1．デフォルトの設定を変更する

　どんなシステムでもデフォルトの設定が最もセキュアであることはめったにない。いたずら半分の初心者にとっても経験豊富な攻撃者にとっても、大抵はそこがネットワークへの容易な侵入経路になる。

　新しいシステムを導入する際、管理者はまずセキュリティには厳しい姿勢で臨むことが必要だ。全システムでデフォルトのパスワードが変更され、セキュリティ設定が確認されていることを体系的にチェックする。さもないと、例えばGoogleで「Ciscoのデフォルトルータ設定」と検索できる12歳の子どものために、会社のネットワーク全体が脆弱になるかもしれない。

2．パッチをインストールする

　新しい脆弱性の発見以上に攻撃者を喜ばせることが1つだけある。それはセキュリティアップデートの提供が開始されてもすぐに反応しない人たちだ。システムのセキュリティパッチやソフトウェアのセキュリティアップデートが公開された時点で適用しないのは、コンピュータ通の闘牛の前で赤い布を振るようなものだ。

　これはMicrosoftのセキュリティアップデートだけにいえることではない。すべてを最新の状態にしておくことが極めて重要だ。公開されたパッチは忘れずにすべてインストールし、ネットワークに新しいものを追加したらルータのファームウェアからクライアントソフトウェアまでを直ちにアップデートして、それを削除するか入れ替えるまでこの作業を続けなければならない。

　適切なネットワーク管理ツールを使えば、これが重荷になったり過度に時間を取られたりすることはなく、全端末が中央から同時にアップデートできる。こうしたツールには、GFI Softwareの「LANguard」、Lumension Securityの「Endpoint Management and Security Suite」、ScriptLogicの「Patch Authority Ultimate」などがある。大切なのは、セキュリティアップデートと単純なソフトウェアアップデートを区別することだ。後者はミッションクリティカルではなく優先する必要もないが、前者はその両方だ。

3．無線の脅威を見過ごさない

　暗号化されていない公衆無線LANの利用をポリシーで禁止して問題を未然に防ぎ、無線アクセスポイントのゲスト利用は防止する。自社のネットワークを周辺のセキュリティ対策で固めたからといって、外の車から何者かがオープンなゲスト無線LANを探し回ってそうした措置をかわすことができないとは限らない。ここでも忘れずに無線LANルータのデフォルトの設定を変更し（1を参照）、無線暗号を有効にする。WPAとWEPは両方とも安全でないことが広く知られているので、可能であればできるだけWPA2を利用する。

　最後に、通り掛かりの侵入者を寄せ付けないようSSIDブロードキャスティングは無効にする。変更されないままオープンにブロードキャストされたSSIDは、それ自体がセキュリティ上のリスクになるわけではないが、侵入者にとっては、無線LANの防御に関して恐らくほかの部分もわざわざ変更する手間はかけていないだろうと推測できる手掛かりとなる。

　また、ITチームが無線LANを導入していないからという理由でこの脅威を見過ごしてはならない。技術通の従業員が自分のために導入していないとは限らないからだ。こうした無許可の無線LANはWi-Fiスキャナを使えば検出できる。

4．物理的（セキュリティ）対策

　誰もが分かっていながら無視しがちなのは、物理的なセキュリティが鍵になるということだ。ランチに出掛けるときや短時間の休憩でも、サーバ室には忘れずに鍵を掛ける。ルータは必ず施錠した場所に置く。さもないと物理的にアクセスできる人物が、セキュアでないデフォルトの設定にリセットしてしまうかもしれない。

　さらに、無許可のUSBストレージが使われるのを防ぐため、端末のデータアクセスポートにロックを掛けてデータが持ち出されるリスクを低減する。強力接着剤でUSBポートをふさいでしまうという強硬措置に出る人も中にはいるようだが、これは少しやり過ぎかもしれない。

5．適切な設定

　ハードウェアであれソフトウェアであれ、どんなものでも真のセキュリティのためにはシステム的またはネットワーク的な守りが必要だ。不要なサービスを無効にする、アクセスアカウントの名称を変更してパスワードをリセットするといったことがそれに当たる。

　適切に設定されたIDSやファイアウォールがなければ、どんな企業のネットワークでもセキュアとはいえない。実装に不備がある製品を、管理者が誤検知の警告にうんざりして無効にしている（または同じことだが無視している）ケースも多い。効果的な導入の鍵となるのは、何に対する防御を想定しているのかを理解し、それに従って調整することだ。デフォルトではどんなものも出入りさせてはいけない。出て行くものに関するルールは、入ってくるものに関するルールと同様に大切だ。また、ファイアウォールのポリシーを調整し、使われていないルールやオブジェクトをその都度削除することは、セキュリティにとって不可欠となる。

本稿筆者のデイビー・ウィンダー氏は20年近い経験を持つフリーランスの技術ジャーナリスト。