次の方法で共有

Configuration Manager について推奨するセキュリティ運用法

  • [アーティクル]

適用対象: System Center Configuration Manager 2007, System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2

Microsoft System Center Configuration Manager 2007 環境のセキュリティ保護は、一度行ってそれで終わりというものではありません。新たに見つかった脆弱性を突こうと、新しい攻撃が毎日のように生み出されています。合併や新しい製品ファミリの導入によって、セキュリティ リスクに対する組織の抵抗力が大きく変わることがあります。設計、実装、ポリシー、保守など、Configuration Manager 2007 のセキュリティ実装のあらゆる側面を定期的に見直してください。

推奨する運用方法

セキュリティ ポリシーを作成して遵守する     ポリシーや手順を明文化しておくことは、どのようなシステムにおいても価値があり、Configuration Manager 2007 のセキュリティにとっても重要です。セキュリティ ポリシーは、基準と行動に関する宣言です。セキュリティ手順は、各組織でセキュリティ ポリシーを運用する際の詳細な指示です。たとえば、セキュリティ ポリシーに、できる限りリモート ツールを使用するように記述することができます。セキュリティ手順では、リモート ツールのステータス メッセージを検証する手順、レポートの見直し頻度、違反の疑いがあったときの活動などを規定します。効果を上げるためには、ポリシーを定期的に見直し、必要に応じて変更することが必要です。

詳細については、TechNet セキュリティ センターでポリシーと手順に関するページ (https://go.microsoft.com/fwlink/?LinkId=50941) (英語) を参照してください。

テスト ラボを使用して、予定されている構成変更にセキュリティ上の懸念がないかどうかを確認する    テスト ラボで動作を確認するまで、Configuration Manager 2007 を実稼動サーバーにインストールしないでください。隔離されたネットワーク上でテストを実行せずに実稼働環境に Configuration Manager 2007 をインストールすると、望ましくない (場合によっては破壊的な) 結果になる恐れがあります。新しいセキュリティ対策も、実稼動環境に導入する前に、ラボでテストしてください。セキュリティ手順については、ネットワークに新たな脆弱性をもたらすことなく導入できることを検証してください。新しい対策については、重要なビジネス活動の障害にならないことを確認してください。たとえば、IPsec の導入は、データ転送のセキュリティ保護のために重要なセキュリティ対策ですが、導入に失敗するとあらゆるネットワーク通信が完全に停止してしまいます。

テスト ラボのセキュリティを確保する    テスト ラボにも実稼動環境と同じセキュリティが必要です。テスト ラボの安全性が低いと、実稼動環境で再現可能な脆弱性を探る機会を攻撃者に与えることになります。ラボ環境ではパスワードのセキュリティが疎かになりがちです。パスワードが、ラボのコンピュータにテープで貼り付けられていたり、テストの障害にならないようほとんど変更されないことがあります。攻撃者が、ラボで作成されたスクリプトやパッケージにアクセスして、実稼働後に突くことができる脆弱性を仕込むかもしれません。

ラボ環境のセキュリティは、物理的に確保します。実稼動環境と同じパスワード基準をラボにも強制してください。侵入の形跡が見られた場合は、ラボ環境を監査してください。

バックアップと回復の手順をテストする    バックアップの手順は、定期的にテストしないと意味がありません。Configuration Manager 2007 のバックアップと回復の手順は複雑なので、定期的にテストすることが必要です。バックアップと回復の手順の作成と導入の詳細については、「バックアップと回復の概要」を参照してください。

バックアップ メディアを安全に保管する    Configuration Manager 2007 のバックアップ作業により、レジストリ、ファイル構造、および Configuration Manager 2007 サイト データベースのコピーが作成されます。バックアップ メディアにアクセスできる攻撃者が、IP アドレス、Active Directory サイト名、すべてのクライアント コンピュータの状態など、ネットワークについて価値のある情報を入手できる恐れがあります。バックアップ メディアに関連した攻撃は、潜在的にサーバーに対する物理的な攻撃と同様に重大です。あらゆるバックアップと同様に、Configuration Manager 2007 のバックアップ メディアを安全な場所に保管し、バックアップ ファイルの暗号化を検討し、メディアのチェックアウトと回復に関する管理手順を作成してください。

Configuration Manager の設定を見直す    適切な変更と構成管理は、優れたセキュリティをもたらします。理想的には、実稼動環境に対する変更が、適切な計画、テスト、承認、変更追跡なしに行われてはなりません。考えられる最高の変更管理が実施されているとしても、Configuration Manager 2007 の構成を定期的に見直し、承認されていない変更がないことを確認することが必要です。必要な構成管理を使用して、承認済みの基準の構成に対する変更を監視してください。

注意

サイト システムやユーザー アカウントを削除するときは、関連するすべての権限とアクセス許可も削除されることを確認してください。

監査ログを確認する    オペレーティング システムのセキュリティは、オペレーティング システムの監査機能を使用して監視できます。セキュリティ監査を有効にしたら、セキュリティ イベント ログで Configuration Manager 2007 関連のイベントを監視します。Configuration Manager 2007 アカウントやリソースが絡むエラーがないかどうかを詳細にチェックします。Windows イベント ログはいっぱいになる可能性があり、既定では、古い項目が新しい項目によって上書きされます。問題の診断などの理由で、古いイベント ログを参照する必要が生じることがあります。Windows イベント ログをバックアップし、安全でアクセスしやすい場所に格納することをお勧めします。必要があれば、既定のログ ファイル サイズを大きくして、格納されるデータ量を増やします。

Configuration Manager による操作を監視する Configuration Manager 2007 の動作を監視して、承認された操作のみが行われていることを確認します。たとえば、不自然に大きいコレクションや疑わしいコレクションの作成、提供情報の作成、大規模コレクションから提供先コレクションまたはパッケージの更新へのリンクの追加を監視します。

Configuration Manager 2007 ステータス サブシステムは、こうした操作を監視するための監査イベントを提供します。監査イベントはすべて、既定で 180 日間保存されます。その他のサーバー ステータス メッセージは既定で 30 日間保存されます。Configuration Manager 2007 には、セキュリティ関連のアクティビティの監査に使用できる既定のステータス メッセージ クエリがいくつか用意されています。承認されていないアクティビティの監視に役立つステータス メッセージ クエリの一部を、次の一覧に示します。

  • 作成、変更、または削除されたセキュリティ権限

  • 作成、変更、または削除された提供情報

  • 作成、変更、または削除されたパッケージ

  • 作成、変更、または削除されたプログラム

  • 特定の SCCM プログラム ウィザードを開始できなかった、または正常に実行できなかったクライアント

  • サーバー コンポーネントの構成の変更

  • クライアント コンポーネントの構成の変更

  • リモート ツール アクティビティ (すべて)

  • 作成、変更、または削除されたサイト アドレス

  • 作成、変更、または削除されたサイトの境界

  • 作成、変更、または削除された SQL コマンド

  • 作成、変更、または削除した SQL タスク

  • すべての監査ステータス メッセージ (特定のユーザー向け) (特定のサイトから)

Configuration Manager のセキュリティを定期的にテストする     Configuration Manager 2007 を導入したらセキュリティをテストし、その後も定期的にテストしてください。Configuration Manager 2007 のオブジェクトやデータが保護されていることを検証するため、作成したアカウントや委任されたタスクを使用して、あらゆる種類の Configuration Manager 2007 リソースへのアクセスを試みます。承認されていないアカウントも、リソースへのアクセスに使用してみてください。

インシデント レスポンス計画を策定する    インシデント レスポンス計画は、「問題のコンピュータをネットワークから外して、再フォーマットし、再インストールする」という大ざっぱなものから、訴訟でも使用できる証拠を収集するテクニックを持つ訓練された捜査専門家を動員する高度なものまでさまざまです。適切なレスポンス レベルを判断し、計画したことを繰り返し実施してください。障害回復とインシデント対応の詳細については、Microsoft TechNet サイトで障害回復とインシデント対応に関するページ (https://go.microsoft.com/fwlink/?LinkId=28825) (英語) を参照してください。

Configuration Manager 関連の内部文書を安全に保管する    ネットワーク関連文書には、攻撃者が攻撃を成功させるために知る必要があるすべての情報が記載されています。Configuration Manager 2007 の内部連絡先の一覧が社会工学的攻撃に使用される可能性もあります。Configuration Manager 2007 関連の文書は安全な場所に保管してください。Configuration Manager 2007 関連の文書を破棄する場合は、シュレッダーにかけるか、信頼できる文書破棄サービスに依頼してください。障害復旧用に Configuration Manager 2007 関連文書のバックアップ コピーを保管する場合は、バックアップ コピーの安全も確保してください。

セキュリティ運用方法を遵守するよう組織をあげて教育する    エンド ユーザー向けの包括的なユーザー教育プログラムを作成し、セキュリティが各自の責任であることを周知させてください。ネットワーク管理者には、適切なセキュリティ手順について教育を行い、セキュリティ ポリシーへの厳格な遵守を求めてください。Configuration Manager 2007 コンソールをロックしない Configuration Manager 2007 管理者は、モラルの低い従業員による攻撃を誘っているようなものです。仕事熱心な受付担当者が、不注意から、大事な企業秘密を改ざんするのに必要なすべてを攻撃者に与えてしまうことも考えられます。

プライバシー情報

バックアップ メディアには、Configuration Manager 2007 の機能によって収集されたコンピュータ名や IP アドレスなどの機密情報をはじめ、あらゆるサイト情報が含まれています。バックアップ ファイルに含まれている、個人の特定が可能な情報は、該当するプライバシー規則に従って保護する必要があります。

その他の情報については、「Configuration Manager 2007 Information and Support」 (Configuration Manager 2007 の情報とサポート) を参照してください。
ドキュメント チームに連絡するには、次のアドレスに電子メールを送信してください。 SMSdocs@microsoft.com.