こんにちは！私たちの会社の重要なデータとサービスを担うWindowsサーバーは、果たして安全に管理されているでしょうか？🧐 多くのサーバーがデフォルト設定のまま運用され、知らず知らずのうちに数多くのセキュリティ脅威にさらされています。
今日は、攻撃者の餌食にならないよう、私たちのサーバーを強固な要塞に変えるWindowsサーバー必須セキュリティ診断チェックリストを用意しました。各項目を注意深く確認し、今すぐサーバーのセキュリティ状態を点検してみましょう！
👤 アカウント管理：セキュリティの扉を固く閉ざす
サーバーセキュリティの90%はアカウント管理から始まります。最も基本的なだけに、徹底的に管理すべき項目を見ていきましょう。
- 🕵️♂️ Administratorアカウント名の変更 (W-01) ‘Administrator’は世界で最も有名なアカウント名です。攻撃者はこの名前を最初のターゲットにします。全く異なる名前に変更して、推測攻撃の最初の段階を無力化しましょう。
- 🚪 Guestアカウントの無効化 (W-02) Guestアカウントは匿名ユーザーのための扉のようなものです。この扉が開いている必要がないのであれば、必ず無効化して閉ざすべきです。
- 👑 管理者グループの最小化 (W-06) ‘Administrators’グループは、サーバーのすべての権限を持つ強力なグループです。このグループには、本当に必要な最小限のユーザーのみを含め、権限の乱用および誤用のリスクを減らす必要があります。
- 🔑 強力なパスワードポリシーは必須 (W-48, W-49, W-50, W-51, W-55) 推測しやすいパスワードは使用禁止！ローカルセキュリティポリシーのパスワードポリシーで、以下の項目を必ず設定してください。
- パスワードは複雑性を満たす：英字、数字、特殊文字の組み合わせを強制
- 最小パスワード長：8文字以上
- 最大/最小パスワード使用期間：90日以下 / 1日以上で定期的な変更を促す
- 最近のパスワードを記憶：以前使用したパスワードの再利用を防止
- 🤫 解読可能な暗号化を使用しない (W-05) パスワードは決して平文のように保存されてはなりません。「解読可能な暗号化を使用してパスワードを保存」ポリシーを無効に設定して、パスワードを安全に保護してください。
- 🔒 アカウントロックアウトポリシーでブルートフォース攻撃を防御 (W-04, W-47) 攻撃者がパスワードを繰り返し間違えて試行するのを防ぐ必要があります。アカウントロックアウトポリシーで、ログイン失敗回数を5回以下に、ロックアウト期間を60分以上に設定してアカウントを保護してください。
- 🙈 最後のユーザー名を表示しない (W-52) ログイン画面に最後に接続したユーザー名を表示することは、攻撃者にアカウント情報を教えることと同じです。この機能を無効にして情報を露出させないでください。
- 🚫 空のパスワードの使用制限 (W-56) すべてのアカウントはパスワードを持つべきです。パスワードのないアカウントのローカルログオンをブロックして、最小限のセキュリティを確保してください。
⚙️ サービス管理：不要な経路はすべて遮断
使用しないサービスや機能は、攻撃の表面積を広げるだけです。本当に必要なサービスだけを残し、残りは整理する必要があります。
- 📂 ハードディスクのデフォルト共有の削除 (W-08) C$、D$のような管理目的のデフォルト共有は便利ですが、内部ネットワークを介したマルウェア伝播の経路となる可能性があります。不要であれば、レジストリの変更を通じて自動共有機能を停止してください。
- 👥 共有フォルダの権限設定 (W-07) 共有フォルダに「Everyone」グループの権限を与えることは非常に危険です。この権限は削除し、本当に必要なユーザーに読み取り/書き込みなどの最小限の権限のみを付与してください。
- 🧑💻 リモートターミナルユーザーグループの制限 (W-57) リモートデスクトップ(RDP)は非常に便利な機能ですが、誰でも接続できるべきではありません。接続が許可された特定のユーザーやグループに制限し、管理者のみがアクセスできるようにしてください。
- 🔐 ターミナルサービス暗号化レベルの設定 (W-58) リモート接続時にやり取りされるデータが漏洩しないよう、暗号化レベルを“高”に設定して通信内容を保護する必要があります。
- 🔗 不要なNetBIOSバインディングの削除 (W-24) ファイル共有と関連が深いNetBIOSをTCP/IPで無効にすると、関連するポートを介した外部攻撃の可能性を減らすことができます。
- 🌐 不要なIISサービスの点検 (W-10, W-11, W-14, W-19, W-23) ウェブサーバーとして使用しないのであれば、IISサービス自体を停止するのが最も良い方法です。もし使用するのであれば、以下の項目を必ず点検してください。
- ディレクトリリスティング(検索)機能の無効化：ウェブサーバーのファイル構造が露出しないようにします。
- WebDAVの無効化：使用しないのであれば、認証バイパスなどの潜在的な脆弱性を除去するためにオフにします。
- 不要なサンプルファイルおよび仮想ディレクトリの削除：デフォルトインストール時に生成されるサンプルファイルは、攻撃者にとって良い情報源となる可能性があります。
- 🛑 不要なサービスの削除 (W-09) Alerter、Messengerなど、もはや使用しない古いサービスは、システムリソースを浪費し、セキュリティを弱体化させる可能性があります。思い切って“無効”に設定してください。
- 🗺️ DNSゾーン転送の制限 (W-29) DNSサーバーを運用する場合、ドメインのすべての情報が含まれるゾーンファイルが誰にでも転送されるべきではありません。許可された補助DNSサーバーにのみ転送を許可してください。
- FTP匿名アクセス禁止 (W-27) FTPサーバー運用時、誰でも接続できる匿名(Anonymous)アクセスは無効化し、非認可者のファイルアクセスを遮断する必要があります。
📜 パッチおよびログ管理：継続的な監視と対応
セキュリティは一回限りのイベントではありません。継続的な管理と監視を通じて脅威に備える必要があります。
- ✨ 最新のサービスパックおよびセキュリティパッチの適用 (W-31, W-32) Windows Updateは選択ではなく必須です。最新のサービスパックとセキュリティパッチ(Hotfix)を漏れなく適用し、既知の脆弱性をすべて除去してください。
- 🦠 ウイルス対策プログラムの最新状態維持 (W-33, W-36) 信頼できるウイルス対策プログラムをインストールし、エンジンとパターンを常に最新の状態に保ち、マルウェアからサーバーを保護してください。
- ✍️ 監査ポリシーの設定およびログの確認 (W-34, W-69) “イベントビューア”は、サーバーのすべての活動を記録するブラックボックスです。ローカルセキュリティポリシーの監査ポリシーで、ログオン、アカウント管理、ポリシー変更などの重要なイベントが記録されるように設定し、これらのログを定期的に確認して侵入試行を発見し、対応する必要があります。
- 🔧 リモートレジストリアクセスの遮断 (W-35) 外部からサーバーの核心設定であるレジストリを変更できると、非常に危険です。「Remote Registry」サービスを停止して、リモート変更を根本的に遮断してください。
🛡️ その他の重要セキュリティ管理
最後に、サーバーの物理的、論理的セキュリティを強化する追加設定です。
- ⏳ スクリーンセーバー設定 (W-38) 少し席を外した間に誰かがサーバーを操作するのを防ぐ必要があります。スクリーンセーバーの待機時間を10分以下に設定し、“再開時にログオン画面を表示”を必ずチェックしてください。
- 🔌 ログオンなしでのシステム終了禁止 (W-39) 誰でもサーバーを再起動できると、サービスに大きな障害が発生する可能性があります。ログオンしたユーザーのみがシステムを終了できるように制限してください。
- 🤫 SAMファイルアクセス制御および匿名列挙の遮断 (W-37, W-42) ユーザーアカウント情報が格納された重要なSAMファイルは、AdministratorsとSystem以外はアクセスできないようにし、匿名ユーザーがアカウントリストを照会できないように遮断する必要があります。
- 🚗 リムーバブルメディアの自動実行防止 (PC-13) USBメモリなどを接続したときにプログラムが自動的に実行されるAutoRun機能は、マルウェア感染の主要な経路の一つです。この機能を無効にして危険を予防してください。
本当に多くの項目がありましたね？しかし、これらのチェックリストを継続的に点検し適用することで、皆さんのWindowsサーバーのセキュリティレベルは専門家レベルに向上するでしょう。セキュリティは継続的な関心と努力の結果であることを忘れないでください！
コメントを残す