続出するセキュリティ・ホール，ただし危険度は小新製品のISA Server 2000には期待大

～先週のWindows関連セキュリティ・トピックス～

山下眞一郎

2000.10.10

　前回は，「Windows 2000 Service Pack 1」リリース以降のセキュリティ・ホール情報をピックアップしたが，それ以降も様々なセキュリティ情報が公開されている。そこで今回のコラムでは，最近のWindows関連のセキュリティ・トピックスを整理してみよう。10月5日時点の情報を，入手先ごとに整理した。

セキュリティ・ホール情報は2件
ただし危険度は大きくない

　まず，「Microsoft Security Bulletin」にて，Windows NT 4.0とWindows 2000の双方が影響を受ける「Multiple LPC and LPC Ports」問題が公開された。これは，BindView's Razor Teamにより指摘されたLPC（ローカル・プロシージャ・コール）とLPCポートに関する弱点である。この弱点を突けば，無効なLPCリクエストによるDoS（Denial of Service：サービス続行不能）攻撃や，悪意があるユーザーが自分の権限を高めること（具体的には，一般ユーザー権限を管理者権限などにすること）が可能になる。

　しかし，このセキュリティ・ホールは，基本的にリモート・マシンを攻撃するためには使えないので，外部からの脅威という観点では影響は小さいであろう。

　次に，「マイクロソフトセキュリティ情報」にて，「Windows 2000が影響を受ける『簡体字中国語用 IME の状態認識』のぜい弱性に対する対策」という「Microsoft Security Bulletin」の翻訳情報が公開された。これは，悪意があるユーザが，攻撃したコンピュータ上の完全なコントロールを取得することができてしまうという深刻な問題だ。しかし，デフォルトではこの問題が発生するのは，Windows 2000の簡体字中国語版だけであり，日本語版では，システムのセットアップ中に簡体字中国語のIMEをインストールしない限り対象外であるので，影響はほぼないであろう。

正式アナウンスがないパッチが2件公開

　また，「Microsoft ダウンロードセンター」にて，「マイクロソフトセキュリティ情報」では正式にはアナウンスされていないWindows 2000用のパッチが2件公開された。「（MS00-057）『正規化エラーによる，ファイルへの誤ったアクセス権の適用』のぜい弱性に対する対策」と，「（MS00-047）『NetBIOS Name Server Protocol Spoofing』のぜい弱性に対する対策」用パッチである。

　なお，正式にはアナウンスされていないため，自己判断および自己責任で，検討および適用する必要がある。

セキュリティ・ツールのISSが
Windows 2000を正式サポート

　そして，インターネットセキュリティシステムズから，セキュリティぜい弱性検査ツールの最新バージョンである「Internet Scanner 6.1 日本語版」が出荷開始された。このバージョンは様々な高機能化が図られているが，一番うれしいのは，Windows 2000上での稼働を正式サポートしたことである。それに合わせて，Windows 2000特有のぜい弱性もチェック項目に追加した。

　以前から「Internet Scanner 6.1 英語版」は使用可能であったが，出力レポート等が英語であった。日本語版ではそれらがすべて日本語化されているので，使い勝手が格段に向上している。そのため，一般のシステム管理者にも十分お勧めできる。なお，複数存在するセキュリティぜい弱性検査ツールの中でも，このInternet Scannerが定番中の定番である。

「ISA Server 2000」の登場が楽しみ

　最後に，マイクロソフトから，「Microsoftプロキシサーバー 2.0」の後継製品である，ファイアウオールとWebキャッシュの統合サーバー「Microsoft Internet Security and Acceleration Server 2000」（ISA Server 2000）日本語版の最終ベータ版が無償にて提供開始された。製品版は，今年の後半に発売の予定である。

　Microsoftプロキシサーバーは，（1）頻繁に使用されるオブジェクトを事前にキャッシングし，サイト全体を定期的にダウンロードする「アクティブキャッシング」や，（2）Windowsのユーザー管理と連動して利用権限をユーザー単位に認証できる機能，などを先進的に採用してきた実績がある。しかし，あくまで私個人の経験だが，Microsoftプロキシサーバー 1.0の時代に安定稼働の観点からかなり苦労した経緯があり，それ以降なんとなくMicrosoftプロキシサーバーを敬遠していた。

　ところが，今回のISA Server 2000は，米Internet Security Systemsと共同開発した侵入検知機能により，（1）ポートのスキャン，「WinNuke」，「Ping of Death」といった一般的なサービス拒否の攻撃をきちんと識別したり，（2）アクティブなセッションだけにポートを開放する「ダイナミック・パケット・フィルタリング機能」や，（3）内部ネットワークにつながっているクライアントPCごとにIPアドレスを指定して，利用するアプリケーション（プロトコル）を制御可能な「Secure NAT機能」を有するなど，かなり魅力的な製品になっている。実際に評価するのが楽しみな製品だ。

山下　眞一郎（Shinichiro Yamashita）
株式会社富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部プロジェクト課長
yama@bears.ad.jp

　「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）