概要
Microsoft、インターネット セキュリティ センター (CIS)、米国国家安全保障局 (NSA)、米国国防情報システム局 (DISA)、および米国国立標準技術研究所 (NIST) は、Microsoft Windows 用の「セキュリティ構成ガイダンス」を公開しています。
これらのガイドの一部で指定されている高いセキュリティ レベルは、システムの機能を大幅に制限する可能性があります。 そのため、これらの推奨事項を展開する前に、重要なテストを実行する必要があります。 次の操作を行うときは、追加の予防措置を取ることをお勧めします。
- ファイルとレジストリ キーのアクセス制御リスト (ACL) を編集する
- Microsoft ネットワーク クライアントを有効にする: 常に通信にデジタル署名を行う
- ネットワーク セキュリティを有効にする: 次回のパスワード変更時に LAN Manager のハッシュ値を保存しない
- システム暗号化を有効にする: 暗号化、ハッシュ、署名のための FIPS 準拠アルゴリズムを使う
- 自動更新サービスまたはバックグラウンド インテリジェント転送サービス (BITS) を無効にする
- NetLogon サービスを無効にする
- NoNameReleaseOnDemand を有効にする
Microsoft は、高セキュリティ領域での展開に関するセキュリティ ガイダンスを提供する業界の取り組みを強くサポートしています。 ただし、ターゲット環境でガイダンスを十分にテストする必要があります。 既定の設定以外に追加のセキュリティ設定が必要な場合は、Microsoft が発行したガイドを参照することを強くお勧めします。 これらのガイドは、organization の要件の出発点として役立ちます。 サードパーティのガイドに関するサポートまたは質問については、ガイダンスを発行した organization にお問い合わせください。
概要
過去数年間、Microsoft、インターネット セキュリティ センター (CIS)、米国国家安全保障局 (NSA)、米国国防情報システム局 (DISA)、米国国立標準技術研究所 (NIST) などの多くの組織が Windows 用の「セキュリティ構成ガイダンス」を公開しています。 他のセキュリティ ガイダンスと同様に、多くの場合、追加のセキュリティは使いやすさに悪影響を及ぼします。
Microsoft、CIS、NIST のガイドなど、これらのガイドのいくつかには、複数のレベルのセキュリティ設定が含まれています。 これらのガイドには、次のために設計されたレベルが含まれる場合があります。
古いオペレーティング システムとの相互運用性
エンタープライズ環境
機能が制限される強化されたセキュリティ
注: このレベルは、多くの場合、特殊セキュリティ - 制限付き機能レベルまたは高セキュリティ レベルと呼ばれます。
「高セキュリティ」または「特殊なセキュリティ – 制限付き機能」レベルは、攻撃の重大なリスクがある非常に危険な環境向けに特別に設計されています。 このレベルは、一部の政府システムで必要とされる情報など、可能な限り価値の高い情報を保護します。 この公開ガイダンスの大部分の「高セキュリティ」レベルは、Windows を実行しているほとんどのシステムには不適切です。 汎用のワークステーションでは、セキュリティレベルを [高] にしないことをお勧めします。 セキュリティ レベルは、侵害された場合に人命の損失、貴重な情報の損失、または多額の金銭の損失につながるシステムでのみ使用することをお勧めします。
いくつかのグループが Microsoft と協力してこれらのセキュリティ ガイドを作成しました。 多くの場合、これらのガイドはすべて同様の脅威に対処します。 ただし、各ガイドは、法的要件、地域のポリシー、および機能上の要件によって若干異なります。 このため、設定は推奨事項のセットごとに異なる場合があります。 「公開されているセキュリティ ガイダンスを作成する組織」セクションには、各セキュリティ ガイドの概要が含まれています。
追加情報
公開されているセキュリティ ガイダンスを作成する組織
Microsoft Corporation
Microsoft では、独自のオペレーティング システムのセキュリティ保護を支援する方法に関するガイダンスを提供しています。 マイクロソフトでは、次の 3 つのレベルのセキュリティ設定を開発しました。
- エンタープライズ クライアント (EC)
- Stand-Alone (SA)
- 特殊なセキュリティ – 制限付き機能 (SSLF)
このガイダンスは、多くのお客様のシナリオで使用するために徹底的にテストしました。 このガイダンスは、Windows ベースのコンピューターのセキュリティ保護を支援したいorganizationに適しています。
Microsoft では、それらのガイドに関してアプリケーション互換性研究所で広範なテストを実施したため、当社のガイドを完全にサポートしています。 次のマイクロソフト Web サイトにアクセスして、ガイドをダウンロードしてください。
Windows Vista セキュリティ ガイド:
Windows XP Security Baseline:
http://go.microsoft.com/fwlink/?LinkId=14839Windows Server 2003 Security Baseline:
http://go.microsoft.com/fwlink/?linkid=14845Windows 2000 セキュリティ強化ガイド:
Microsoft セキュリティ ガイドの実装後に問題が発生した場合やコメントがある場合は、 secwish@microsoft.com に電子メール メッセージを送信してフィードバックを提供できます。
Windows オペレーティング システム、Internet エクスプローラー、および Office 生産性スイートのセキュリティ構成ガイダンスについては、Microsoft Security Compliance Manager: http://technet.microsoft.com/en-us/library/cc677002.aspx を参照してください。
インターネット セキュリティ センター
CIS は、組織が特定の利用可能なセキュリティの選択について情報に基づいた意思決定を行うのに役立つ情報を提供するベンチマークを開発しました。 CIS は、3 つのレベルのセキュリティ ベンチマークを提供しています。
- 過去のプラン
- Enterprise
- 高セキュリティ
CIS ベンチマーク設定の実装後に問題が発生した場合やコメントがある場合は、 win2k-feedback@cisecurity.org に電子メール メッセージを送信して CIS に問い合わせてください。
CIS のガイダンスは、この記事を最初に公開したとき (2004 年 11 月 3 日) 以降に変更されています。 CIS の現在のガイダンスは、Microsoft が提供するガイダンスに似ています。 Microsoft が提供するガイダンスの詳細については、この資料で前述した「Microsoft Corporation」のセクションを参照してください。
米国国立標準技術研究所
NIST は、米国連邦政府向けのセキュリティ ガイダンスを作成する責任を負っています。 NIST は、米国連邦機関、民間組織、および公的組織で使用される 4 つのレベルのセキュリティ ガイダンスを作成しました。
- SoHo
- 過去のプラン
- Enterprise
- 特殊なセキュリティ – 制限付き機能
NIST セキュリティ テンプレートの実装後に問題が発生した場合やコメントがある場合は、 itsec@nist.gov に電子メール メッセージを送信して NIST に問い合わせてください。
NIST のガイダンスは、この記事を最初に公開したとき (2004 年 11 月 3 日) 以降に変更されています。 NIST の現在のガイダンスは、Microsoft が提供するガイダンスに似ています。 Microsoft が提供するガイダンスの詳細については、この資料で前述した「Microsoft Corporation」のセクションを参照してください。
国防情報システム局
DISA は、米国国防総省 (DOD) で使用するためのガイダンスを作成しています。 米国 DISA 構成ガイダンスの実装後に問題が発生した場合やコメントがある DOD ユーザーは、fso_spt@ritchie.disa.mil に電子メール メッセージを送信してフィードバックを提供できます。
注: この記事を最初に公開した時刻 (2004 年 11 月 3 日) 以降、DISA のガイダンスは変更されています。 DISA の現在のガイダンスは、Microsoft が提供するガイダンスと類似または同じです。 Microsoft が提供するガイダンスの詳細については、この資料で前述した「Microsoft Corporation」のセクションを参照してください。
国家安全保障局 (NSA)
NSA は、米国国防総省 (DOD) でリスクの高いコンピューターを保護するためのガイダンスを作成しました。 NSAは、他の組織が作成した「高セキュリティ」レベルとほぼ対応する単一レベルのガイダンスを開発しました。
NSA Security Guides for Windows XP の実装後に問題が発生した場合やご意見がある場合は、 XPGuides@nsa.gov に電子メール メッセージを送信してフィードバックを提供できます。 Windows 2000 ガイドに関するフィードバックを提供するには、 w2kguides@nsa.gov に電子メール メッセージを送信してください。
注: NSA のガイダンスは、この記事を最初に公開したとき (2004 年 11 月 3 日) から変更されました。 NSA の現在のガイダンスは、Microsoft が提供するガイダンスと類似または同じです。 Microsoft が提供するガイダンスの詳細については、この資料で前述した「Microsoft Corporation」のセクションを参照してください。
セキュリティ ガイダンスに関する問題
本資料で既に説明したとおり、これらのガイドの一部で説明されている高いセキュリティ レベルは、システムの機能を大幅に制限するように設計されています。 この制約のため、これらの推奨事項を展開する前に、システムを十分にテストする必要があります。
注: SoHo、レガシ、またはエンタープライズ レベルで提供されているセキュリティ ガイダンスは、システム機能に深刻な影響を与えることは報告されていません。 このサポート技術情報の記事は、主に最高のセキュリティ レベルに関連付けられているガイダンスに焦点を当てています。
Microsoft は、高セキュリティ領域での展開についてセキュリティ ガイダンスを提供する業界の取り組みを強く支持します。 Microsoft は、セキュリティ標準グループと協力して、完全にテストされた便利な強化ガイダンスを開発し続けています。 サード パーティのセキュリティ ガイドラインには、ターゲットの高セキュリティ環境でガイドラインを完全にテストするための強力な警告が常に表示されます。 ただし、これらの警告に常に注意を払うとは限りません。 ターゲット環境ですべてのセキュリティ構成を十分にテストしてください。 推奨されているセキュリティ設定と異なるセキュリティ設定を行うと、オペレーティング システムのテスト プロセスの一部として実行されるアプリケーション互換性テストが無効になる場合があります。 さらに、Microsoft およびサードパーティは、テスト環境ではなく、実際の運用環境でドラフト ガイダンスを適用しないことを特にお勧めしません。
これらのセキュリティ ガイドの高レベルには、実装する前に慎重に評価する必要があるいくつかの設定が含まれています。 これらの設定はセキュリティ上の追加の利点を提供する場合がありますが、システムの使いやすさに悪影響を及ぼす可能性があります。
ファイル システムおよびレジストリ アクセス制御リストの変更
Windows XP 以降のバージョンの Windows では、システム全体のアクセス許可が大幅に強化されています。 したがって、既定のアクセス許可を大幅に変更する必要はありません。
随意アクセス制御リスト (DACL) の追加変更により、Microsoft が実施するアプリケーション互換性テストのすべてまたはほとんどが無効になる場合があります。 多くの場合、このような変更は、Microsoft が他の設定で実施した徹底的なテストを行っていません。 サポート ケースや現場での経験から、DACL の編集によってオペレーティング システムの基本的な動作が、多くの場合意図しない形で変更されることがわかっています。 これらの変更は、アプリケーションの互換性と安定性に影響を与え、パフォーマンスと機能の両方に関して機能を低下させます。
これらの変更により、運用システム上のオペレーティング システムに含まれるファイルでは、ファイル システム DACL を変更することはお勧めしません。 追加の ACL の変更を既知の脅威に対して評価し、特定の構成にもたらされる可能性のある変更の利点を理解することをお勧めします。 このような理由から、このガイドでは DACL の変更はごくわずかしか行わず、Windows 2000 のみに制限されています。 Windows 2000 では、いくつかの小さな変更が必要です。 これらの変更については、『Windows 2000 セキュリティ強化ガイド』に記載されています。
レジストリとファイル システム全体に伝達される広範なアクセス許可の変更は、元に戻すことはできません。 オペレーティング システムの最初のインストール時に存在しなかったユーザー プロファイル フォルダーなど、新しいフォルダーが影響を受ける可能性があります。 そのため、DACL の変更を実行するグループ ポリシー設定を削除するか、システムの既定値を適用すると、元の DACL を元に戻すことはできません。
%SystemDrive% フォルダー内の DACL を変更すると、次のような状況が発生する可能性があります。
- ごみ箱が設計どおりに機能しなくなり、ファイルを回復できなくなります。
- 管理者以外でも管理者のごみ箱の内容を表示できるセキュリティの軽減。
- ユーザー プロファイルが期待どおりに機能しない。
- システム上の一部またはすべてのユーザー プロファイルへの読み取りアクセスを対話型ユーザーに提供するセキュリティの軽減。
- 多数の DACL 編集がグループ ポリシー オブジェクトに読み込まれ、ログオン時間が長くなったり、ターゲット システムの再起動が繰り返されたりする場合のパフォーマンスの問題。
- グループ ポリシー設定が再適用される約 16 時間ごとに、システムの速度低下を含むパフォーマンスの問題。
- アプリケーションの互換性の問題またはアプリケーションのクラッシュ。
そのようなファイルおよびレジストリのアクセス許可によって最悪の結果を取り除くために、Microsoft はお客様のサポート契約に沿って商業的に合理的な努力を提供します。 ただし、現時点では、これらの変更をロールバックすることはできません。 Microsoft が保証できるのは、ハード ディスク ドライブを再フォーマットし、オペレーティング システムを再インストールすることによってのみ、推奨される標準設定に戻ることができることだけです。
たとえば、レジストリ DACL を変更すると、レジストリ ハイブの大部分に影響し、システムが期待どおりに機能しなくなる可能性があります。 単一のレジストリ キーで DACL を変更しても、多くのシステムで問題は発生しません。 ただし、これらの変更を実装する前に、慎重に検討してテストすることをお勧めします。 繰り返しますが、弊社が保証できるのは、オペレーティング システムを再フォーマットして再インストールした場合にのみ、推奨される標準設定に戻すことができます。
Microsoft ネットワーク クライアント: 常に通信にデジタル署名を行う
この設定を有効にすると、クライアントが SMB 署名を必要としないサーバーに接触するときに、サーバー メッセージ ブロック (SMB) トラフィックに署名する必要があります。 これにより、クライアントはセッション ハイジャック攻撃に対する脆弱性が低くなります。 これには大きな価値がありますが、サーバーで同様の変更を有効にして Microsoft ネットワーク サーバーを有効にすることはありません。 通信にデジタル署名を行う (常に) または Microsoft ネットワーク クライアント: クライアントが通信にデジタル署名を行う (クライアントが同意する場合)、クライアントはサーバーと正常に通信できなくなります。
ネットワーク セキュリティ: 次回のパスワード変更時に LAN Manager のハッシュ値を保存しない
この設定を有効にすると、パスワードが変更されても、新しいパスワードの LAN Manager (LM) ハッシュ値は保存されません。 LM ハッシュは、暗号的に強力な Microsoft Windows NT ハッシュと比較して比較的弱く、攻撃を受けやすいです。 この設定は、多くの一般的なパスワード クラッキング ユーティリティを防ぐことで、システムに広範な追加のセキュリティを提供しますが、この設定により、一部のアプリケーションが正常に起動または実行されなくなる可能性があります。
システム暗号化: 暗号化、ハッシュ、署名に FIPS 準拠アルゴリズムを使用する
この設定を有効にすると、インターネット インフォメーション サービス (IIS) および Microsoft Internet エクスプローラーはトランスポート層セキュリティ (TLS) 1.0 プロトコルのみを使用します。 IIS を実行しているサーバーでこの設定が有効になっている場合、TLS 1.0 をサポートする Web ブラウザーのみが接続できます。 Web クライアントでこの設定が有効になっている場合、クライアントは TLS 1.0 プロトコルをサポートするサーバーにのみ接続できます。 この要件は、Secure Sockets Layer (SSL) を使用する Web サイトにアクセスするクライアントの機能に影響を与える可能性があります。詳細については、以下の「サポート技術情報」 (Microsoft サポート技術情報) をクリックしてください。
811834 FIPS 準拠の暗号化を有効にすると、SSL サイトにアクセスできない
さらに、ターミナル サービスを使用するサーバーでこの設定を有効にすると、クライアントは強制的に RDP クライアント 5.2 以降のバージョンを使用して接続することになります。
詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。
[811833]Windows XP 以降のバージョンの Windows での (/KB/811833m 暗号化: 暗号化、ハッシュ、署名のための FIPS 準拠アルゴリズムを使う) セキュリティ設定
自動更新サービスまたはバックグラウンド インテリジェント転送サービス (BITS) が無効になっている
Microsoft のセキュリティ戦略の重要な柱の 1 つは、更新後にシステムが最新の状態に維持されるようにすることです。 この戦略の重要なコンポーネントは、Automatic Updates サービスです。 Windows Update サービスとソフトウェア更新サービスの両方で Automatic Updates サービスが使用されます。 Automatic Updates サービスは、バックグラウンド インテリジェント転送サービス (BITS) に依存しています。 これらのサービスを無効にすると、コンピューターは Automatic Updates、Software Update Services (SUS)、または一部の Microsoft Systems Management Server (SMS) インストールから Windows Update から更新プログラムを受け取ることができなくなります。 これらのサービスは、BITS に依存しない効果的な更新プログラム配布システムを有するシステムでのみ無効にしてください。
NetLogon サービスが無効になっている
NetLogon サービスを無効にすると、ワークステーションはドメイン メンバーとして確実に機能しなくなります。 この設定は、ドメインに参加していない一部のコンピュータに適している場合があります。 ただし、展開する前に慎重に評価する必要があります。
NoNameReleaseOnDemand
この設定により、ネットワーク上の別のコンピュータと競合した場合に、サーバーがその NetBIOS 名を解放できなくなります。 この設定は、ネーム サーバーやその他の非常に重要なサーバーの役割に対するサービス拒否攻撃の優れた予防策です。
この設定をワークステーションで有効にすると、名前がドメイン コントローラーなどのより重要なシステムの名前と競合する場合でも、その NetBIOS 名の放棄は拒否されます。 このシナリオでは、重要なドメイン機能を無効にすることができます。 Microsoft は、高セキュリティ領域での展開を対象としたセキュリティ ガイダンスを提供する業界の取り組みを強くサポートします。 ただし、このガイダンスはターゲット環境で十分にテストする必要があります。 既定の設定以外の追加のセキュリティ設定が必要なシステム管理者は、Microsoft 発行のガイドを、organizationの要件の出発点として使用することを強くお勧めします。 サードパーティのガイドに関するサポートまたは質問については、ガイダンスを発行した organization にお問い合わせください。
参考資料
セキュリティ設定の詳細については、「Threats and Countermeasures: Security Settings in Windows Server 2003 and Windows XP」を参照してください。 このガイドをダウンロードするには、以下のマイクロソフト Web サイトにアクセスしてください。
http://go.microsoft.com/fwlink/?LinkId=15159 その他の主要なセキュリティ設定の影響の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft サポート技術情報) をクリックしてください。
823659 セキュリティ設定やユーザー権限の割り当てを変更したときに発生する可能性がある、クライアント、サービス、およびプログラムの非互換性問題 FIPS 準拠アルゴリズムを要求した場合の影響の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft サポート技術情報) をクリックしてください。
[811833](/KB/811833M 暗号化: 暗号化、ハッシュ、署名のための FIPS 準拠アルゴリズムを使う" というセキュリティ設定が Windows XP 以降のバージョンでセキュリティ設定 Microsoft では、ユーザーがテクニカル サポートを見つけるため、サードパーティの連絡先を提供しています。 将来予告なしに変更されることがあります。 マイクロソフトは、掲載されている情報に対して、いかなる責任も負わないものとします。
ハードウェアの製造元の情報を参照するには、以下のマイクロソフト Web サイトを参照してください。