運用 IIS安全対策ガイド １．Windows 2000とIISのインストール デジタルアドバンテージ 2002/05/30

---

想定するIISの利用環境

　まず、利用環境については以下のように想定する。不特定多数からのアクセスを受け付けることの多いWebサーバは、一般的にはドメインには参加させず、スタンドアロン・サーバとして運用する。ただし、ドメインと統合したユーザー認証を行う場合（ドメインのユーザー権限に応じて、Webサイトで利用可能なサービスを切り替えるなど）は、この限りではない。ポイントをまとめると次のようになる。

• 基本的にイントラネットにおける利用を想定する
• IIS用のサーバとしては、Windows 2000 Serverを新規セットアップする
• Webの利用のみを想定し、メールやニュースなどの付加機能は利用しない

　このように本稿では、イントラネットでの利用を前提として各種の設定を行う。しかし基本的にインターネット向けの設定も、今回ご紹介するイントラネット向け設定の延長上にあるので、まずはその第一歩としても、イントラネット向けの対策を万全に行っておいていただきたい。

IISのコンポーネントとセットアップ時の選択

　まず、最も重要な注意点として、インストール作業が完了するまで、対象となるマシンをインターネットに直接接続しないようにする、という点が挙げられる。

　現在でも、Code RedやNimdaといったIISのセキュリティ・ホールを悪用するワームのパケットがインターネット上を流れていることがあるため、インターネットと直結された状態でIISのインストール作業を実行すると、Windows 2000 Serverのインストール後にセキュリティ・ホールの対策パッチを適用するまでの間隙を突いて、ワームに感染する危険性があるためだ。

　またもう1つの注意点として、IIS使用の有無とは関係なく、サーバとして運用する場合は、すべてのパーティションをNTFSでフォーマットするという点が挙げられる。これは耐障害性の面だけでなく、セキュリティの面からも必要なことである（NTFSボリュームでは、ユーザー・アカウントに応じたアクセス制限が可能）。

　Windows 2000 Serverのセットアップについては、Windows 2000 Professionalとそれほど異なる点はない。Windows NT Serverと違い、ドメイン関連の設定はセットアップ完了後に行うからだ。

　ただし、セットアップの途中で組み込むコンポーネントを選択する画面がある。このとき、IIS関連のコンポーネントもすでにデフォルトで含まれている点に注意が必要だ。IISを使用しないマシンにもIISが組み込まれて動作してしまったことが、Code Redなどのワームを蔓延させた一因となっている。

Windows 2000 Serverインストール時のコンポーネントの選択画面

Windows 2000 Serverでは、デフォルトでIISコンポーネントが選択されているので、不用意にIISをインストールしてしまう可能性がある。このような「意図しない」うちにインストールされたIISは、セキュリティ対策もされずに、インターネット･ワームからの攻撃にさらされる可能性が高い。

Windows Mediaサービスは不要なので選択しない。 　 IISコンポーネントにはさまざまなサブコンポーネントがあるので、必要なもの以外はすべてチェック・ボックスを外しておくこと。 　 インストールする（インストールしない）サブコンポーネントを選択するには、を選択してから、さらにここをクリックする。

　Windows 2000のインストール時に選択できるコンポーネントの内容は、以下のようになっている。ここで「初期設定」とはセットアップ時のデフォルトの選択状態で、「推奨設定」とは、安全性向上のために余分な機能をインストールしない、本稿で推奨する設定を意味している。デフォルトではさまざまな機能が有効になっているが、セキュリティ的な点から見ると、これらは無効にすることが望ましい。

IISコンポーネント		IISインストール時の初期設定	（本記事における）推奨設定
Windows Mediaサービス
	Windows Mediaサービス＊1	×	×
	Windows Mediaサービス アドミニストレータ	×	×
インターネット インフォメーション サービス（IIS）
	FrontPage 2000 Server Extentions＊2	○	×
	FTP（File Transfer Protocol）サーバー	×	△＊3
	NNTP Service	×	×
	SMTP Service	○	×
	Visual InterDev RAD Remote Deployment Support	×	×
	WWW（World Wide Web）サーバー	○	○
	インターネット インフォメーション サービス スナップイン	○	○
	インターネット サービス マネージャ （HTML）＊4	○	×
	オンライン ヘルプ	○	×
	共通コンポーネント	○	○
インデックス サービス		○	×
スクリプト デバッガ		○	×
IISインストール時のコンポーネントの選択
Windows 2000 Serverをデフォルト設定のままでインストールすると、IISではさまざまなコンポーネントがそのままインストールされてしまう。これらを有効にしておくと、ワームに狙われる可能性がある。
＊1―これは、ストリーミング配信用のサーバを構築する場合に使用するものなので、今回はチェックをオフのままにしておく。
＊2―これを組み込むと、FrontPageで作成したコンテンツのアップロードが容易にできる。しかし、コンテンツ作成にFrontPageを使用しない場合は不要なので、今回はセットアップしない。
＊3―これは、コンテンツ更新にFTPを使用する場合にインストールする。Windowsネットワークのファイル共有機能を用いてコンテンツの更新を行う場合は、インストールしなくてもよい。
＊4―これは、MMC管理コンソールの代わりに、Webブラウザを使ってIISの管理を行えるようにするものだ。しかし、ブラウザさえあればIISの操作が可能になってしまうことから、セキュリティ上の突破口になる可能性があるので、チェックを外してセットアップしないようにする。

　

コンテンツ更新にはファイル共有とFTPのどちらを使うか？ 　Windows 2000ベースのWebサーバでは、WebのコンテンツをLAN上にある別のPCから更新する場合（作成したHTMLデータをサーバに転送する場合）、ファイル共有機能を使用する方法と、FTPを使用する方法を選択できる。 　イントラネットで使用する場合には、ファイル共有機能を使用して「C:\Inetpub\wwwroot」フォルダを共有する方法が利便性に優れるが、ファイル共有機能ではユーザー単位のアクセス制限はできても、ホスト単位（転送を行うコンピュータ単位）のアクセス制限ができない。そのため、ファイル共有のセキュリティ設定を正しく行っておかないと、悪意があるにせよ不注意にせよ、コンテンツが書き換えられてしまう可能性がある。 　この点FTPを使用すれば、ユーザー名だけでなく、FTP接続するホストを限定させるという方法でもアクセス制限を行える。このような理由から、よりセキュアなコンテンツ管理を行うにはFTPの方が望ましいといえる。FTPを利用すれば、インターネット側からの不正なアクセスを禁止するだけでなく、たとえ社内であっても関係のない部署などのユーザーによって勝手にコンテンツを書き換えられないように、LAN上の特定のIPアドレスにのみアクセスを許可することで、安全性を高めることができる。

　以上の作業により、必要最低限のコンポーネントだけが組み込まれたIISが構成される。不必要な機能まで組み込まないのは、セキュリティ対策の第一歩である。

　セットアップが完了したら、Administratorアカウントでログオンし、InternetExplorer（以下IE）を起動してみる。IEが起動したら、アドレス・バーに「http://localhost/」と入力して、いまインストールした自身のIISにアクセスしてみよう。以下の画面が表示されれば、IISは正常に組み込まれて動作している。

　左側はASPが動作して表示されたコンテンツで、右側はIISのWeb版ヘルプ・ファイルが表示されているものだ。

インストール直後のIISの動作確認

IISのインストールが済んだら、IEで「http://localhost/」を表示させ、IISが正しく動作しているかどうかを確認しておこう。このように2つの画面（右側はヘルプ画面）が表示されれば正しくインストールされ、Webサーバとして機能していることが分かる。もっとも、このようなコンテンツがわざわざ表示されるなど、デフォルトではさまざまな（不要な）機能も有効になっているので、IISをセキュアにするためには、それらをすべて無効にする必要がある。

IISが正しく動作しているかどうかを確認するには、ローカル・ホスト上のIISにIEで接続してみればよい。正しく動作していれば、このようなデフォルト画面が表示される。 　 こちらはIISのヘルプ画面。

　

INDEX
	［運用］IIS安全対策ガイド
	1．Windows 2000とIISのインストール
	2．最新のService PackとSRPの適用
	3．必要な修正プログラムの確認と組み込み
	4．Windows 2000 Serverシステムの基本セキュリティ設定
	5．IIS5の基本セキュリティ設定
	6．IIS Lockdown ToolとURLScanの導入

　

運用

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）