest と Administrator です。

既定では、Guest アカウントはメンバ サーバーとドメイン コントローラでは無効になっています。この設定は変更しないでください。悪意のあるコードの多くは、サーバーへの侵入で最初の試みとしてビルトイン Administrator アカウントを使用します。この理由から、ビルトイン Administrator アカウントの名前と説明を変更して、攻撃者がよく知られているアカウントを使用してリモート サーバーへ侵入することを防止してください。

ビルトイン Administrator アカウントのセキュリティ識別子 (SID) を指定し、その本当の名前を調べてサーバーに侵入しようとする攻撃ツールが出現して以来、この構成変更の価値はここ数年間で減少しています。SID は、各ユーザー、グループ、コンピュータ アカウント、およびネットワークのログオン セッションをそれぞれ識別する値です。このビルトイン アカウントの SID を変更することはできません。ただし、Administrator アカウント名を一意の名前に変更すると、運用グループが Administrator アカウントに対する攻撃を簡単に監視できるようになります。

IIS サーバーのよく知られたアカウントをセキュリティで保護するには

サービス アカウントをセキュリティ保護する

避けられない場合を除いて、ドメイン アカウントのセキュリティ コンテキストでサービスを実行するようには構成しないでください。サーバーに物理的にアクセスされた場合、LSA シークレットをダンプすることで、ドメイン アカウントのパスワードが容易に取得されます。サービス アカウントのセキュリティを保護する方法の詳細については、http://www.microsoft.com/japan/technet/security/topics/serversecurity/serviceaccount/default.mspx の「サービスおよびサービス アカウントのセキュリティ計画ガイド」を参照してください。

ページのトップへ

SCW を使用してポリシーを作成する

必要なセキュリティ設定を展開するには、セキュリティの構成ウィザード (SCW) と、このガイドのダウンロード バージョンに付属のセキュリティ テンプレートの両方を使用して、サーバー ポリシーを作成する必要があります。

独自のポリシーを作成する場合は、[レジストリ設定] セクションと [監査ポリシー] セクションをスキップします。これらの設定は、選択した環境のセキュリティ テンプレートで提供されます。この方法は、テンプレートのポリシー要素が SCW によって構成されるポリシー要素より優先されるようにするために必要です。

構成作業を始める際には、オペレーティング システムの新規インストールを使用することをお勧めします。こうすることにより、以前の構成の古い設定やソフトウェアが残っていないことが保証されます。可能であれば、展開に使用するものと同様のハードウェアを使用することをお勧めします。これにより、互換性が向上します。このような新規インストールを参照コンピュータと呼びます。

IIS サーバー ポリシーを作成するには

SCW を使用してポリシーをテストする

ポリシーを作成して保存したら、テスト環境に展開することを強くお勧めします。テスト サーバーが運用サーバーと同じハードウェアおよびソフトウェア構成であることが理想的です。こうすることで、特定のハードウェア デバイスに予期しないサービスが必要になった場合などの、潜在的な問題を検出して解決できるようになります。

ポリシーのテストには、2 つの方法があります。SCW 独自の展開機能を使用する方法と、GPO を使用してポリシーを展開する方法です。

ポリシーの作成をこれから始める場合には、SCW 独自の展開機能を使用することを検討してください。SCW を使用して、ポリシーをサーバーごとにプッシュするか、Scwcmd を使用してポリシーをサーバーのグループにプッシュします。この展開方法を使用すると、SCW から展開したポリシーを簡単にロールバックできます。この機能は、テスト プロセスでポリシーの変更を複数行う場合に便利です。

ポリシーをテストする目的は、そのポリシーを対象サーバーに適用しても重要な機能に悪影響が及ばないことを確認することです。構成の変更を適用したら、コンピュータの主要な機能を検証する必要があります。たとえば、証明機関 (CA) として構成されているサーバーの場合は、クライアントが証明書を要求して取得できること、証明書失効リストをダウンロードできることなどを確認します。

ポリシーの構成に問題がないことを確認したら、次に示す手順に従って、Scwcmd を使用して、ポリシーを GPO に変換します。

SCW ポリシーのテスト方法の詳細については、http://technet2.microsoft.com/WindowsServer/ja/Library/5254f8cd-143e-4559-a299-9c723b3669461041.mspx?mfr=true の『セキュリティの構成ウィザードの展開ガイド』および http://go.microsoft.com/fwlink/?linkid=43450 の「Security Configuration Wizard Documentation」(英語情報) を参照してください。

ポリシーを変換して展開する

ポリシーを徹底的にテストした後、次の手順を実行して、ポリシーを GPO に変換して、展開します。

scwcmd transform /p:<PathToPolicy.xml> /g:<GPODisplayName>

scwcmd transform /p:"C:\Windows\Security\msscw\Policies\IIS Server.xml" /g:"IIS Policy"

SCW セキュリティ ポリシー ファイルに Windows ファイアウォールの設定が含まれている場合、この手順を正常に完了するには、ローカル コンピュータで Windows ファイアウォールが有効になっている必要があります。Windows ファイアウォールが有効であることを確認するには、[コントロール パネル] を開き、[Windows ファイアウォール] をダブルクリックします。

次に、最後のテストを実行して、GPO により意図した設定が適用されることを確認します。この手順を完了させるために、設定が適切であること、機能がその影響を受けないことを確認します。

ページのトップへ

まとめ

この章では、このガイドで定義している 3 種類の各環境で、Windows Server 2003 SP1 を実行する IIS サーバーのセキュリティ強化に使用できるポリシー設定について説明しました。ほとんどの設定は、MSBP を補うよう設計されたグループ ポリシー オブジェクト (GPO) を通じて適用されます。GPO は、IIS サーバーを含む適切な組織単位 (OU) にリンクして、セキュリティをさらに向上させることができます。

説明した設定のなかには、グループ ポリシーを使用して適用することができないものもあります。そのような設定については、手動で構成する方法について詳しく説明しました。

関連情報

Windows Server 2003 SP1 を実行する IIS ベースの Web サーバーのセキュリティ強化に関する詳細情報は、以下のリンクから参照できます。

ページのトップへ

10 of 19