前回に引き続き，Windows XPの新しいサービスパック「Windows XP Service Pack 2（SP2）」のセキュリティ機能を解説する。今回の記事では，新機能の（3）安全性の高い電子メールとブラウザ，（4）コンピュータの保守性――について解説する。（3）ではIEやOutlook Expressのセキュリティ機能が強化され，いくつか新しいセキュリティ設定が追加された。（4）では，新機能「セキュリティセンター」が用意される。
XP SP2を適用するとシステムに変更が加えられるので，今まで稼働していたアプリケーションやサービスが動作しなくなる可能性がある。しかしながら，セキュリティの観点からは，筆者としてぜひ適用するようお勧めしたい。マイクロソフトはトラブル・シューティングのための資料を公開している。
前回の記事では，XP SP2の4つのポイント（1）ネットワーク保護，（2）メモリー保護，（3）安全性の高い電子メールとブラウザ，（4）コンピュータの保守性――のうち，（1）と（2），およびWindows XP SP2の概要を解説した。以下，（3）と（4）について解説する。
（3）安全性の高い電子メールとブラウザ
Windows XP SP2では，Outlook Express や Internet Explorer（IE）などにもセキュリティを向上するための変更が加えられる。これらへの変更を，マイクロソフトは「スプリングボード（Springboard：体操競技の踏み切り板）」と呼んでいる。
このスプリングボードという名称について，「Microsoft Windows XP Service Pack 2 での機能の変更点」のドキュメントには一切説明が無い。ストリーミング形式のセミナー「Windows XP SP2 の機能紹介」では，説明なしにスプリングボードという名称が使われているので，困惑した方も少なくないだろう。
使われ方を見る限り，スプリングボードとは「既存製品に対して最新のセキュリティ技術をさかのぼって適用すること」を指していると考えられる。それでは，Outlook ExpressとIEのスプリングボードをそれぞれ見ていこう。
■Outlook Express の変更点
Outlook Express での代表的な変更点は，「HTML電子メールの閲覧制限」の一つとして，「画像のダウンロード」という項が設定されたことである。この項を制限するように設定すれば（デフォルトで制限されている），HTMLメールがインターネット上のサイトから画像などをダウンロードすることをブロックできる。
今までは，例えば ＜img src＝“（特定のURL）”＞といったタグをHTMLメール中に記述しておけば，HTMLメールを表示させた時点で，URLに指定されたサイトから，指定された画像データなどがダウンロードされて自動的に表示される。「画像のダウンロード」を制限すると，ダウンロードのためのアクセスをブロックする。つまり，指定されたデータはメール中には表示されない。ダウンロードしてもかまわないとユーザーが判断すれば，そのブロックを解除して画像データなどをダウンロードできる。
なぜこのような設定（機能）が有用なのか。「Microsoft Windows XP Service Pack 2 での機能の変更点」には一切説明が無く，「Windows XP SP2 の機能紹介」では，機能だけが説明されていて，追加された理由や効果は説明されていなかった。
「画像のダウンロード」は，いわゆる「Webビーコン（Webバグ）」対策だと考えられる。従来のOutlook Express（およびHTMLメールを表示するメール・ソフト）では，そのHTMLメールを読んだかどうかを送信者に知られる「Webビーコン」問題というものがある。例えば，HTMLメール中に特定のサイトからある画像を表示（ダウンロード）させるようなリンクを書いておく。この画像は，受信者には分からないように，例えば縦横1ピクセルの透明な画像データにする。
HTMLメールを開くと，Outlook Expressはそのサイトへアクセスして，画像データをダウンロードしようとする。「メールの送信者＝サイトの管理者」なので，このアクセスを調べれば，だれがHTMLメールを開いたのかが分かる。つまり，“生きている”メール・アドレスを知ることができる。スパマー（スパム送信者）の常とう手段の一つだ。
Outlook Express 6 SP1にはすべてのメールをテキストで表示する設定がある。この設定にしていれば，Webビーコンを使われる心配はない。しかし，HTMLメールを読むことはできなくなる。「Webビーコンは防ぎたいが，HTMLメールは読みたい」――。SP2で追加される「画像のダウンロード」設定で，このニーズを満たせる。
■Internet Explorer の変更点
IEの主な変更点は，「ポップアップウィンドウの管理」「アドオンの管理」「インターネットのプロパティ の追加設定項目」――の3つである。
「ポップアップウィンドウの管理」を有効にすると，インターネットゾーンのWebサイトが表示させようとするポップアップ・ウインドウをブロックする。デフォルトでは無効に設定されている。
「アドオンの管理」は，文字通り，IEが使用するアドオン・プログラムを管理する機能である。IEが使用するアドオンを表示し，それぞれ有効／無効に設定できる。ここでのアドオンとは，「ブラウザヘルプオブジェクト」「ActiveX コントロール」「ツールバー拡張」「ブラウザ拡張」が対象となる。例えばこの機能を使えば，ユーザーの意図に反してインストールされたアドオン（例えば，スパイウエア）を検出し，無効にできる。
「インターネットのプロパティ の追加設定項目」には様々な項目があるが，注目すべきはJava VM に関する項目だろう。
今までは，IEのセキュリティ設定でJavaを無効にすると，マイクロソフトのJava VM「Microsoft VM（Microsoft Java Virtual Machine）」だけではなく，他ベンダーのJava VMも無効になった。「Microsoft VMだけを無効にして，他ベンダーのJava VMを有効にする」といった設定はできなかった。
Windows XP SP2 では，Microsoft VM はJava VM の設定項目の一つとなった。具体的には，今まではJava VMに関する設定項目名は「Microsoft VM」とされているが，SP2では「Java VM」という項目名となり，その一つとしてMicrosoft VMの設定項目がある。つまり，「Microsoft VMだけを無効にして，他ベンダーのJava VMを有効にする」といった設定が可能になる。
なお，Windows XP SP2にはMicrosoft VMは含まれない。Microsoft VMをアンインストール機能もない。つまり，適用前に Microsoft VM が存在していない場合は，Windows XP SP2 を適用しても Microsoft VM が追加されることはない。以前から Microsoft VM が存在している場合には，SP2を適用しても Microsoft VM は削除されない。
（4）コンピュータの保守性の向上
Windows XP SP2を適用すれば，パソコンのセキュリティ対策状況を一元管理する新機能「セキュリティセンター」も利用可能になる。
セキュリティセンターに関する詳細情報は，「Microsoft Windows XP Service Pack 2 での機能の変更点」や「Windows XP SP2 の機能紹介」にはない。ただし，マイクロソフトが3月8日に開催した「SECURITY SUMMIT 2004」では，Windows XP SP2の“目玉機能”の一つとして大きく取り上げられていた。
セキュリティセンターは，「Windows Firewall」「Windows Updateの自動更新」「（サード・パーティの）ウイルス対応ソフト」――が有効になっているかどうかをリアルタイムで監視する。有効になっていない場合には警告が表示される。
「Windows Updateの自動更新」とは，Windows XPでは「"自動アップデート 2002 年 6 月" の更新」や Windows XP SP1 で追加された機能である。自動更新を有効にしておけば，指定した時刻にそのパソコンに必要な「重要な更新」パッチを自動的にダウンロードしてインストールする。
Windows XP SP2には，セットアップ時に自動更新を促す工夫も施されている。XP SP2適用後にシステムを再起動すると，自動更新を有効にするよう促す画面と，自動更新を設定するための画面が表示される。
以前からマイクロソフトは「自動更新をデフォルトで有効にする」とアナウンスしていたが，XP SP2ではそうしなかった。「有効にしていないことが分かる。有効にしていないと警告が出る」「セットアップ時に有効にするよう促す」――だけである。とはいえ，従来と比較すれば大きな前進であり，評価したい。
自動更新は有効にすべきか
ただし，自動更新を有効にすべきかどうかは意見が分かれるところだろう。というのも，過去に何度もパッチに不具合が見つかっているからだ。「自動更新で適用されたパッチの不具合により，パソコンが正常に動作しなくなるのではないだろうか」といった不安があるだろう。
以前このコラムで紹介したように，「マイクロソフト トラブル・メンテナンス速報」において，「Windows Update サイトより "NEC mouse software update released on December 13 2002" をインストール後，システムが正常に起動しなくなる現象について」や，「Windows Update サイトより "Intel Corporation display software update release on April 11 2003" をインストール後，システムが正常に起動しなくなる現象について」といった不具合が報告されている。
これらは，Windows Updateの「ドライバの更新」で適用されるパッチの不具合であり，自動更新サービスの対象ではない。しかしながら，こういった不具合が続出すれば，Windows Update――特に，自動更新――に対して，不安を抱くのも無理はない。
とはいえ，「Windows Updateって何？」というような一般ユーザーが，ウイルスやワームの脅威から身を守るには，自動更新は不可欠といえるだろう。「パッチに不具合があってシステムが正常に動かなくなるリスク」と「パッチを適用せずにセキュリティ・ホールを突く攻撃を受けるリスク」を考えると，一般ユーザーには後者のリスクのほうが大きいと考えられる。筆者としては，自動更新するよう設定することをお勧めする。もちろん，企業などの重要なシステムにおいては，この限りではない。不具合で停止すると困るようなシステムでは，自動更新を設定すべきではない。
Windows XP SP2は適用すべき
最後に，「Windows XP SP2は適用すべきかどうか」について，筆者の見解をお話したい。今まで書いてきたように，XP SP2ではセキュリティが大幅に強化されている。セキュリティの観点からは適用すべきだ。ただしXP SP2を適用すると，システムに大幅な変更が加わる。これにより，現在使用しているアプリケーションや機能が使用できなくなる可能性がある。「セキュリティの強化」と「安定稼働」のどちらをとるべきか，判断に迷うところだ。
ただし，後者の「安定稼働」についてはマイクロソフトも考慮している。XP SP2の適用で発生する問題を回避するための情報を「Windows XP Service Pack 2 開発者向け情報」として公開している（関連記事）。このように，事前にサービスパックの内容やトラブル・シューティングを開発者向けに広くアナウンスすることは異例のことである。
筆者としては，一時的に問題が発生する可能性があるとしても，Windows XP SP2 を適用することをお勧めしたい。というのも，現在ではソフトウエアのセキュリティ・ホールが次々見つかり，その攻撃手法やExploit（検証コード），ワームが出現するまでの時間がどんどん短縮されている。パッチが公開される前のセキュリティ・ホールを突く「ゼロ・デー・アタック（Zero Day Attack）」も今後増えるだろう。
ゼロ・デー・アタックのような脅威に対抗するには，「パッチをきちんと適用する」だけでは不十分。未知のセキュリティ・ホールを突いた攻撃もある程度防げるような設定変更やソフトウエアの利用が不可欠だ。それを実現するために，Windows XP SP2は非常に有効だと考える。
Windows XP SP2では，筆者がこのコラムで過去に主張してきた設定変更やソフトウエアの利用がかなり盛り込まれている。ぜひ活用していただきたい。
なお，前編でも書いたように，今回の記事は3月21日時点の情報に基づいている。今後変更される可能性は十分ある。変更点や新しい情報が入手できたら，このコラムでも随時取り上げるので，参考にしていただきたい。
最後に，上記以外のWindows関連セキュリティ・トピックス（2004年3月28日時点分）については，スペースの都合上，詳細は割愛する。各プロダクトごとにまとめたリンクを記事末に記したので，参考にしてほしい。IT Proでも関連記事をいくつか掲載している。それぞれの詳細については，リンク先の情報やIT Proの過去記事を確認していただきたい。 また，以下のIT Proの過去記事は重要なので，まだ読んでない方はチェックすることをお勧めする。
■『「日本語版用パッチは準備中」，LiveUpdateでも解消されない「Norton Internet Security」などのセキュリティ・ホール』
■『「Norton Internet Security」などに危険なセキュリティ・ホール，「LiveUpdate」の実施を』
■『ワームが既に出現，米ISSの「BlackICE」や「RealSecure」にセキュリティ・ホール』
■『次々出現する「Beagle」ウイルスの変種に注意，HTMLメールを開いただけで感染するものも 』
マイクロソフト セキュリティ情報一覧
『Outlook 2002 および Office XP』
◆Outlook の脆弱性により，コードが実行される (828040)(MS04-009)
（2004年 3月12日：Microsoft Office ダウンロードの情報を削除）
（2004年 3月11日：最大深刻度を「緊急」に変更，クライアント用修正プログラムを提供開始，最大深刻度 : 緊急）
（2004年 3月10日：日本語情報および日本語版パッチ公開，最大深刻度 : 重要）
『MSN Messenger 6.0／6.1』
◆MSN Messenger の脆弱性により，情報が漏えいする (838512)(MS04-010)
（2004年 3月10日：日本語情報および日本語版パッチ公開，最大深刻度 : 警告）
『Windows Media Services 4.1 (Microsoft Windows 2000 Server）』
◆Windows Media サービスの脆弱性により，サービス拒否が起こる (832359)(MS04-008)
（2004年 3月10日：日本語情報および日本語版パッチ公開，最大深刻度 : 警告）
『Windows 2000』
◆Windows Media サービスの ISAPI エクステンションの問題により，コードが実行される (822343)(MS03-022)
（2004年 3月10日：修正プログラムの再リリースをアナウンス）
（2003年 6月26日：日本語情報および日本語版パッチ公開，最大深刻度 : 重要）
Microsoft Security ホーム
◆Mydoom および Doomjuice ウイルスの感染の確認方法
◆セキュリティ技術者特別セミナー - Writing Secure Code -
◆Security Summit 2004 ストリーミング配信中
TechNet Online セキュリティ
◆2004 年 2 月 セキュリティ 警告サービス 月刊サマリー
山下 眞一郎 Shinichiro Yamashita
株式会社 富士通南九州システムエンジニアリング
第一ソリューション事業部ネットソリューション部 プロジェクト課長
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
