3つのプロファイルで適材適所の防御
Windows 7の「セキュリティが強化されたWindowsファイアウォール」はどこが違う？
Windows 7では「セキュリティが強化されたWindowsファイアウォール」の高度なセキュリティ機能をエンドユーザーマシンにまで広げ、多層防御を強化できる。
MicrosoftのWindows Vistaを飛ばしてWindows XPからWindows 7へ移行する予定の企業は、ホストベースの「セキュリティが強化されたWindowsファイアウォール」（Windows Firewall with Advanced Security：WFAS）をクライアントPCで活用する計画を立てるといい。WFASはWindows VistaとWindows Server 2008にも搭載されていたが、Windows 7ではその高度なセキュリティ機能をエンドユーザーマシンにまで広げ、多層防御を強化できるようになった。
Windowsのこれまでのバージョンと同様、ポリシーを（ここではWindows Server 2008上で）作成したら、それをGroup Policy Objects（GPO）経由でネットワーク上のコンピュータにプッシュ配信する。WFASは、ポリシー作成のための分かりやすいGUIを提供してくれるMicrosoft Management Consoleのスナップインとして管理される。このスナップインを使えば、Group Policy Management Console内でGPOを作成できる。
GPOを利用すると、プロファイル設定やセキュリティ接続ルールなど、WFASの高度な機能をすべて活用できる。既定ドメイン内のクライアントはポリシーの更新をリクエストするので、変更を加えたらそれを自動的に配布できる。
Windows 7ではWFASのおかげで、それまではWindows Server 2008と実際にVistaを導入した組織にしか利用できなかった、きめ細かく拡張性の高いセキュリティ設定が利用できるようになる。主なセキュリティ機能を幾つか見ていこう。
WFASには多数の機能が詰め込まれ、Windowsファイアウォールよりもはるかにパワフルなセキュリティツールになっている。最も重要なのは恐らく、接続先が会社のネットワークか自宅か外出先かを問わず、セキュリティをそのコンピュータの環境に自動的に適応させる機能だろう。
理想としては、PCが会社のファイアウォールの外にある場合、セキュリティポリシーは最も厳しくしたいと思うだろう。ネットワーク内部では、ユーザーが必要とするアプリケーションとデータソースをフルに利用しながら、潜在的に危険な、未知の接続に対してガードを固めるルールとポリシーを設定すればいい。
この先進的なファイアウォールは、「ドメイン」「プライベート」「パブリック」という3つのプロファイルオプションでそれに対応している。この3種類とも、グループごとに設定し、それぞれのプロファイルに別々のポリシーを設定することができる。
ドメインのプロファイルは、コンピュータが会社のネットワーク上にあり、所属するActive Directoryドメインに接続しているときに利用する。プライベートのプロファイルは一般的には自宅用で、パブリックのプロファイルはコンピュータをインターネットに直接接続しているとき、あるいは接続先のネットワークの信頼性を確認できないときに利用する。デフォルトは、管理されていない環境で最大限のセキュリティを提供するパブリックになっている。
各プロファイルとも、上り／下り、許可／不許可のルール、ディスプレー通知、ローカルファイアウォールルール、ログ記録オプションなど、幅広い設定が可能だ。
これらプロファイルのオプションが可能なのは、WFASがネットワークロケーションを認識するアプリケーションだからだ。Windows 7はPCが接続しているネットワークの種類を識別し、適切なプロファイルを割り当てる。これに対し、1つのポリシーであらゆるセキュリティ状況に対処するやり方では、社内で使っているのと同じルールが、ノートPCを社外に持ち出した場合にも適用される。
このファイアウォールはIPsecの保護機能とも統合され、双方の衝突を抑えるとともに、多数のネットワークオプションが加わっている。実際にはファイアウォールのインタフェースを通じ、IPsecを利用してセキュアなカスタムコミュニケーション導入の設定ができる。
IPsecの統合は、WFAS対応のドメイン隔離の鍵となる。特定のコンピュータでロジカルドメインを作成すると、たとえ物理的に同じネットワーク上にある場合でも、ほかのコンピュータからのアクセスを制限することが可能だ。
IPsecでは認証されたセキュアな接続が提供されるため、多様なファイアウォールルールのオプションが利用可能になる。例えば、Active Directoryユーザーやグループによってフィルタをかけるファイアウォールルールを作成できる。許可を与えたコンピュータがブロックルールを無視できるようにする迂回ルールの設定も可能だ。これら迂回ルールは、どのポート、プログラム、コンピュータ、コンピュータグループにアクセスさせるかをきめ細かく管理できる。
そのほかのWFASの主な強化点は、外部に出て行くトラフィックにフィルタをかけられる機能だ。クライアントがインターネットやネットワーク上のほかのコンピュータとの通信用に利用できるアプリケーションを制限し、ポリシーを強制できる。デフォルトではインバウンド接続の大半をブロックし、アウトバウンド接続の大半を許可している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？ -
製品資料
[株式会社みらい翻訳] 音声翻訳活用の課題を解決、“本当に使える”ツールの特徴とは？ -
製品レビュー
[Wrike Japan 株式会社] 400店舗を支えるWalmart Canada、散在する情報やアナログな管理をどう変えた？ -
事例
[Wrike Japan 株式会社] 年間100件超のDXプロジェクトを統合管理、JERAはどのように実現した？ -
事例
[Wrike Japan 株式会社] グローバルなクリエイティブ業務を合理化、エスティーローダーに学ぶ実践のコツ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
「複数AIの野放し」に歯止め Salesforceが6製品統合で挑むAI統制の覇権
-
3
「制御用組み込みPC」に関するアンケート
-
4
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
5
LLMの「過学習」、正しく説明している文章はどれ？
-
6
APIキー奪取から3時間でクラウド掌握 Anthropicが暴いた「バイブハッキング」の現実的な防御策
-
7
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
8
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
9
“AIコーディング”でどのツールを選ぶ？ 「ChatGPT」「Claude」の真価
-
10
「身代金を支払う」以外のランサムウェア対策は本当にあるのか？
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー