最大の課題はIT部門自身にあり？

見過ごすと危険なWindows 8セキュリティの落とし穴

メモリ割り当てやカーネル管理の強化など、Windows 8にはマルウェアや脆弱性に対抗する工夫が多数凝らされている。ただし、危険なのはマルウェアや脆弱性だけではない。

公開 2012年12月03日 08時03分

[TechTarget]

印刷する Googleで優先するソースとして追加

　予想通り、米MicrosoftのWindows 8をめぐっては、大げさな宣伝文句が溢れている。Windows 8が企業に向くかどうかは、ある意味、個人的な好みの問題だ。以前Metroと呼ばれていたWindows 8の新しいインタフェースに、私が好感を持っていないのは事実である（参考：知らないと後悔するWindows 8アプリのUIと互換性、6つのポイント）。ただし、新しいコントロールの中には、少なくとも当面の間は、マルウェアの影響を最小限に食い止めてくれるものもある。

　アドレス空間配置のランダム化（ASLR）とデータ実行防止（DEP）の機能に加え、Windows 8ではメモリ割り当ての処理方法が異なる。セキュリティイベント「Black Hat」で紹介された通り、カーネルのセキュリティも強化された。こうした対策は確かに有難い。ユーザーが簡単にだまされてしまったり、高度なマルウェア攻撃の経路として利用されるだけのデスクトップOSなど、企業は必要としていない。

　マルウェア以外にも、Windows 8には他のOSと同様、見過ごされがちな弱点に起因するセキュリティ問題は存在するはずだ。企業にWindows 8を導入する場合、やるべきことはまだある。ニッチなマルウェアや技術の悪用と同様に、膨大な数の弱点は、いとも簡単に企業を縛り付けてしまうかもしれない。

Windows管理者が見落としがちな5つのリスクとは？

　注目に値するにもかかわらず、見過ごされがちな弱点もある。パスワードの期限切れがないアカウントや、有効になっていないログイン監査などがそれに当たる。こうした問題は、プレリリース版「Windows 8 Release Preview」の初期設定の状態で、セキュリティ検査ツールの「Microsoft Baseline Security Analyzer（MBSA）」によって見つけることができる（参考：MS純正のセキュリティ検査ツールMBSAを使いこなす）。

　デフォルトではHDD暗号化が1つも有効になっていないという点はどうだろう。モバイルコンピュータ、そしてデスクトップPCにとっても、これは最大級の弱点だ。Windowsのセキュリティ機能である「BitLocker」は、米Passwareの「Passware Kit Forensic」などのツールを使えば破ることが可能であり、Windows 8のセキュリティにとって最高のコントロールとはいえないかもしれない。しかし、たとえデフォルトで有効になっていなくても、BitLockerは特定の攻撃に対しては素晴らしい防御になる。

　米GFI Softwareの脆弱性検査ツール「GFI LanGuard 2012」を使ってWindows 8をさらに検証してみると、不必要な共有が有効になっていたり、ログイン情報がキャッシュされていたり、ユーザー（あるいは攻撃者）がログオンせずにシステムを終了させることができるなど、さらに多くの弱点が見つかる。こうした問題は、影響を受ける組織もあれば、受けない組織もある。とはいえ、知っておくに越したことはない。

　LanGuardによる検証ではさらに、Windowsファイアウォールがデフォルトで有効になっているにもかかわらず、サポートされたファイアウォール製品が見つからないという結果が出る。これは単なるLanGuardとWindows 8 Release Previewの互換性の問題かもしれないが、自社のデスクトップセキュリ対策として、Windowsファイアウォールで十分かどうか判断する必要はある。

Windows 7の「セキュリティが強化されたWindowsファイアウォール」はどこが違う？

　さらには、ログを全て有効にして監視しなければならない点はどうだろうか。標準化団体、そしてMicrosoft自身のツールキット「Microsoft Security Compliance Manager」でも打ち出しているベースラインセキュリティ設定についてはどうか。スクリーンセーバーのタイムアウトを管理するグループポリシーオブジェクト（スタンドアロンのWindowsワークステーション向けローカルポリシー）のように、一見無意味に思えるものであっても、役に立つことはある。スクリーンセーバーのタイムアウトは、少なくともWindows 8 Release Previewではデフォルトで有効になっていない。もしも従業員が自分でシステムを調達し、会社のドメインに接続しなかった場合、誰がそれを設定してくれるのか。これもWindowsのセキュリティ強化策に追加すべき項目だ。

　HDD暗号化について言えば、システムを放置した場合にスクリーンセーバーがタイムアウトしなければ（そしてユーザーの規律が欠如していれば）、ディスクは確実に保護されない。悪意を持った人物が、暗号化されたWindows 8から何かを入手したいと思った場合、単にユーザーが画面をロックせずにクライアントPCから離れるのを待つだけで済む。その瞬間から、セキュリティコントロールは全て存在しなくなる。

　Windows 8のセキュリティについて、私の言いたいことは単純だ。宣伝文句をうのみにしてはいけない。MicrosoftのWindows 8は確かに、これまでの中では最もセキュアなエンタープライズ対応のOSといえるだろう。これは大したものだ。だが私のこれまでの経験からすると、企業が足を取られる原因は、ニッチな手の込んだセキュリティホールにあるのではない。

　アカウント管理やパッチの適用、システム強化に関連したWindowsセキュリティのベストプラクティスをIT部門が無視し続けていることが、企業が足を取られる原因だ。社内のデスクトップPCをコントロールするつもりなら、最も重要なことに重点を置かなければならない。

　ただし勘違いはしないでほしい。特に現在発生している高度な攻撃を見る限り、マルウェアの脅威は現実のものだ。メモリ割り当ての強化とカーネルコントロールの強化は、間違いなくWindows 8のセキュリティの助けになる。だが前述した通り、「世界一セキュア」なOSでも、そのままの状態では脆弱なのが実態だ。私物端末の業務利用（BYOD）環境の場合、Windows 8搭載のタブレットを日常的に利用する従業員によって、システムは一層脆弱になる。Windows 8には前向きな警戒心を持ち、スマートなアプローチを心掛けたい。

印刷する

この記事の著者

Kevin Beaver

見過ごすと危険なWindows 8セキュリティの落とし穴

関連記事

関連記事

関連記事

関連記事

この記事の著者

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓