体験版で知るWindows Server 2016操作テク【第12回】

Windows Server 2016の新機能をチェックする──仮想ベースセキュリティ編（1/2 ページ）

今やサーバ機能も仮想マシンで動く時代となった。しかし、物理サーバだろうと仮想サーバだろうとセキュリティは盤石でなければならない。仮想サーバのためのセキュリティ機能を確認する。

公開 2017年09月12日 05時00分

著者

塩田紳二

[著]

印刷する

この連載は

新世代Windows Serverとして2016年9月に正式登場した「Windows Server 2016」。フリーで導入できる体験版を使って、新しいセキュリティ機能やコンテナ関連機能の設定など、新しく登場した“操作テクニック”を紹介する。執筆はIT関連媒体で長らくWindows Serverの解説連載を手掛けてきた塩田紳二氏だ

　「Windows Server 2016」（以下、WS16）は、「仮想化ベースのセキュリティ」（VBS：Virtualization-Based Security）機能を搭載した。この技術は、Windows Serverの仮想化機能「Hyper-V」による仮想マシン環境の中でセキュリティが強固な専用カーネル（セキュアカーネル）を動かし、機密性の高い情報を保持し、高レベルのセキュリティが必要な処理を実行する。

　仮想マシンに割り当てたメモリに外部からアクセスしたり仮想マシン内で動作するプロセスを操作したりするのは困難だ。そのため仮想マシン内のプロセスで機密性の高いデータを処理すれば、より高いセキュリティレベルを実現できる。

　具体的には「デバイスガード」（Device Guard）や「資格情報ガード」（Credential Guard）などが仮想環境を利用する新しいセキュリティ機能だ。Microsoftは、これらをまとめて「仮想化ベースのセキュリティ」と呼んでいる。

併せて読みたいお薦め記事

Windows Server 2016、導入すべきか待つべきか

Windows Server 2016、注目の新機能

デバイスガードと資格情報ガードが“強固”な理由

　「デバイスガード」は、正しいプログラムコードかどうかの「整合性」を検証する。具体的には「あらかじめ許可したアプリケーション」だけを「正しい状態にあるとき」のみ実行できるようにしている。単純にアプリケーションの名前で判断するのではなく、電子署名などを使って、不正に書き換えしていないかどうかも確認する。

　デバイスガードは、アプリケーションを対象にした「User Mode Code Integrity」（以下、UMCI）サービスと、Windowsカーネルを対象にした「Kernel Mode Code Integrity」（以下、KMCI）サービスがある。UMCIサービスでは、指定したアプリケーションが明確に正しい状態にあるときだけ実行を許可する。このためには、Microsoftではなく導入する側がデバイスガード環境で実行する全ソフトウェアのカタログを作成する必要がある。

　KMCIサービスでは、正しい状態のデバイスドライバだけが動作する。単に電子署名の有無（64ビット版 Windowsではデバイスドライバの電子署名が必須）だけでなく、有効期限も確認の対象となる。

　なお、実際に利用する環境を想定した場合、例えば社内で開発したアプリケーションなどであっても、開発者がいないなどの理由で電子署名の付与が困難な状況もある。このような場合に対してWS16では、電子署名を持たないソフトウェアをデバイスガードが有効な環境で実行できるようにするツールを提供している。

　「資格情報ガード」は、外部からアクセスできない仮想環境に、資格情報を保持機能を提供する。Windows Serverでは、利用しているユーザーのサインインに必要なNTLM（NT LAN Manager）やケルベロス認証の資格情報は、Windowsの認証サービスLSASS（Local Security Authority Subsystem Service。LSAと略す場合もある）が管理している。

　資格情報ガードは、デバイスガードと同じセキュアカーネルが動作する仮想マシンの中に分離LSA（LSAIso）と呼ぶプロセスを持つ。この分離LSAがNTLMやケルベロス認証の資格情報を管理する。LSASSは、必要に応じてこの分離LSAと通信して、サインインを処理する。

仮想化ベースのセキュリティは、仮想マシンを使ってセキュアカーネルを動かし、高いレベルのセキュリティが必要なデータを処理する。左側の部分がセキュアカーネルを実行する仮想マシンで右側が通常環境になる

次ページへセキュリティ専用チップを仮想環境で再現する条件とは

印刷する

この記事の著者

塩田紳二

塩田紳二（しおだしんじ）フリーランスのテクニカルライター。雑誌編集者、家電メーカー勤務を経て現職。ASCII.JP、@IT、マイナビニュース、日経BP xTECHなどにて執筆活動を行う。IoTなどの小さなハードウェアから上はスーパーコンピューターまで「小さなものから大きなものまで。ハードもソフトも。ただしゲームとアダルトを除く」が基本コンセプト。