IIS セキュリティチェックリスト

イントラネットに情報を公開するコンピュータのセキュリティを強化するには、いくつかの方法があります。システムのセキュリティに不安がある場合は、このチェックリストを参考にして、セキュリティ面の強化が可能かどうかを判断してください。

注きわめて重要性の高い情報を保護する場合には、セキュリティ専門のコンサルタント会社のサポートを受けることをお勧めします。コンサルタント会社を利用すると、適切なセキュリティポリシーとプロシージャを確立できます。

Windows のセキュリティ
 インターネットインフォメーションサービスのセキュリティ
 物理的セキュリティ
 人的セキュリティ
 セキュリティに関する詳細情報

Windows のセキュリティ

IIS のセキュリティ機能は、Windows のセキュリティ機能に基づいています。Windows で次の設定を行うと、Web サイトを保護できます。

ファイルシステム

	対策	理由
	NTFS を使用する	NTFS システムの方が FAT システムよりもセキュリティが強化されます。コンピュータのハードディスクを FAT から NTFS に変換する方法については、Windows のマニュアルを参照してください。

	ディレクトリのアクセス権を確認する	既定では、Windows は、新しいフォルダを作成し、Everyone グループにフルコントロールアクセス権を割り当てます。

	IUSR_computername アカウントにアクセス制御を設定する	匿名ユーザーからのアクセスを制限します。

	別のディレクトリに実行可能ファイルを保存する	管理者によるアクセス権の割り当てと監査が容易になります。

	ネットワークドライブの NTFS アクセス権をチェックする	既定では、Windows は、新しい共有リソースを作成し、Everyone グループにフルコントロールアクセス権を割り当てます。

ユーザーアカウント

	対策	理由
	ユーザーアカウントを頻繁に確認する	有効な管理者が作成していない新しいアカウント、つまり IUSR_computername アカウントに正しい権利が与えられているかチェックします。サイトに匿名アクセスできるすべてのユーザーは、このアカウントに割り当てられた権利を持っています。また、監査を使用して、セキュリティポリシーがいつ、だれによって変更されたかを監視することもできます。詳細については、「監査」を参照してください。
	推測が困難なパスワードを選ぶ	パスワードは、大文字と小文字、数字、および特殊記号を組み合わせると、推測しにくくなります。
	厳密なアカウントポリシーを維持する	重要なユーザーアカウントとグループに与えられているアクセス権の種類を記録します。この中には、セキュリティポリシーを変更できるユーザーの情報が含まれます。
	Administrators グループのメンバシップを制限する	通常、このグループには、コンピュータへのフルアクセス権が与えられています。

	Administrator アカウントにパスワードを割り当てる	既定では、Administrator のアカウント用のパスワードは空白です。セキュリティを強化するには、既に説明したように、推測されにくいパスワードをこのアカウントに設定します。

サービスとその他の問題

	対策	理由
	最小限のサービスを実行する	必要最低限のサービスのみ実行します。サービスを増やすことにより、そこから悪意のある第三者の侵入と攻撃を受けやすくなります。サービスとセキュリティの詳細については、『Microsoft Windows 2000 Server リソースキット』を参照してください。

	監査を有効にする	監査は、セキュリティで保護されたファイルまたは重要なファイルへのアクセスを追跡するための有効なツールです。セキュリティポリシーの変更など、サーバーのイベントを追跡する場合にも、監査を使用できます。監査ログは、保存して、後で使用することもできます。詳細については、「監査」を参照してください。

	コンピュータをリモート管理する場合は、暗号化を使用する	通常、リモート管理には、Administrator アカウントのパスワードなどの重要な情報のやり取りが含まれます。オープンネットワークにおいて重要な情報を保護するには、Secured Sockets Layer (SSL) の暗号化を使用します。詳細については、「暗号化」を参照してください。

	下位レベルのアカウントを使用してインターネットを参照する	Administrator や Power User のアカウント、またはそのほかの上位レベルの権限を持つアカウントを使用してインターネットを参照すると、悪意のある第三者の攻撃を受けやすくなります。同じ理由から、プライマリドメインコントローラ (PDC) からインターネットを参照しないようにしてください。

	重要なファイルとレジストリを頻繁にバックアップする	データの安全性を保証できるセキュリティ対策はありません。詳細については、『Microsoft Windows 2000 Server リソースキット』を参照してください。

	定期的にウイルスチェックを実行する	オープンネットワーク上のコンピュータは、コンピュータウイルスに感染する危険性があります。定期的なウイルス検査により、データの損失を防ぐことができます。

インターネットインフォメーションサービスのセキュリティ

IIS では、認証や Web アクセス権などの最前線での Web サイトのセキュリティを提供します。

認証

	対策	理由
	できる限り安全性の高い認証形式を使用する	クライアントがサポートする認証形式の中で、最も安全性の高い形式を使用します。たとえば、統合 Windows 認証およびダイジェスト認証は、基本認証より安全性が高くなります。安全性の高い認証には、クライアント証明書も使用できます。認証の詳細については、「認証」を参照してください。

	一対一のマッピングと多対一のマッピング	一対一と多対一のマッピングメソッドを必要に応じて使用し、Windows のユーザーアカウントにクライアント証明書をマップすることができます。一対一のマッピングは高レベルの確実性を提供しますが、サーバーにクライアント証明書のコピーを格納する必要があります。多対一のマッピングは実装が簡単で、サーバーにクライアント証明書のコピーを格納する必要はありません。詳細については、「ユーザーアカウントにクライアント証明書をマップする」を参照してください。

Web アクセス権

	対策	理由
	Web アクセス権と NTFS アクセス権を同期させる	Web アクセス権と NTFS アクセス権が同期していない場合、この 2 つのうちで制限の厳しい方のアクセス権が使用されます。同期化は、手動またはアクセス許可ウィザードで実行できます。Web アクセス権の詳細については、「アクセス制御について」を参照してください。NTFS アクセス権については、Windows のマニュアルを参照してください。

	できる限り制限の厳しいアクセス権を使用する	たとえば、Web サイトを情報の表示専用にしている場合は、読み取りアクセス権のみを割り当てます。ディレクトリやサイトに ASP アプリケーションが含まれている場合は、スクリプトおよび実行可能ファイルの実行アクセス権ではなく、スクリプトのみのアクセス権を割り当てます。詳細については、「Web サーバーのアクセス権を設定する」を参照してください。

	書き込みアクセス権、スクリプトおよび実行可能ファイルの実行アクセス権を使用する	アクセス権をこの組み合わせで使用する場合は、特に注意してください。有害な実行可能ファイルを第三者がサーバーへアップロードし、実行するおそれがあります。詳細については、「Web サーバーのアクセス権を設定する」を参照してください。

物理的セキュリティ

	対策	理由
	コンピュータを離れるときは、ワークステーションをロックする	コンピュータを操作しないときは、CTRL + ALT + DELETE のショートカットキーを押し、[コンピュータのロック] をクリックして、コンピュータをロックします。

	パスワードによる保護オプションを設定してスクリーンセーバーを使用する	席を離れたときにコンピュータを使用されないように、スクリーンセーバーの実行までの時間を短く設定します。アニメーションのスクリーンセーバーは、サーバーのパフォーマンスを低下させることがあるため、模様のないスクリーンセーバーを選びます。

	コンピュータをロックする	安全な部屋でコンピュータをロックしておくと、悪意のある第三者にアクセスされる危険が減少します。

人的セキュリティ

	対策	理由
	異なる Administrator アカウントを使用する	管理者権限を持つ各ユーザーには、別々のユーザーアカウントとパスワードを与える必要があります。これにより、変更が加えられた場合の追跡が容易になります。

	機密保持契約を結ぶ	機密保持契約を結び、責任を明確にします。

	定期的にアカウントを再割り当てする	ユーザーアカウント情報が危険にさらされる確率を低くするために、Administrator の権限やほかの上位レベルの権限を持つユーザーに新しいユーザーアカウントを割り当てます。

	未使用アカウントをすばやく削除する	元従業員や元ベンダーがネットワークにアクセスする危険が減少します。

セキュリティに関する詳細情報

Web サイトのセキュリティに関する詳細情報は、次のリソースで提供されています。

Microsoft Windows 2000 Server リソースキット
Microsoft Security Web サイト
RSA Web サイト
Windows Security Web サイト

IIS セキュリティ チェックリスト