真打ち登場

USBメモリの不正使用防止──ソフトウェア制限ポリシーとアプリ編

USBメモリがもたらすセキュリティの懸念に対処するための方法として、Windowsの「ソフトウェア制限ポリシー」と、サードパーティー製のアプリケーションを紹介する。

公開 2008年06月05日 07時30分

更新 2012年09月06日 13時01分

著者

Brien M. Posey

[TechTarget]

印刷する

　USBメモリの不正使用防止に関し、接着剤などを利用するテクニックや、BIOS設定とグループポリシーによる方法について説明してきた。本稿では、利用が許可されていないUSBメモリが社内ネットワーク上で問題となるのを防ぐためのテクニックをさらに2つ紹介したい。

ソフトウェア制限ポリシーを作る

　Windows XPおよびWindows Server 2003の「ソフトウェア制限ポリシー」は本来、USBメモリの使用を禁止するためのものではないが、この目的の1つに役立てることは可能だ。ソフトウェア制限ポリシーは、ユーザーが未許可のソフトウェアを自分のPCにインストールするのを防止するためのグループポリシー設定だ。つまり、ソフトウェア制限ポリシーは、USBメモリの使用を防止するものでもなければ、データをこれらのデバイスにコピーするのを防止するものでもない。しかし、ユーザーがUSBメモリを使って未許可のソフトウェアを社内に持ち込むのを防ぐために利用することはできる。

　ソフトウェア制限ポリシーを作成するには、グループポリシーオブジェクトエディタを開き、コンソールツリーで「Windowsの設定」→「セキュリティの設定」→「ソフトウェア制限のポリシー」に移動する。次に、「ソフトウェア制限のポリシー」コンテナを右クリックし、ショートカットメニューから［新しいポリシー］コマンドを選択する。これにより、「セキュリティレベル」および「追加の規則」という2つのサブコンテナが作成される。

　ソフトウェア制限ポリシーを作成すると、セキュリティレベルがセキュリティ規則に適用される。セキュリティレベルはデフォルトで作成されるようになっており、「制限しない」と「許可しない」という設定がある。すなわち、ポリシー規則を作成した上で、これらの規則の基準に合致したアプリケーションのインストールを許可するかしないかを指定するだけでいいのだ。

規則の作成

　規則を作成するには、「追加の規則」コンテナを右クリックし、作成したい規則のタイプを指定する。規則のタイプは4つある。証明書の規則、ハッシュの規則、インターネットゾーンの規則、パスの規則だ。これら4つの規則について詳しく説明すると1冊の本になってしまいそうだ。本稿では説明を簡略化し、各タイプの規則の長所と短所を示すだけにとどめる。

証明書の規則

　証明書の規則は、最もセキュアなタイプの規則だ。ソフトウェアパブリッシャーの多くはコードが真正であることを証明するために、リリースするコードにデジタル署名を付けるというのが、この規則の基本的な考え方だ。管理者は、これらのデジタル署名に基づいて機能する証明書の規則を作成できる。これにより、特定のパブリッシャーのアプリケーションを許可する一方で、署名されていないアプリケーションや、承認していないパブリッシャーのアプリケーションを拒否することが可能になる。証明書の規則の最大の欠点は、あらゆるパブリッシャーがコードに署名するわけではないということだ。

ハッシュの規則

　ハッシュの規則では、ファイルのデジタルハッシュ（ファイルの内容に基づいて算出される値）を作成し、このハッシュに基づいてファイルを承認あるいは拒否することができる。この規則の長所は、ユーザーがファイル名を変更したり、通常とは異なる場所にファイルをインストールしても機能することだ。一方、この規則の問題点は、ハッシュがファイルに固有の値であることだ。ファイルが更新されたり、ファイル内の1バイトのデータが変更されただけでも、ハッシュの有効性が失われてしまうのだ。

パスの規則

　パスの規則は、ファイルシステムあるいはWindowsのレジストリ内での場所に基づいてアプリケーションを許可あるいは拒否する。例えば、ユーザーがゲームを実行するのを禁止したいのであれば、\Program Files\Microsoft Games\にあるアプリケーションをブロックするパスの規則を作成すればよい。この規則の欠点は、ユーザーがこの規則の管轄外の場所にファイルを移動すれば、そのアプリケーションを自由に実行できてしまうことだ。それでも、環境変数やレジストリキーをパスの規則に含めることができるというのは、十分な知識があればかなり強力なパスの規則を作成できることを意味する。

インターネットゾーンの規則

　わたしの見解では、インターネットゾーンの規則はほとんど役に立たない。この規則は、ユーザーがインターネットからダウンロードしたファイルを実行できないようにするためのものだ。しかしこの方法が有効なのは、ユーザーが制限されたゾーンに存在するWebサイトからファイルをダウンロードした場合に限られる。ほかのマシンを使ってファイルをダウンロードしてUSBメモリにコピーして持ち込んだ場合、インターネットゾーンの規則はユーザーがそのファイルを実行するのを防ぐことはできない。そのファイルがインターネットから取り込まれたことがコンピュータには分からないからである。加えて、ゾーンの規則は、Windowsインストーラパッケージ（.MSIファイル）を制限する目的にしか用いることができない。

サードパーティーアプリケーション

　恐らくUSBメモリに対する最も有効な対策は、サードパーティーアプリケーションを利用することだろう。GFIは、USBメモリの使用を防ぐことを目的とした「EndPoint Security」という製品を開発している。

　未許可のソフトウェアが社内ネットワークに持ち込まれないようにするのが目的であれば、Bit9という企業から提供されている「Parity」という製品を検討するといいだろう。Parityは、PC上でどのプロセスの実行を許可／禁止するかをコントロールできる。

　3回にわたってUSBメモリが企業にもたらす問題について説明するとともに、これらの問題に対処するためのソリューションを幾つか紹介してきた。筆者のWebサイトには、このテーマに関する詳細な報告書が掲載されており、その中でソフトウェア制限ポリシーやBit9のParityについて詳しく論じている。

本稿筆のブライエン・M・ポージー氏はMCSE（マイクロソフト認定システムエンジニア）の資格を持ち、Windows 2000 ServerおよびIISに関する仕事でMicrosoft Most Valuable Professionalの認定を受けた。全米規模の病院チェーンでCIOを務めた経験を持つほか、フォートノックス（ケンタッキー州にある米軍施設）のITセキュリティを担当したこともある。

印刷する