Windows Server 2008からのアップグレードに値するか？

Windows Server 2012、セキュリティ機能の“見どころ”をチェック

Windows Server 2012はセキュリティ機能だけでなく、ポリシー設定や実装の容易さなど使い勝手も大幅に向上している。アップグレードの判断材料となる幾つかのポイントを紹介する。

公開 2013年02月04日 08時01分

[TechTarget]

印刷する

　MicrosoftがWindows 8のリリースに先立ち、2012年9月に発表したサーバソフトの最新バージョン、Windows Server 2012の新機能について、Windows Server 2008を運用している企業は「アップグレードするだけの価値があるかどうか」疑問に思っている向きも多いのではないだろうか。特に、Windows Serverを運用している組織にとって最も気になるであろうセキュリティ機能は念入りに検討するはずだ。そこで、すぐにアップグレードする価値を持つものかどうか、Windows Server 2012のセキュリティ機能を検証した。

Windows Server 2012の関連記事

信頼性や使い勝手が大幅に向上

　結論からいうと、Windows Server 2012のセキュリティ機能は大きく前進している。重要なセキュリティ機能群を新たに搭載し、認証、ID管理、権限付与、隔離、データ保護といった分野にも機能向上が見られる。「Secure Boot」などを含め、新機能の中にはWindows 8と共有されているものもある。

　Secure Bootはシステムが起動する際にデジタル署名入りのUEFI（Unified Extensible Firmware Interface）ドライバとブートローダーのみ実行を許し、bootkitによってデバイスが乗っ取られることを防止する。システムの起動プロセスを守るもう1つのセキュリティ機能「Early Launch Anti-Malware（ELAM）」は、デジタル署名の入った既知のマルウェア対策プログラムのみ、Secure Bootの終了直後にロードする。これによって偽ウイルス対策プログラムが起動プロセスの間に実行されることを防ぐ。

　HDD暗号化を実現する「BitLocker」のドライブ暗号化も使いやすくなった。「ネットワーク保護モード」にしておくと、サーバがネットワークに接続されて通常のActive Directoryドメインに加わっている限り、暗号化されたディスクのロックを自動的に解除する。「DNSSEC（Domain Name System Security Extensions）」機能は、従来のDNSの仕組みを拡張する形で実装し、完全な上位互換性を保っている。設定も分かりやすくなった。

HDD暗号化の関連記事

　「Solution Accelerator」という管理ツール群は、セキュリティの基本管理機能を一元的に提供し、セキュリティ設定を簡単かつ迅速に行える。同ツール群には、カテゴリごとに分類された172の質問を提示して使用環境の分析と改善方法を提案する「Microsoft Security Assessment Tool」、Microsoftのセキュリティ推奨事項に基づいて各クライアントPCのセキュリティ状態を確認し、改善策のガイダンスを提供する「Microsoft Baseline Security Analyzer」、セキュリティ設定のベストプラクティスを提供する「Microsoft Security Compliance Manager」などが含まれる。

　クレームベース認証、クラウド認証をサポートする「Kerberos認証」もシンプルになり、きめ細かいパスワードポリシー導入のためのインタフェースが大幅に洗練された。パスワードを自動的に管理する「Managed Service Accounts（MSA）」も自己メンテナンス式になり、長いパスワードが30日ごとに自動的にリセットされるようになった。

　自前でWebサーバを運用している企業に向けた機能としては、MicrosoftのWebサーバ用ソフトウェア「Internet Information Services（IIS）8」に自動化されたセキュリティ対策機能が新たに加わった。例えば「Dynamic IP Restrictions」機能は、事前に定義した状況に基づいて、不正なIPアドレスを自動的にブロックする。閉鎖された領域でウイルスの挙動を確かめる「サンドボックス」機能も強化され、個々のアプリケーションがマルチテナントのセキュリティサンドボックスに格納されるようになった。

ダイナミックアクセス制御が、きめ細かなファイルアクセス権限管理を効率化

　データ分類は、全てのファイルに適切なセキュリティ設定を割り当てる作業が必要になるため、情報セキュリティの中でも多くの企業が苦労している分野だ。Windows Server 2012は新しい認証機能と監査エンジンでこの課題に真っ向から取り組んだ。具体的には、「ダイナミックアクセス制御」機能に「式ベースのアクセスコントロールリスト」「アクセスの承認と監査ルールの一元管理」など、先進的なファイル／フォルダ権限管理機能を搭載している。

　ドキュメントファイルは、コンテンツまたはActive Directoryの属性に基づいて自動的に分類される。例えば「Rights Management Service」は、HIPAA（米国の医療保険の相互運用性と説明責任に関する法律）に関する情報を含む全ての文書を自動的に暗号化する設定も可能だ。

Active Directoryの関連記事

　機密文書に対する、端末、ユーザー、グループからのアクセスは、それぞれの属性に基づき制御する。ユーザー、グループ、コンピュータを含めて、ほぼどんなオブジェクトにも複数の属性を割り当てられる。これにより、例えば「MACアドレスが『00-xx-00』のWindows 8搭載ノートPCに、自宅で作業している営業マネジャーをユーザーとして割り当てる」「この営業マネジャーは自宅での作業中に、Windows 8搭載端末から機密度が中程度以下の文書にはアクセスできるが、機密度が高い文書には社内からしかアクセスできない」といったルールも簡単に作成できる。こうした分類機能は、分類を認識するWindows Server 2012の各種サービスと連携して利用できる。この機能によって、分類とデータ処理のポリシー実装が大幅に効率化するはずだ。

　また、ファイルサーバに適用するアクセスポリシーを、グループポリシーを使って作成できる「集約型アクセスポリシー」はActive Directoryに一元的に格納される。従ってアクセスポリシーの一元的な導入、管理が可能だ。ユーザークレーム、デバイスクレーム、リソースプロパティを使った条件式の管理能力をフルに発揮させるには少しばかりのテストが必要だが、これによって企業データをきめ細かくコントロールできる。

　以上のように、Windows Server 2012はセキュリティ機能だけでなく、ポリシーの設定と実装の容易さという点でもWindows Server 2008より大幅に強化されている。堅牢かつ正確なセキュリティ制御を実装できるため、攻撃ははるかに難しくなる。無論、アップグレードは各社の状況に応じて慎重に考える必要があるが、Windows Server 2012はセキュリティ機能に関しては間違いなく正しい方向に進んでいるといえるだろう。

印刷する

この記事の著者

Michael Cobb