MBSAでセキュリティ更新管理

MS純正のセキュリティ検査ツールMBSAを使いこなす

WindowsのMBSAは十分には活用されていないようだが、セキュリティアップデートの適用状況をチェックするのに役立つツールだ。

公開 2008年10月01日 07時30分

更新 2012年09月04日 18時38分

著者

Ed Tittel

[TechTarget]

印刷する

　Microsoft Baseline Security Analyzer（MBSA）はWindows 2000が登場したときから存在し、無料かつ有用でありながら、多くのWindows環境でいまだに十分活用されずにいる。MBSAはWindows環境をスキャンしてセキュリティアップデートの適用状況をチェックするのに役立つ。直近では2008年5月にアップデートされて、Windows VistaとWindows Server 2008に対応した。最新バージョンのMBSA 2.1はMicrosoftから入手できる。

　MBSA 2.1はユーザーインタフェースが更新され、これまでのバージョンよりも使いやすくなった。用語に日常的な単語が使われるようになり、アナライザは情報がうまく整理されて、付いていきやすくなった。図1が示す通り、フォーマットはWindows VistaやWindows Server 2008にあるWindows Security Centerの全体的なルック＆フィールに溶け込んでいる。

図1　Windows VistaマシンのMBSAによるリポート画面《クリックで拡大》

MBSAの準備

　MBSAのGUIバージョンはどんなPCにも個別にダウンロードしてインストールできる（32ビット版Vista用はmbsa2mux86.exe、64ビット版Vista用はmbsa2mux64.exe）。図1の通り、インストール後はそのマシン用のリポートが作成される。MBSAのコマンドラインバージョンである「Mbsacli.exe」も、デフォルトで同じディレクトリ（C:\Program Files\Microsoft Baseline Security Analyzer）にインストールされる。

　MBSAはPCごとでもワークグループベースでも十分機能するが、アーキテクチャは企業のネットワークを含め、あらゆる規模のネットワークに対応している。こうした機能を活用するには、IPアドレスのレンジを巡回するスクリプトを備えたMBSAのコマンドラインバージョンを使うといい。アナライザはすべてのリポートをPCのMBSAディレクトリに保存するが、その後の分析と修正のため、コンソール出力用にネットワーク上の共有フォルダを指定することもできる。Microsoftはこの作業を支援するため、役に立つサンプルスクリプトのセットまで用意している。

　図2はIPアドレスの値に基づくサンプルスキャンを示している。ここでは特定のマシン群、すなわちプライベートIPクラスCネットワーク192.168.1.x、ノード番号2～5番（これは、たまたまわたしのローカルワークグループと一致する）のリポートを作成するためのシンプルなコマンドの例を示した。日付を「Workgroup Report 2-22-2009」というリポートのファイル名に組み込むと、コマンドは次のようなものになる。

　上記のテキストをBATファイルに挿入し、必要に応じてリポート名とIPアドレスのレンジを操作するだけで、リポートのタイトルとIPアドレスのレンジをさまざまに変え、ローカルサブネットのコレクション全体をとらえたスクリプトを作成できる。また、/dドメインネームスイッチを使い、ターゲットドメイン内の全コンピュータをスキャンすることもできる。

図2　MBSAスキャンは特定のIPアドレスをターゲットにできる《クリックで拡大》

　MBSAはデフォルトで、MicrosoftのWindows Updateサーバの中の1台からWindowsアップデートの現行のカタログにアクセスする。しかし、独自のセキュリティベースラインを持つエンタープライズ環境では、MBSAをカスタマイズして別のサーバにアクセスするようにもできる。オフラインのスキャンが必要なネットワークのセキュリティを守るため、ソフトウェアを配布する特定のキャビネット（CAB）ファイルをターゲットにすることも可能だ。

　MBSAの以前のバージョンでは、各ターゲットクライアントをスキャンするために必要なWindows Update Agent（WUA）が自動的にインストールされていた。バージョン2.1でもこのオプションは存在するが、デフォルトで無効にされ、管理者が自社のネットワーク上でのMBSAの動作をコントロールできるようになった。もっとも、ターゲットクライアントが適切なバージョンのWUAを実行していなければ、MBSAはスキャンを完了できない。このソフトがないPCは、エージェントソフトが更新されるかインストールされるまでスキャンはできない。

　 Windows Server Update Services（WSUS）のローカルインストールで更新が管理されている環境では、MBSAはUpdate Servicesサーバを使うよう指示されるだけかもしれない。現役のWSUSサーバが割り当てられていないクライアントでは、MBSAのターゲットになっているときはスキャンできないというエラーメッセージが出る。この設定は、管理者が管理対象のPCのみにMBSAスキャンを適用する手段として利用できる。そうでない場合、スキャンはWindows Updateオンラインからの最新データにのっとって行われる（MBSAのデフォルト動作モード）。

MBSAの利用

　MBSAはさまざまな興味深い管理上の脆弱性チェック（ローカルアカウントのパスワードの特性、不完全な更新、パスワードの期限切れ、Windowsファイアウォール、自動更新、ファイルシステム、自動ログオン、ゲストアカウント、匿名制限、管理者アカウントチェック機能を装備）機能を提供している。また、IIS（Internet Information Services）とSQL Serverのスキャン、およびクライアントとサーバマシンの分析も可能だ。このように多数の機能を備えたMBSAは、特にスケジュールを組んだセキュリティスキャンや検査の一部として、定期的に使う価値がある。多くの組織は毎年実施し、月1回または四半期に1回の頻度でチェックを実施しているところもある。MBSAを使い始めてみれば、どんな情報が提供されるかがつかめるだろう。ユーザー数、ソフトとサーバの変更頻度、クライアントとサーバへのセキュリティアップデート適用方法に応じて、スクリプト式のMBSAスキャンを年に2～12回の頻度で実施できる。

印刷する

この記事の著者

Ed Tittel

ITのテクニカルライター、ITトレーナー、ネットワークのコンサルタント、ITに関する専門家証人（米国の法廷で専門的な立場から意見を述べる証人）など、IT分野のさまざまな立場で30年以上のキャリアを積む。IT関連の試験対策書である『Exam Cram』シリーズ（Pearson Education）の著者として、情報セキュリティ、MicrosoftのOS「Windows」、HTMLなど、コンピュータ関連で100冊以上を執筆。ビジネス情報サイト「Business News Daily」とIT関連クイズサイト「GoCertify」で記事を定期的に執筆している。