Chief Security Advisor
高橋 正和
Vista単体のセキュリティ面とその設定について書いてきたが，PC単体のセキュリティ・レベルが向上しても，必ずしも全体的なセキュリティ・レベルが上がるわけではない。個別のPCについての対応だけでなく，全社レベルでセキュリティ・レベルを向上させていく必要がある。そこで今回から，サーバーやネットワークを含めた全体的なセキュリティを向上させるための技術について取り上げていく。
セキュリティ・レベルについて考える
全社的なセキュリティ・レベルについては，各PCのセキュリティ・レベルがどのように分布しているのかという視点で考える必要がある。つまり，ばらつきのある分布よりは，統制のとれたばらつきの少ない分布にしていく必要があり，ぜい弱な傾向の分布よりは堅牢な傾向の分布にしていく必要がある（図1）。
 |
 図1 分布のイメージ [画像のクリックで拡大表示] |
例えば新たなぜい弱性が発見された場合や新たな攻撃が行われていることが判明した場合，ぜい弱性などによって変化した分布を堅牢な分布へと迅速に立て直す必要がある。短い時間で精度の高い作業を行うことが求められるわけだ。
多くの組織では，設定変更などの指示は「作業指示書」などの通達が利用される。しかしこのやり方では時間がかかってしまううえ，作業の精度が低く，確実な適用を期待しにくい。アカウント管理がいい例だろう。パスワードの定期的な変更を義務付けても，きちんと守られているケースは多くない。通常利用しているPCが適切に運用されている場合でも，企業内システムで使っているアカウントやたまにしか利用しないサーバーのアカウントなどは対応が漏れてしまう場合が少なくない。
多少余談になるが，筆者はボットネットの調査を通じて分布という視点を強く考えるようになった。ボットネットは時に数万もの感染PCに対して攻撃を指示すると同時に，自分自身をバージョンアップして常に変化し続ける。これに対して，数多くのシステム上のアカウントについてユーザーが継続的に統制を維持することは容易ではない。筆者が前職でセキュリティ・コンサルタントとしてぜい弱性検査を実施した際や，CIOとしてSOX法の対応を行った際には，その難しさを実感した。このギャップを認識するにつれ，作業指示書ベースのシステム管理ではボットネットに代表されるような最新の攻撃手法に対抗できないのではないかと思うようになった。
分布をコントロールする技術な要素
マイクロソフトでは，全体的なセキュリティ・レベルを継続的に向上させていくために次のような基盤技術が必要だと考えている（図2）。
 図2 多層的なセキュリティ基盤 [画像のクリックで拡大表示] |
これらの基盤技術の概要は次の通りだ。
■システム管理基盤
システム管理基盤は様々な要素があるが，セキュリティ面から考えた場合，「構成管理」，「ソフトウエアの配布と更新」，「各種設定の実施」が主な要素となる。
「構成管理」はPCなどのハードウエアとソフトウエアの構成情報を管理するもので，例えばOS, BIOS, ネットワーク構成，インストールされているプログラムとそのバージョン，ファイル上に存在する実行ファイルの情報などを管理する。構成管理は，システム管理の最も基本となる要素といえる。
「ソフトウエアの配布と更新」は許可されたプログラムの導入を容易にし，その更新を確実に行うための要素である。代表的なソフトの更新の例として，セキュリティ・パッチの適用を挙げることができる。「各種設定の実施」はセキュリティ・ポリシーなどに基づいた設定をPCなどに適用するための要素である。前回，Windows共通セキュリティ設定を紹介したが，例えばこのセキュリティ設定の展開がこれに当たる。
■ID管理基盤
ID管理というと，バイオメトリクス認証やスマートカードの利用をイメージする読者が多いかもしれない。もちろんこれらの認証技術も含まれるのだが，ここでは主にIDを一元的に管理するための基盤技術を指している。
実は筆者は，アカウントの一元管理（シングル・サインオン）に違和感を持っていた。一つのパスワードが破られると，すべてのシステムへのログインが可能になってしまうためである。しかしSOX法の対応で，アカウントのライフサイクル管理の重要さと，これを多数の従業員に対して実施する労力を実感した。また情報流出対策を具体的に進めるための技術を検討するに従い，アカウントの一元的な管理はセキュリティ対策を実施していく上で不可欠の要素であると考えるようになった。
マイクロソフトの技術としてはActive DirectoryがID管理基盤となる。これに加えてシングル・サインオン，複数のID管理基盤の相互利用，ライフサイクル・マネージメントといった技術要素もID管理基盤に含まれる。
■データ保護基盤
データ保護基盤は，すでに“事件と課題から考えるWindows Vistaのセキュリティ（第3回）”で紹介したように，主に暗号化を使ったデータ保護のための基盤である。
■接続ノードの管理
接続ノードの管理は一般に検疫ネットワークと呼ばれる技術である。条件を満たしたPCにはネットワークへの接続を許可し，条件を満たしていないものは接続を拒否するか，強制的に条件を適用後にネットワークに接続する。
次回以降は，これらの基盤技術の中から特にWindows Vistaと関係が深いものを順次取り上げていくことにする。
