有効なセキュリティ設定の表示
最終更新日: 2003年1月17日
目次
セキュリティ関連イベント 1. 外部セキュリティ対策 2. 略語 3. 参考資料
グループ ポリシー設定を管理するコンソールで、グループ ポリシー オブジェクトをダブルクリックします。
コンソール ツリーで、[セキュリティの設定] をクリックします。次の項目を展開します。
[コンピュータの構成]
[Windows の設定]
[セキュリティの設定]
セキュリティ ポリシー ノード (アカウント ポリシーなど) をダブルクリックし、セキュリティ領域 (パスワードのポリシーなど) をクリックします。
表示するセキュリティ属性 (パスワードの長さなど) をダブルクリックします。セキュリティの設定は、ローカル ポリシーと、システムで有効なポリシーの両方を反映します。コンピュータがグループ ポリシーの設定を継承している場合、この 2 つのポリシーは同一でないことがあります。
セキュリティ関連イベント
このサブセクションでは、あらゆる種類のセキュリティ関連イベントと、セキュリティ確保のために (随時) 行う管理者の作業について説明します。Windows 2000 の稼動中に発生するおそれのあるセキュリティ関連イベントは、管理者操作によって安全な運用を確保できるよう、適切に定義されている必要があります。セキュリティ関連イベントは、システムまたは環境内にセキュリティ関連の変更があったことを示すイベントと定義できます。このような変更は、日常的なものと異常なものに分類することができます。日常のイベントについては、すでに「セキュリティ機能」のサブセクションで取り上げました。組織への新規ユーザーの参加、管理者による新規アカウントのセットアップなどがこれに該当します。異常時のイベントは、通常の業務では発生しないものや、管理者により設定された限界への到達の結果によるものです。セキュリティ関連イベントは、セキュリティ機能に基づいています。
監査記録のオーバーフロー
イベントの内容 : (1) 定義済みの最大ログ サイズへの到達、あるいは (2) ディスク領域の不足により、監査ログが最大容量に到達した。
セキュリティへの影響 : セキュリティ ログに監査情報を記録できないため、重要な監査情報が回復不能なほど失われる場合があります。
必要な作業 :
監査ログを保存します。
監査ログを消去します。
最大ログ サイズの要件が現在の運用に適しているか再検討し、必要な修正を行います。
監査要件を見直して、関連する監査情報のみが確実に収集されるようにします。
監査メンテナンスの手順を見直して必要な調整を行い、システムの停止や監査データの損失を招かない程度に監査記録の頻度が抑えられているか確認します。
任務の与える影響に応じて、監査ログがいっぱいになったときにシステムを一時停止するレジストリ設定を検討します。これにより、今後は監査メリットのないシステム操作が行われません。ただし、定期的な監査メンテナンスに従っていない場合、運用に影響を与える可能性があります。
ディスク ボリュームの拡張、大容量ディスクやパーティションへのログ ファイルディスクの再配置、または大容量ハード ディスクとの交換によって、ディスク領域の要件を見直し、必要な調整を行います。
注意 : イベント ログの保存手順については、「イベント ログの保存」を、またイベント ログ ファイルを再配置する手順については、「既定のイベント ビューア ログ ファイルの場所の変更」を参照してください。
悪意または不正な疑いのある動作を監査記録で確認 (監査記録とフィルタリングの使用)
イベントの内容 : 既知のユーザーまたは未知の者による悪意または不正な動作の疑い
セキュリティへの影響 : 影響の可能性は、疑いのある動作の種類によって異なります。この場合、詳細な調査によって動作の潜在的な目的が明らかになることがあり、それによって予測されるリスク レベルが増減する点に留意します。疑いのある動作として、アカウント パスワードの推測または強引な解読 (ブルート フォース攻撃)、許可されていない不審なオブジェクト アクセス、通常と異なる時間帯のログイン、ユーザーのログインが予期されていないときのアカウント動作、予期しないファイルの修正やデータの損失などが考えられます。
必要な作業
まずセキュリティ管理者に相談します。
疑わしいアカウントを特定したら、[セキュリティ ログのプロパティ] アプレットのイベント ビューア フィルタリング ツールを使用して、そのアカウント用に取得されたすべてのイベント動作のログを分析します。
注意 : 詳細な手順については、「監査の管理」を参照してください (セキュリティ ログのフィルタリング)。
正当な理由が認められる場合は、セキュリティ管理者の助言に基づいてアカウントを無効にします。
注意 : アカウントの無効化の手順については、「ユーザー アカウントの無効化と有効化」を参照してください。
以前に疑わしいアカウントによる操作がないか、保存された監査ログで確認します。
疑わしいアカウントがわからないが、データの改ざんが疑われる場合、すべてのオブジェクト、または改ざんの対象であると疑われるオブジェクトの種類にアクセスする Everyone グループを監査します。監査ログを監視し、改ざんの発生の有無と改ざんの実行者を特定します。
注意 : オブジェクト アクセスの監査に関する手順と推奨事項については、「オブジェクト監査の有効化」を参照してください。
ログインの失敗制限を超過したユーザー アカウントの無効化
イベントの内容 : 許容された失敗ログインの既定回数を超えたため、ユーザー アカウントがロックされた。
セキュリティへの影響 : アカウントがロックされると、必要なタスクの達成が妨げられます。この現象は、ユーザー アカウントのパスワードを推測する試みが原因で生じる可能性があります。
必要な作業 :
アカウントの所有者に連絡し、アカウントのロックアウトがログインを試みた結果であるかを確認します。
ユーザーがパスワードを忘れている場合、既定のパスワードを新しく設定します。これは、ユーザーのログイン後すぐに変更される必要があります。アカウントのロックを解除し、ユーザーのログインを許可します。
注意 : ユーザー アカウントのロックを解除する手順については、「アカウント ロックアウト ポリシーの設定」を参照してください。
アカウント ロックアウトがユーザー (アカウント所有者) 操作の結果でないと確認された場合、危険が予測される試みであることを表しています。アカウントのロックを解除する前に、必ず監査ログを調べ、関連した疑わしい動作が他にもあるかどうかを確認します。同じアカウントに対する以前の試み、共通した時間内での他のユーザー アカウントに対するログインの失敗などがこれに含まれます。同じアカウントへのログインに成功する直前に、連続してログインに失敗していないか確認します。これは、侵入者側がユーザー アクセスの取得に成功していることを示します。ログオン イベントのレコードでログオンの種類を確認し、ローカルでの試みかネットワークによる試みかを判断します。またソースを予測するためのヒント (ドメイン名、コンピュータ名など) を調べます。以上のすべての処理を実行するにあたっては、必ずセキュリティ管理者に相談し、指示に従ってください。セキュリティ管理者の承認があった場合のみアカウントのロックを解除します。
(契約者サポートなどのため) 一時的なユーザー アカウントが必要な場合
イベントの内容 : 制限されたネットワーク リソースへの一時的なアクセスを必要とする個人にアカウントが必要な場合。通常は許可されていないリソースへのアクセスを一時的に必要とする契約者、または現地の別組織に属する従業員がこれに含まれます。
セキュリティへの影響 : 不正アクセスの可能性。アクセス要求が適切に評価および実行されない場合、一時的なユーザーに許可されていないリソースへのアクセスが与えられたり、必要な期間を過ぎてもリソースへのアクセスが継続されることがあります。
必要な作業 :
リソース所有者と相談の上で、一時的なユーザーに対するリソース アクセス要求を決定します。
セキュリティ管理者と相談し、一時的なユーザーのアクセスが適切に削除されていることを確認します。
必要な一時アクセスの種類ごとにユーザー グループを作成し、一時的なアカウントによる必要なタスクの実行に要する最小限の特権を割り当てます。
注意 : グループ アカウントの作成と適切な特権の割り当ての手順については、「ユーザー/グループのアカウントの作成と管理」および「ユーザー権利の設定」を参照してください。
グループ メンバがアクセスするリソースに対して、アクセス許可を設定し、必要なタスクを実行できる最小限のアクセス要求のみを一時的なアカウントに対して許可します。たとえば、特定のドキュメントに対する読み取り専用アクセスのみを許可し、書き込みまたは削除の権利は許可しません。
注意 : リソースに対するアクセス許可の設定手順については、「Windows 2000 におけるファイル、フォルダ、共有リソース、およびその他のシステム オブジェクトのアクセス制御設定」を参照してください。
一時的なアカウント グループの動作を監査します。
注意 : 動作の監査手順については、「ローカル ポリシー」 (監査 ポリシーの構成) を参照してください。
一時的なアカウントを作成します。最初のログオンで有効期限が切れる初期パスワードを設定します。これは、ユーザーによる新規パスワードの作成を必要とします。
注意 : アカウントの作成とパスワード オプションの設定手順については、「ユーザー アカウント」を参照してください。
データの所有者、経営陣、およびセキュリティ管理者の決定に応じて、一時アカウントのログオン時間の制限を設定します。
注意 : ログオン時間の制限を設定する手順については、「ログオン時間の設定」を参照してください。
データの所有者、経営陣、およびセキュリティ管理者の決定に応じて、アカウントを要する時間に適した有効期限日をすべての一時的なアカウントに設定します。
注意 : アカウントに有効期限日を設定する手順については、「アカウントの有効期限日の設定」を参照してください。
セキュリティ関連 Service Pack または修正プログラム更新の提供
イベントの内容 : セキュリティ問題に対処する最新の Service Pack または修正プログラムをマイクロソフトから受け取る。
セキュリティへの影響 : セキュリティ修正プログラムによって、即座に修正を必要とする重大な問題に対処することができます。このプログラムは、システムの使用方法、ネットワーク上の位置、およびサポートするアプリケーションによって異なります。その一方で、セキュリティ修正プログラムは、使用しているアプリケーションに悪影響を与える場合があります。そのため、運用環境に適用する前に、十分評価することが必要です。
必要な作業 :
最初にセキュリティ更新の内容を確認し、現在の運用と関連性があり、不可欠なものであるか判断します。
セキュリティ更新が現在のセキュリティ運用に不可欠であると判断した場合、実際に導入する前に、更新をテストするプロセスを構築します。ステージング領域内で更新をテストすることで、これを達成できます。ステージング領域は、ローカル システムを効果的にエミュレートするのに十分なリソースを持つ、独立した試験環境で構成しなければなりません。これは、予定しているセキュリティ更新と関連した非互換性を、導入前に特定し、緩和することを目的としています。これにより、運用ネットワーク内の操作、サービス、ユーザー、またはデータのリスクが最小限に抑えられます。
テストと検証を完了したら、承認済みのセキュリティ更新を適用します。
注意 : Service Pack と修正プログラムの適用手順については、『Windows 2000 セキュリティ構成ガイド』を参照してください。
構成制御レコード内のすべてのシステム変更を記録し、セキュリティ更新の実装を含むシステム ビルド仕様を更新します。
組織の異なる部分へ参加したユーザーのアクセス変更
イベントの内容 : ユーザーが組織の別の要素に参加したため、アカウント特権、オブジェクト アクセス、グループ メンバシップ、またはドメイン メンバシップに変更が必要である。
セキュリティへの影響 : ユーザーの責任領域を変更すると、アクセスの変更が必要な場合があります。必要ない場合、責任の範囲外のリソースへのアクセスが引き続き許可されます。
必要な作業 :
ユーザーの新しいアクセス要求を、部門マネージャとセキュリティ管理者に確認し、ネットワーク サービスとリソースの要件を確立します。
異なるネットワーク ドメインにユーザーが参加する場合、現在のドメインからアカウントを削除し、新しいドメインに新規アカウントを作成します。これは別の管理者が行う場合もあります。
同一ドメイン内で変更が生じた場合、ユーザーが必要としないグループ アカウントからユーザーを削除します。
ユーザーを適切なグループに割り当て、必要なリソースへのアクセスを提供します。
不必要な特権を削除し、必要な新しい特権をすべて割り当てます。通常、これを最適に行うには、グループ メンバシップを使います。
ユーザーの新しいパスワードを設定します。これは、次回ログオン時にパスワードの変更を要求するために設定します。ユーザーは、このパスワードをユーザー独自のパスワードに変更するよう要求されます。
注意 : 上記のすべての推奨手順については、「ユーザー/グループのアカウントの作成と管理」を参照してください。
ユーザーが組織を離れる場合
イベントの内容 : ユーザーが組織を離れ、今後ネットワーク リソースへのアクセスが必要ない。
セキュリティへの影響 : 承認されていないアクセスの可能性。アクセス認証がすばやく適切に削除されていない場合、従業員の退職以降も、ネットワーク リソースへのアクセスが引き続きユーザー アカウントに与えられる場合があります。
必要な作業 :
絶対に必要なファイルまたはディレクトリをユーザーが暗号化していないか確認します。暗号化されている場合、ユーザー アカウントを削除する前に、暗号を解除できるか確認します。
このユーザーのみにアクセス許可が設定されたリソースがないか確認し、適宜アクセス許可を変更します。
該当する部門マネージャとセキュリティ管理者が確認した後で、ユーザー アカウントを削除します。
ユーザーがパスワードを忘れた場合
イベントの内容 : アカウント パスワードをユーザーが忘れた。
セキュリティへの影響 : ユーザーがログインできないので、必要なリソースにアクセスして、必要なタスクを実行することができません。
必要な作業 :
最初にユーザーにアクセスが許可されているか確認します。これは、ソーシャル エンジニアリングによる要求でないことを確かめるためです。
ユーザーの新しいパスワードを設定します。これは、次回ログオン時にパスワードの変更を要求するために設定します。ユーザーは、このパスワードをユーザー独自のパスワードに変更するよう要求されます。
注意 : パスワードのオプションを設定する手順については、「ユーザー アカウント」を参照してください。
ユーザーの暗号化ファイルの回復
イベントの内容 : ユーザーが暗号化された情報にアクセスできない、または組織に必要なデータの暗号を解除せずに組織を離れた。
セキュリティへの影響 : 貴重な情報を組織が入手できなくなります。
必要な作業 :
事前に暗号化されたデータを復号化できない場合、または従業員が突然退職した場合、回復エージェント (暗号化ファイルの回復役に指名されたユーザー) は、回復ポリシーを使用して、コンピュータ上の暗号化ファイルを回復できます。回復ポリシーは、コンピュータの管理コンソールのグループ ポリシー スナップインにあります。回復ポリシーが存在しない場合、EFS は機能しません。したがって、Encrypted Data Recovery Agents フォルダを空にすると、EFS は無効になります。Windows 2000 Professional は、すべてのスタンドアロン コンピュータに既定の回復ポリシーをローカルで作成します。この場合、ローカルの管理者が回復エージェントになります。
暗号化されたファイルを回復するには、回復エージェントがコンピュータにログオンし、ファイルを復号化しなければなりません。
ユーザーは証明書と秘密キーにアクセスできない場合、別の回復エージェントに頼らなければなりません。Windows 2000 のバックアップ機能または同等のバックアップ ユーティリティを使用して、暗号化されたファイルをバックアップし、そのバックアップ ファイルを回復エージェントへ電子メールで送信します。回復エージェントは、自身の回復証明書を使用してファイルを復号化し、ファイルを電子メールでユーザーへ返送します。
回復証明書とそれに関連付けられた秘密キーを保護するには、先の手順のようなバックアップ ファイルのエクスポート後に、回復エージェントが回復証明書を証明マネージャから削除する必要があります。この処理を行うことで、別の人物が回復証明書と秘密キーへのアクセスを得ることを防止できます。証明マネージャの「ファイル回復」にその目的が示されているので、回復エージェントが証明書を識別し、削除することができます。回復証明書を PFX ファイルにエクスポートした後は、証明書マネージャからこれを削除し、エクスポートされた PFX ファイルに秘密キーのコピーだけが含まれるようにします。PFX ファイルを安全な場所に配置し、暗号化されたファイルの回復が必要な場合のみ、証明書マネージャへインポートしてください。
Windows 2000 ドメインでは、サーバー管理者がドメイン、組織単位、またはコンピュータ レベルで回復ポリシーを作成します。この場合、既定の回復エージェントはドメイン管理者です。回復証明書とそれに関連付けられた秘密キーのセキュリティを保護するには、エクスポート後に証明書マネージャから削除してください。その後、エクスポートされた PFX ファイルを安全な場所に格納します。また、Windows 2000 ドメインでは、管理者が追加の回復証明書を作成し、特定のユーザーを回復エージェントとして指名できます。
時刻の間違い
イベントの内容 : コンピュータの時刻が正確でない。これには、次のような多数の原因が考えられます。元のタイム ゾーン外の場所にコンピュータが移動した、システムの BIOS が時間を管理していない、夏時間が有効になっているのに、コンピュータで調整されていない、時刻の間違ったソースから、コンピュータが時刻を取得している。
セキュリティへの影響 : 影響を受けたシステムの監査レコードに、イベントが生じた実際の時刻が反映されません。
必要な作業 :
BIOS のバッテリが充電されていることを確認します。充電されない場合、バッテリを交換し、適切な時刻をコンピュータに設定します。
タイム ゾーンの変更を原因とする問題の場合、正確なタイム ゾーンをコンピュータに設定し、適切なタイム ゾーンで時刻を再設定します。
[日付/時刻のプロパティ] アプレットで、[タイム ゾーン] タブをクリックし、[自動的に夏時間の調整をする] チェック ボックスがオンになっているか確認します。
注意 [日付/時刻のプロパティ] アプレットを開く手順については、「日付と時刻の設定」を参照してください。
- 信頼できるタイムサーバーから時刻を取得するよう、コンピュータを設定します。
クォータ制限への到達
イベントの内容 : ユーザーのクォータが制限に達していることを警告する。
セキュリティへの影響 : : クォータ制限を超えているユーザーへのディスク領域を拒否するオプションを選択した場合、「ディスク領域の不足」メッセージがユーザーに送信され、追加データをディスクに書き込むことができなくなります。その結果、業務と関連した情報が格納できなくなり、サービス (記憶域) が使用不能になります。
必要な作業 :
ユーザーに問い合わせ、ディスク領域要件を確認します。
不要なファイルの削除またはバックアップ場所への移動をユーザーに要求します。
あるいは、適切と見なせる場合、ユーザーのディスク クォータを増加します。
注意 : 上記のすべての推奨手順については、「ディスク クォータの管理」を参照してください。
オブジェクトまたはユーザー特権へのアクセス取り消しが必要な場合
イベントの内容 : ユーザーのセキュリティ属性とオブジェクトへのアクセスの取り消しが即座に必要である。
セキュリティへの影響 : 特定のオブジェクトへのアクセスの取り消し、あるいは責任とアクセス要件の変更や不正使用の懸念によって、特定の特権機能の取り消しが必要な場合があります。アクセスを存続すると、許可されていないデータへのアクセスが可能になったり、不正使用を原因としてデータが損なわれる場合があります。また、すでに権限または信用のないユーザーが、特権のある操作を実行する可能性もあります。
必要な作業 :
該当するオブジェクトへのアクセス許可を確認し、適宜、ユーザーのアクセス許可を削除または変更します。
ユーザーのグループ メンバシップを確認し、今後ユーザーが必要としない特権が付与されているグループからユーザーを削除します。
ユーザー権利の割り当てポリシーを確認し、希望しない特権を特別に付与されていないか確めます。
ネットワークからログオフすることで、ユーザーは強制的にネットワークで再認証されます。
注意 : ユーザーのアクティブなセッションを終了する (「共有リソースまたはアクティブなセッションからのユーザーの切断」参照) だけで、ユーザーは切断されますが、この場合、依然としてユーザーはセッションを再確立することができます。これを回避するには、ユーザーをコンピュータからローカルにログオフさせることが必要です。
1. 外部セキュリティ対策
Windows 2000 ST に示されたような、Windows 2000 の評価された構成セキュリティ環境には、環境に応じた要件は一切含まれません。したがって、Windows 2000 のセキュリティ運用が、環境の満たす要件に左右されません。環境に関する前提条件は、『Windows 2000 ST』の第 3 章に掲載されています。
2. 略語
| CAPP | Controlled Access Protection Profile |
| CC | 共通基準 (Common Criteria) |
| CPU | 中央演算処理装置 (Central Processing Unit) |
| DC | ドメイン コントローラ |
| EFS | 暗号化ファイル システム |
| GPO | グループ ポリシー オブジェクト |
| GUI | グラフィカル ユーザー インターフェイス |
| ID | 識別情報 |
| IKE | インターネット キー交換 |
| IPSEC | インターネット プロトコル セキュリティ |
| ISAKMP | Internet Security Association and Key Management Protocol |
| KCC | 知識整合性チェッカー |
| KDC | キー配布センター |
| LGPO | ローカル グループ ポリシー オブジェクト |
| LSDOU | (1) ローカル、(2) サイト、(3) ドメイン、(4) OU |
| NTFS | New Technology File System |
| OU | 組織単位 |
| SACL | システム アクセス制御リスト |
| SID | セキュリティ識別子 |
| ST | セキュリティ ターゲット |
| TOE | 評価対象 |
| TSF | TOE セキュリティ機能 |
| UPN | ユーザー プリンシパル名 |
| USN | Unique Sequence Number |