Internet Information Server/Services（IIS）のセキュリティ面の“弱さ”が大きな問題となっている。デフォルトで拡張機能が有効，管理者がパッチを適用しきれない――ことが，対応を難しくしている。ただし，IISを安全に運用し，メリットを得ているユーザーもいる。何をすべきか，その負担はどれだけかを知った上で，利用の是非を考えたい。
マイクロソフトのWWWサーバー・ソフト「Internet Information Server/Services（IIS）」のセキュリティ被害が後を絶たない。しかも，Code RedやNimdaワームに代表されるように，その被害は深刻なものばかりだ＊1。
では，IISは企業では使えない製品なのだろうか。既にインターネット上の公開サーバーにIISを利用しているユーザーは少なくないが＊2，すぐに別製品に乗り換えるべきなのか。
IISを採用する理由は，OSに添付されて無償で利用できるというだけではない。ほかにもメリットはある。そして，IISを安全に運用し，メリットを享受しているユーザーもいる。要は，IISのリスクとメリットの両方を知り，トレード・オフを見極めることが大切である。
メリットと2つの問題点
Windowsをプラットフォームに選んだ場合は「無償」というのが最初のメリットだが，フリーの製品は他にも存在する。実はWindows環境に慣れたユーザーにとっては，次のメリット「使いやすさ」が大きい。
IISが備えるGUIを使えば，設定や操作に，さほど高いスキルは必要ない。日本語のマニュアル類は数多くあり，最新情報も得やすい。開発環境や拡張機能は豊富で，ASP（Active Server Pages）を使ったWebアプリケーション開発は，Visual Basicユーザーなどには馴染み深い。既存のIISユーザーにとって，「別のソフトに乗り換えるのも選択肢の一つだが，相応のスキルが必要」（情報処理振興事業協会 セキュリティセンター セキュリティ対策業務グループ 中村滋氏）だ。
 |
| 図1●IISのセキュリティ上の問題点 第1の問題は，IISのデフォルト設定が原因でセキュリティ・ホールが存在する可能性が高まることである。管理者がパッチを適用しきれないという第2の問題は，結局，第1の問題に起因する |
図1の問題の多くは，適切な対策を施せば回避できる。あとは，その対策のコストがメリットに見合っているかを判断するだけである。以下，図1の問題の回避法を見ていこう。
豊富な機能があだになる
多くの機能があることは，ユーザーにとっては歓迎すべきことである。しかし，「そのほとんどがデフォルトで有効になっていることが問題だ」（ラック 取締役 不正アクセス対策事業本部 本部長 西本逸郎氏）。
IISの拡張機能は，多くの場合ISAPIエクステンションとして提供される。ユーザーはまず，IISへURLの形式でリクエストを送信する。IISはスクリプト・マッピングに従ってISAPIエクステンションを呼び出し，リクエストを渡して処理させる。
そのため，IIS本体に問題がなくても，拡張機能のプログラムにセキュリティ・ホールがあれば，外部からのHTTPを使った攻撃が可能となる＊3。そのため最悪の場合，WWWサーバーが乗っ取られるなどの被害を受けることになる。この危険性は，有効になっている拡張機能が多いほど高まる。
 |
| 表1●拡張機能が原因となるIISのセキュリティ・ホールの例＊1 *1 デフォルト設定で影響を受け、かつリモートから攻撃可能なセキュリティ・ホールだけを取り上げた |
拡張機能をデフォルトで有効にしている理由としてマイクロソフトは，「豊富な機能をできるだけ使ってもらおうと考えた」（製品マーケティング本部 Windows製品部 サーバーグループ シニアプロダクトマネージャー 小貫保周氏）と説明する。しかし機能を使わないユーザーにとっては，リスクを高めることにしかならない。「深刻なセキュリティ・ホールが見つかったIndex Serverやインターネット印刷の機能などは，どれほど使われているのか疑問だ」（セキュリティ・サイト「Port139」（http://www.port139.co.jp/）を運営する伊原秀明氏）。
デフォルト設定が問題であることは，マイクロソフトも認識している。「IIS 5.0出荷当時は問題にならなかったが，セキュリティに関する状況は大きく変わった。そのため，現在ではデフォルト有効は不適切になってしまった。実際，『（必要最少限以外の機能は）デフォルトで無効にしてほしい』という要望は多い」（小貫氏）
