第1回 メッセージ環境の保護について考える


竹島 友理
NRIラーニングネットワーク株式会社
2005/8/10


 Exchange Server 2003の土台を構成する
 ベストプラクティスの適用

 ところで、Exchange Server 2003をセキュリティ保護する際、メールサービスだけに目を向けてしまっては大きな落とし穴に落ちてしまいます。なぜなら、Exchange Server 2003は、Active DirectoryがあるWindows Server 2003上で動作しているからです。

【Exchange システムマネージャ】

 ユーザーのメールボックスやパブリックフォルダの実データは、Exchange Server 2003のストアに格納されますが、Exchange Server 2003が持っている構成情報とユーザー属性の1つであるメールボックス情報はActive Directory上に格納されています。さらに、パブリックフォルダの階層情報はInternet Information Services(IIS)の仮想ディレクトリが管理しており、キュー情報やメッセージ追跡情報は、WMI(Windows Management Instrumentation)経由に情報を取得します。このように、複数の場所に格納されている情報を1つの画面で表示してくれる管理ツールが「Exchangeシステムマネージャ」です。

 Exchange Server 2003環境をセキュリティで保護したい場合、アプリケーションの階層だけを見るのではなく、その土台からしっかり考えていきましょう。例えば、Exchange Server 2003を導入しているシステム全体で、以下の作業を行ってください。

●サーバを物理的に保護する

 施錠された安全な場所に保管する、BIOSの設定でフロッピードライブやCD-ROMドライブからの起動を無効にする、CD-ROMやUSBメモリなどの外部デバイスの使用を制限するなど、サーバを物理的に保護します。

●不要なサービスをすべて削除する

 不要なサービスが動いていると、セキュリティ管理のオーバーヘッドが増大し、不要ポートの公開にもつながります。ドメインコントローラ、ファイルサーバ、プリントサーバ、Exchangeサーバ(フロントエンドサーバ、バックエンドサーバ、Outlook Web Accessサーバ)など、それぞれのサーバの役割に適したサービス構成を行う必要があります。

●最新のサービスパックとそれ以降のすべての修正プログラムを適用する

 常に最新のセキュリティ更新プログラムを確実に適用してください。これにより、現在利用できる最適なセキュリティ更新プログラムを実装できます。このとき、以下のツールやサービスを組み合わせて構成すると便利です。

ツールの種類 ツール名
分析ツール MBSA(Microsoft Baseline Security Analyzer)
オンラインアップデートサービス Windows Update
管理ツール WSUS(Windows Server Update Services)
SMS(Microsoft Systems Management Server)

●Active Directoryによる認証環境を強化する

 1人のユーザーが1つのIDを使用し、誰がログオンしているかを明確に識別できるように(本人認証)、きっちりとIDを管理することはセキュリティ実装の基本です!さらに、複雑なパスワードを要求、スマートカードログオンの導入、不正持ち込み端末使用の拒否など、Active Directoryの機能を活用して認証環境を強化してください。

●機密情報へのアクセス制御を設定する

 格納されているデータに対するアクセス制御を設定します。このとき対象となるのは、ファイルサーバ上の共有フォルダやパブリックフォルダ内のデータ保護だけではありません。全社規模でパブリックフォルダを使用している場合、全社員がアクセスするフォルダもあれば、部門ごとにアクセスするフォルダもあると思います。そのような場合、非表示権限を設定することで、参照不要なフォルダを隠すことができます。また、アドレス帳へのアクセス制御もできるので、アドレス一覧を表示できるユーザーを制限することもできます。

●各種ログを有効にして、CPUやメモリの監視、エラー状況の確認などを行う

 何が起こっても後で問題を追跡できるように、必要なログを有効化します。また、問題が発生したときにすぐに対応できるように、システムの監視も設定してください。

●障害回復計画を実装する

 システム障害が起こったときに、SLA(Service Level Agreement)に従って復旧できるように、障害回復計画を立て、テストを行い、必要な手順書を作成しておいてください。

 このような基本的なベストプラクティスも忘れずに行ってください!

【Windows Server 2003 SP1のセキュリティ構成ウィザード(SCW)】

 さまざまな種類のサーバを一括保護する便利な方法として、Windows Server 2003 SP1が持っている「セキュリティ構成ウィザード(SCW)」があります。SCWは、SP1を適用済みのWindows Server 2003ファミリのメンバに対する攻撃の危険性を低減させるツールで、それぞれのサーバの役割に必要な最小限の機能を判断し、不要な機能を無効にします。

 SCWには次の機能が用意されています。

  • 不要なサービスを無効にする
  • 未使用のポートをブロックする
  • 開いたままになっているポートに対してアドレスやセキュリティの制限を追加する
  • 不要なIIS Web拡張機能を禁止する(適用される場合)
  • サーバメッセージブロック(SMB)、LanMan、およびLDAPに対するプロトコルの脅威を低減する
  • 明確な結果が得られる監査ポリシーを定義する

 SCWには、約60のサーバの役割が定義されています。以下は、定義されている主なサーバです。

  • ドメインコントローラ
  • DHCPサーバ
  • DNSサーバ
  • WINSサーバ
  • ファイルサーバ
  • Webサーバ
  • Exchangeバックエンドサーバ
  • Exchangeフロントエンドサーバ
  • SQLサーバ

 2005年後半にリリースが予定されているExchange Server 2003 SP2では、強力なセキュリティ保護、信頼性、および管理の容易さを実現する機能が提供される予定です。

 次回以降、Exchange Server 2003 SP2の新機能も含めて、「メッセージ送受信のセキュリティ対策」「悪意のあるユーザーへのセキュリティ対策」「モバイル環境下でのセキュリティ対策」「メールクライアント環境のセキュリティ対策」をテーマに、それぞれの機能を解説していきます。

3/3
 

Index
メッセージ環境の保護について考える
  Page1
防御したいセキュリティリスクは何?
  Page2
Exchange Server 2003のセキュリティ機能
Exchange Server 2003のクライアント/サーバ構成
Page3
Exchange Server 2003の土台を構成するベストプラクティスの適用
コラム:Exchange システムマネージャ
コラム:Windows Server 2003 SP1のセキュリティ構成ウィザード(SCW)


関連記事
基礎から学ぶExchange Server 2003運用管理

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH