第1回 メッセージ環境の保護について考える


竹島 友理
NRIラーニングネットワーク株式会社
2005/8/10


 Exchange Server 2003のセキュリティ機能

 Exchange Server 2003にはたくさんのセキュリティ機能が用意されています。どの機能を実装すれば、どのセキュリティリスクを軽減できるのか、以下の表でまとめてみます。

項番 分類 セキュリティ リスク 対策
1
メッセージ送受信へのセキュリティ対策 不正ユーザーによるアクセス、データの盗難、データの改ざん

Active Directory によるアカウントの一元管理、Kerberos による強力な認証、データの暗号化とデジタル署名 (S/MIME、SSL)

2
悪意のあるユーザーへのセキュリティ対策 スパムメール

Intelligent Message Filterなどの各種フィルタ、制限された配布リストの設定

なりすまし 送信者認証、匿名アクセス無効化設定、DNS逆引き参照機能、不正中継制限
ウイルス ウイルス対策プログラム、SMTP送信の無効化、Webビーコンブロック、危険な添付ファイルの実行ブロック
サービス拒否攻撃(DoS) メッセージ制限パラメータの設定
3
モバイル環境下でのセキュリティ対策 インターネットからの危険なアクセス OWA、OMA、RPC over HTTP、ISA Server 2004 を用いたセキュアアクセス
4
メールクライアント環境へのセキュリティ対策 情報漏えい Rights Management

不正メール(抑止効果)

ジャーナル、アーカイブ
本連載では、第2回以降、上記の項番に沿って解説をしていきます(編集部)

 それでは、これらの機能はメールボックスストアを保持しているExchange Server 2003とクライアント環境だけに実装すればよいのでしょうか?

 いいえ、違います!

 Exchange Server 2003環境は、メールボックスストアを格納しているサーバとクライントPCだけで構成されているわけではありません。環境によっては、メールボックスストアを持たないExchange Server 2003もあります。例えば、パブリックフォルダストアだけを持っているサーバ、メッセージング環境をつなぐコネクタだけを設定しているサーバ、そしてユーザーからの接続要求を専門に処理するサーバなどです。

 また、ユーザー認証、ユーザーのメールボックス情報の取得、ユーザーからのアドレス帳の参照には、ドメインコントローラとグローバルカタログサーバが使用されます。さらに、すでにインターネットとの接続を持っているなら、インターネットとの境界を構成しているゲートウェイがあるはずです。

 ある共有フォルダに格納しているドキュメントをメッセージに添付して送る場合は、メール処理の中でそのファイルサーバとのアクセスも発生します。もし、そのファイルサーバに不正ユーザーが侵入し、そのファイルサーバがウイルスに侵されている場合、安全にドキュメントを添付してメッセージを送ることはできません。

 つまり、セキュリティ対策はどこか1カ所に集中的に実装すればよいのではなく、システム全体への実装が必要になるのです。

 Exchange Server 2003のクライアント/サーバ構成

 それでは、Exchange Server 2003の代表的な構成パターンを3つ紹介します。

●イントラネット内での代表的なサーバ構成

図2 イントラネット環境の構成

 Exchangeサーバがユーザーからの接続要求を受け取ると、DNSサーバを使用してドメインコントローラを検索して接続し、ユーザー認証とそのユーザーにバインドされているメールボックス情報を取得します。そして、メールボックスストアへのアクセスは、ユーザーのホームサーバ(メールボックスを保持しているExchangeサーバ)が処理します。

 もし、Exchange Server 2003を部門メールサーバという位置付けで導入し、すでにインターネットとつながっているSMTPホストが別に存在する場合は、そのSMTPホストを「スマートホスト」として構成し、インターネットへのメール送信、インターネットからのメール受信の受付窓口として使用することができます。

図3 スマートホスト経由でのインターネットメール送信

図4 スマートホスト経由でのインターネットメール受信

●インターネット環境でのExchange Server 2003の構成(その1)

 インターネット環境にExchange Server 2003を公開して構成する場合、メールボックスやActive Directory情報をインターネット上に公開するのはとても危険なので、通常はExchangeサーバをフロントエンド/バックエンドという形式で構成します。

 フロントエンドサーバとは、ユーザーからの接続要求を受け取って、ドメインコントローラにアクセスし、ユーザー認証処理を行うExchange Server 2003のことです。フロントエンドサーバはストア処理を行いません。メッセージングデータは、バックエンドに控えているユーザーのホームサーバ(バックエンドサーバ)に格納されており、ストア処理要求はフロントエンドサーバからバックエンドサーバに直接転送されます。

図5 インターネットアクセス構成例(その1)

●インターネット環境でのExchange Server 2003の構成(その2)

 フロントエンドサーバを社内ネットワーク内で保護したい場合は、ISA Server 2004と組み合わせて構成します。ユーザーからの接続要求を受け取ったISAサーバは、それをファイアウォール内のフロントエンドサーバに転送します。

図6 インターネットアクセス構成例(その2)

 このように、Exchange Server 2003の環境は、単純にメールクライアントとExchangeサーバだけで構成しているわけではありません。ですから、ウイルス対策プログラムは、ゲートウェイ、メールサーバ、メールクライアント、ドメインコントローラ/グローバルカタログサーバ、ファイルサーバなど、システム上のすべてのコンピュータへのインストールが必要です。同様に、各種メッセージングフィルタも、ゲートウェイだけでなくメールボックスサーバにも構成することで、メッセージング環境がより強力になります。

2/3

Index
メッセージ環境の保護について考える
  Page1
防御したいセキュリティリスクは何?
Page2
Exchange Server 2003のセキュリティ機能
Exchange Server 2003のクライアント/サーバ構成
  Page3
Exchange Server 2003の土台を構成するベストプラクティスの適用
コラム:Exchange システムマネージャ
コラム:Windows Server 2003 SP1のセキュリティ構成ウィザード(SCW)


関連記事
基礎から学ぶExchange Server 2003運用管理

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH