5.1 OSのセキュア化
前のページへ
次のページへ

5.1.1 Windows 2000 Serverのインストール

1) 事前調査とプランニング

OSをインストールする前に、セキュアなWindows 2000 Serverを構築するための調査とプランニングを行う必要がある。本モデルでは、基本的なセキュリティレベルを確保するために次のような条件を考慮する。

なお本コンテンツでは、Windows 2000 ServerをWindows 2000と省略して記述する。

ア) Windowsのバージョン

Windowsには複数のバージョンがあり、それぞれ使用目的に応じてOSを選択する必要がある。OSには大きく分けて、個人ユーザ向けまたはサーバー向けの2種類が存在し、本モデルでは、Webサーバーの構築を対象とするので、サーバー向けのOSを使用する。また、サーバー向けOSにも複数のバージョンが存在している。

セキュアなシステムを構築する際には、構築開始時点で最新のOSを選択する。最新のOSでは、古いOSが抱えていた問題への対策がなされているので、最新のOSを利用することが望ましい(注1)

  (注1) 最新OSでは、通常、既知の問題への対策はなされているが、OSリリース後に発見された脆弱性の対策はなされていないので、別途対策が必要である。  

イ) Webサーバーサービスのソフトウェア

本モデルでは、システム領域(Windows 2000のシステムディレクトリ:WINNTなど、インストール時にすべてのファイルが格納される領域)とデータ領域(Webコンテンツ格納領域)を別パーティション(別ハードディスク)に格納する。これは不正なURLリクエストを利用し、異なるドライブへアクセスするような攻撃を防止するためである。また、本モデルでは、システム領域をCドライブ、データ領域をDドライブとする。

ウ) ファイルシステム

Windows 2000ではファイルシステムとしてNTFSv5(NT File System Version 5)およびFATをサポートしているが、本モデルではセキュリティと監査の両面を考え、NTFSv5を使用する。

NTFSはWindows 2000の前身であるWindows NTから採用されたファイルシステムで、FATに比べいくつかの優れた機能を有している。特にセキュリティの面からは、ACL(Access Control List)の機能を実装している。ACLとはシステム内のオブジェクト(ファイル、フォルダなど)に適用されるアクセス保護とアクセス監査を定義するものである。また、暗号化の機能も実装されている。

エ) その他

Windows 2000は、PC/AT規格を満たしているハードウェアにインストールすることができ、多種多様なハードウェアを利用することが可能である。本モデルではハードウェアについて利用方針などを明記はしないが、下記の注意事項を参考にしてハードウェアを選択することを推奨する。

  Windows 2000 ハードウェア/ソフトウェアの互換性確認サイト:
   http://www.asia.microsoft.com/japan/windows2000/upgrade/compat/default.asp

これらは構築するシステムの安定性を確保するための推奨事項である。

2) 構築に必要なインストールメディア

セキュアなWindows 2000を構築するために、以下に記したインストールに必要なメディアを用意する。

  (注2) 必ずMicrosoft社が配布しているCD-ROM、もしくはMicrosoft社よりダウンロードしてファイルのサイズに間違いがないかを確認後、使用する。以下のサイトから、インターネット経由のダウンロードが可能である。  

  Windows 2000 Service Pack入手先:
   http://www.asia.microsoft.com/japan/windows2000/downloads/servicepacks/default.asp

  Internet Explorer入手先:
   http://www.asia.microsoft.com/japan/ie/

3) Windows 2000 Server のインストール

本モデルでは、セキュリティを向上させるために、システムの運用上、不必要なサービスやアプリケーションを削除する。これをシステムの最小化と呼ぶ。

Windows 2000のインストーラでは、インストールするコンポーネントの一部を任意に選択することが可能である。本モデルでは、以下のようなインストールを実施する。

  (注3) IIS 5.0の使用の有無に関係なく、OSのインストール時にはIIS 5.0を導入しないことを推奨する。なぜなら、OSインストール時にIIS 5.0をインストールすると、ディレクトリのアクセス権限で「Everyone:フルコントロール」が寄与されてしまい、ディレクトリのアクセス権の設定を再設定する必要があるためである。本モデルでは、ディレクトリのアクセス権を設定してからIIS 5.0をインストールする。  

4) Service PackのインストールとHotfixの適用

Microsoft社ではWindows 2000にバグや脆弱性が発見されるごとに、Hotfixと呼ばれる修正モジュールをリリースしている。また、ある程度のHotfixがリリースされると、それらをまとめたService Packがリリースされる。そのため、構築時に最新のService Packをインストールすれば、Windows 2000のリリース時からService Packリリース時までのHotfixを適用したのと同じ状態にすることができる。本モデルでは、Service Pack 2を例にあげて、Service Packの導入方法を解説する(注4)

Service Packを正しくインストールするには、必ずMicrosoft社が配布しているCD-ROM、もしくはMicrosoft社よりダウンロードしてファイルのサイズに間違いがないかを確認後、インストールする。

  Windows 2000 Service Pack入手先:
   http://www.asia.microsoft.com/japan/windows2000/downloads/servicepacks/default.asp

  (注4) Service Packリリース後も、多くのHotfixがリリースされているので、対象システムに必要なService Packの適用とその後リリースされたHotfixを適用する必要がある。  

ア) アーカイブの展開

Service Packはファイルが1つのアーカイブにまとめられている(CD-ROMの場合、展開された状態でCD-ROMに記録されている場合もある。その場合は展開の作業は必要ない)。以下のように、「-x」オプションを指定し、実行することで、アーカイブの展開を開始する。

Fig. 5.1 Service Packの展開

アーカイブの展開を開始するとファイルの整合性検査、展開先の選択があり、アーカイブが指定したフォルダに展開される。

イ) Service Packのインストール

Service Packのインストーラには、Service Packインストール前の状態に戻すことができるオプションがある。これをアンインストールオプションというが、このオプションを利用してService Packのアンインストールを実行すると、システムが正常に機能しなくなる場合があるので、本モデルではアンインストールオプションは使用しない。

Service Packのセットアップを開始するために、「update.exe」を実行する。Service Packのインストールコマンドは、<展開先フォルダ>\I386\update\update.exeである。セットアップ開始後、Fig. 5.2が表示されるので、ライセンスに同意し、「このService Packを後でアンインストールするために必要なファイルのバックアップを作成します」オプションを外し、インストールを開始する。

Fig. 5.2 Service Packのアンインストールオプション

Service Pack適用後に、OSの再起動を促すダイアログが表示されるので、OSの再起動を行う。OSの再起動後、「システム」のプロパティを開き、Service Packが正常にインストールされたことを確認する。

Fig. 5.3 Service Packのバージョン確認

ウ) Hotfixの適用

Microsoft社ではWindows 2000にバグや脆弱性が発見されるごとに、Hotfixと呼ばれる修正プログラムをリリースしている。Hotfixのリリースは不定期に行われており、将来のService Packに含まれるが、対象システムに関係する重大な脆弱性が発見された場合には、それを解決するHotfixを早急に適用する必要がある。Hotfixに関する情報やHotfix本体は、以下のサイトから入手できる。

  Hotfix入手先:
   http://www.asia.microsoft.com/japan/security/default.asp

運用しているシステムに関係するHotfixがリリースされた場合は速やかにHotfixを適用するべきであるが、稼働中のシステムに直接パッチを適用するとシステムの運用に問題が発生する可能性があるため、いくつかの手順を経て適用することが望ましい。また具体的な手順については「8.1.2 セキュリティ維持作業」の「2) パッチ適用」を参照する。

Hotfixを適用するには、入手したHotfixのアーカイブファイルを実行する。Hotfix適用完了後の動作は、Hotfixの種類により異なるので、それぞれの指示にしたがう。また、動作の種類には次のようなものがある。

Hotfixの適用後は、Hotfixによって修正されたファイルのバージョンや日付、サイズが正しいかどうかを確認する。

5) Internet ExplorerのインストールとHotfixの適用

IE(Internet Explorer)は、Windows 2000に標準で付属するWebブラウザであり、複数のバージョンが存在する。本モデルでは、IE5.5 SP2(Internet Explorer 5.5 Service Pack 2)を用いて解説を行う。

本モデルのように、IE自体をシステム運用上利用しない場合でもIEのアップデートが必要になる。これは、IEをWindowsからアンインストールすることができないためである。

ア) Internet Explorerの入手

IEを正しくインストールまたはアップデートするには、必ずMicrosoft社が配布しているCD-ROM、もしくはMicrosoft社よりダウンロードしてファイルのサイズに間違いがないかを確認後、インストールする。以下にIEの入手先URLを記す。

  Internet Explorer入手先:
   http://www.asia.microsoft.com/japan/ie/

Microsoft社のホームページからIEをダウンロードすると、セットアップ用の実行ファイルのみダウンロードされる。ローカル環境下でこのセットアップファイルを実行すると、自動的に必要なアーカイブをダウンロードする仕組みになっている。本モデルでは、ネットワーク障害によりインストールが中断してしまうことを回避するため、IEのアーカイブをローカルにダウンロード後、IEのインストールを開始する。

ダウンロードしたie5setup.exeファイルを、以下のようなパラメータを指定して実行する。

Fig. 5.4 ie5setup.exeファイルの実行方法

指示にしたがってセットアップを進めると、ダウンロードオプションの設定画面が現れる(Fig. 5.5)。このダイアログボックスで、本モデルの対象OSである「Windows 2000」を指定し、ダウンロードを開始する。

Fig. 5.5 IEのダウンロードオプション画面

イ) Internet Explorerのインストール

入手したIEのインストールを開始するには、セットアップファイル「ie5setup.exe」を実行する。表示される指示にしたがいインストール作業を行う。特に選択や設定するオプションはない。インストールが完了するとOS再起動が行われ、再起動後の最初のログオン時にインストールの最終処理が実行される。

ウ) インストール結果の確認

インストールしたIEのバージョンを確認するため、IEを起動し、「ヘルプ」の「バージョン情報」を選択する。Fig.5.6に示したように「バージョン」や「プロダクト ID」、「更新バージョン」を確認する。

Fig. 5.6 IEのバージョン確認

エ) Internet ExplorerのHotfixの適用

Microsoft社では、IEにバグや脆弱性が発見されるごとに、Windows 2000の場合と同様にHotfixと呼ばれる修正プログラムをリリースしている。Hotfixのリリースは不定期に行われており、将来のService Packに含まれるが、対象システムに関係する重大な脆弱性が発見された場合には、それを解決するHotfixを早急に適用する必要がある。Hotfixの入手方法や適用方法などは、「4) Service PackのインストールとHotfixの適用」の「ウ) Hotfixの適用」を参照する。

 

前のページへ
目次へ
次のページへ
第5章の目次
第5章の目次
セキュア化のための設定


Copyright ©   2002 Information-technology Promotion Agency, Japan.  All rights  reserved.