 |
Windows サーバー セキュリティ徹底解説
|
|
|
10-1 パーソナル・ファイアウォール
|
通常のファイアウォールは、インターネットと会社の内部のネットワークの間に設置し、パケットフィルタリングを行うことにより不正なアクセスから会社の内部ネットワークのコンピュータを守ります。企業の場合は、高価なファイアウォールを使用して外部のネットワークから内部のコンピュータを保護しています。
ここ数年、個人でもインターネットに常時接続することが多くなり、インターネットからの攻撃に対し防御を行う必要が出てきました。また、企業内でもウィルスに感染したほかのコンピュータからの感染を防ぐ必要が出てきています。このような場合、それぞれのコンピュータ単位でパケットフィルタリングを行う必要性があります。ネットワークとネットワークとの間のパケットフィルタリングではなく、コンピュータ単位の安価なパケットフィルタリングを行うものを「パーソナル・ファイアウォール」と呼びます。
Windows Server 2003とWindows XPには、「インターネット接続ファイアウォール（Internet Connection Firewall）」と呼ばれるパーソナル・ファイアウォールが提供されています。
10-2 インターネット接続ファイアウォール
インターネット接続ファイアウォールは、ステートフルなファイアウォールです。インターネット接続ファイアウォールを有効にすると、ほかのコンピュータからのアクセスは許可に設定したもの以外はすべてブロックします。また、自身から開始した通信はすべて許可します。
|
POINT
|
|
Windows XP SP1とWindows Server 2003のインターネット接続ファイアウォールは、ユニキャスト、マルチキャスト、ブロードキャストのパケットをフィルタリングします。サービスパックを適用していないWindows XPはユニキャストしかフィルタリングを行いません。そのためマルチキャストを使用した攻撃に対して、無防備になっていました。 |
10-3 インターネット接続ファイアウォールの設定
インターネット接続ファイアウォールを有効にするには、次のように実行します。
■手順■
（1）［スタートメニュー］−［コントロールパネル］−［ネットワーク接続］から有効にしたいネットワークインターフェイスを右クリックし、［プロパティ］をクリックします。
（2）ネットワークインターフェイスのプロパティが表示されます。［詳細設定］タブをクリックします。
 |
| 図10-1 ネットワークインターフェイスのプロパティ |
（3）［インターネットからのこのコンピュータへのアクセスを制御したり防いだりして、コンピュータとネットワークを保護する］チェックボックスをオンにします。OKボタンをクリックします。
これで、インターネット接続ファイアウォールが有効になりました。このコンピュータから開始した通信に対する返信だけを受け取るようになります。ほかのコンピュータから開始した通信はすべて拒否します。
|
POINT
|
|
インターネット接続ファイアウォールは、IPv4に対してだけフィルタリングを行います。IPv6に対しては、フィルタリングは行いません。 |
|
NOTICE
|
||
|
Windows 2000でパケットフィルタリングを行うには、［TCP/IPフィルタリング］ダイアログボックスで設定します。 NICのプロパティの［インターネットプロトコル（TCP/IP）］を選択して プロパティボタンをクリックします。表示された［インターネットプロトコル（TCP/IP）］ダイアログボックスの詳細設定ボタンをクリックします。［TCP/IP詳細設定］ダイアログボックスの［オプション］タブで、［TCP/IPフィルタリング］を選択しプロパティボタンをクリックします。［TCP/IPフィルタリング］ダイアログボックスが表示されます。 ［TCP/IPフィルタリング］ダイアログボックスで、パケットを通すTCPポートやUDPポート、IPプロトコルを指定します。
|
10-4 通信の許可
インターネット接続ファイアウォールを有効にしただけでは、ほかのコンピュータからの通信はすべて拒否してしまいます。通信を許可したいプロトコルを設定します。
■手順■
（1）ネットワークインターフェイスのプロパティの［詳細設定］タブの設定ボタンをクリックします。
（2）［詳細設定］が表示されます。［サービス］タブをクリックします。
 |
| 図10-3 インターネット接続ファイアウォールの詳細設定の［サービス］タブ |
（3）［サービス］から接続を許可するサービスのチェックボックスをオンにします。
（4）［サービス設定］が表示されます。［ネットワークでこのサービスをホストしているコンピュータ名前またはIPアドレス（例 192.168.0.12）］にそのコンピュータのホスト名が自動的に入ります。
 |
| 図10-4 サービス設定 |
（5）そのままOKボタンをクリックし、［サービス設定］を閉じます。
（6）OKボタンをクリックし、［詳細設定］を閉じます。もう一度OKボタンをクリックします。
標準で定義されているサービスは、次のものです。
- FTPサーバー（FTP）
- Internet Mail Access Protocol Version 3（IMAP3）
- Internet Mail Access Protocol Version 4（IMAP4）
- Post-Office Protocol Version 3（POP3）
- Telnetサーバー（TELNET）
- Webサーバー（HTTP）
- インターネットメールサーバー（SMTP）
- セキュリティで保護されたWebサーバー（HTTPS）
- リモートデスクトップ（RDP）
標準で定義されているサービス以外のプロトコルを許可するには、プロトコルの定義を行います。
（1）［サービス］タブで追加ボタンをクリックします。［サービス設定］が表示されます。
 |
| 図10-5 サービス設定 |
（2）［サービスの説明］テキストボックスに定義するプロトコルの説明を入力します。
（3）［ネットワークでこのサービスをホストしているコンピュータの名前またはIPアドレス（例192.168.0.12）］にそのサーバのコンピュータ名を入力します。
（4）許可を設定するプロトコルが［TCP］か［UDP］かを選択します。
（5）［このサービスの外部ポート番号］に相手から接続を許可するポート番号を指定します。
（6）［このサービスの内部ポート番号］にサービスのポート番号を指定します。
通常は、［このサービスの外部ポート番号］と［このサービスの内部ポート番号］は同じにします。別のポートにして、［このサービスの外部ポート番号］で受信したポートのパケットを、［このサービスの内部ポート番号］で指定したポートのサービスにフォワードすることもできます。
| Windows サーバー セキュリティ徹底解説 | |
| 第5章 内部ネットワークレイヤの保護 （Windows Server 2003の認証システム） | |
| 第7章 データレイヤの保護（EFSによるファイルの暗号化） | |
 |
第10章 境界部レイヤの保護（インターネット接続ファイアウォール） |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
