メモリ割り当てやカーネル管理の強化など、Windows 8にはマルウェアや脆弱性に対抗する工夫が多数凝らされている。ただし、危険なのはマルウェアや脆弱性だけではない。
予想通り、米MicrosoftのWindows 8をめぐっては、大げさな宣伝文句が溢れている。Windows 8が企業に向くかどうかは、ある意味、個人的な好みの問題だ。以前Metroと呼ばれていたWindows 8の新しいインタフェースに、私が好感を持っていないのは事実である（参考：知らないと後悔するWindows 8アプリのUIと互換性、6つのポイント）。ただし、新しいコントロールの中には、少なくとも当面の間は、マルウェアの影響を最小限に食い止めてくれるものもある。
アドレス空間配置のランダム化（ASLR）とデータ実行防止（DEP）の機能に加え、Windows 8ではメモリ割り当ての処理方法が異なる。セキュリティイベント「Black Hat」で紹介された通り、カーネルのセキュリティも強化された。こうした対策は確かに有難い。ユーザーが簡単にだまされてしまったり、高度なマルウェア攻撃の経路として利用されるだけのデスクトップOSなど、企業は必要としていない。
マルウェア以外にも、Windows 8には他のOSと同様、見過ごされがちな弱点に起因するセキュリティ問題は存在するはずだ。企業にWindows 8を導入する場合、やるべきことはまだある。ニッチなマルウェアや技術の悪用と同様に、膨大な数の弱点は、いとも簡単に企業を縛り付けてしまうかもしれない。
注目に値するにもかかわらず、見過ごされがちな弱点もある。パスワードの期限切れがないアカウントや、有効になっていないログイン監査などがそれに当たる。こうした問題は、プレリリース版「Windows 8 Release Preview」の初期設定の状態で、セキュリティ検査ツールの「Microsoft Baseline Security Analyzer（MBSA）」によって見つけることができる（参考：MS純正のセキュリティ検査ツールMBSAを使いこなす）。
デフォルトではHDD暗号化が1つも有効になっていないという点はどうだろう。モバイルコンピュータ、そしてデスクトップPCにとっても、これは最大級の弱点だ。Windowsのセキュリティ機能である「BitLocker」は、米Passwareの「Passware Kit Forensic」などのツールを使えば破ることが可能であり、Windows 8のセキュリティにとって最高のコントロールとはいえないかもしれない。しかし、たとえデフォルトで有効になっていなくても、BitLockerは特定の攻撃に対しては素晴らしい防御になる。
米GFI Softwareの脆弱性検査ツール「GFI LanGuard 2012」を使ってWindows 8をさらに検証してみると、不必要な共有が有効になっていたり、ログイン情報がキャッシュされていたり、ユーザー（あるいは攻撃者）がログオンせずにシステムを終了させることができるなど、さらに多くの弱点が見つかる。こうした問題は、影響を受ける組織もあれば、受けない組織もある。とはいえ、知っておくに越したことはない。
LanGuardによる検証ではさらに、Windowsファイアウォールがデフォルトで有効になっているにもかかわらず、サポートされたファイアウォール製品が見つからないという結果が出る。これは単なるLanGuardとWindows 8 Release Previewの互換性の問題かもしれないが、自社のデスクトップセキュリ対策として、Windowsファイアウォールで十分かどうか判断する必要はある。
さらには、ログを全て有効にして監視しなければならない点はどうだろうか。標準化団体、そしてMicrosoft自身のツールキット「Microsoft Security Compliance Manager」でも打ち出しているベースラインセキュリティ設定についてはどうか。スクリーンセーバーのタイムアウトを管理するグループポリシーオブジェクト（スタンドアロンのWindowsワークステーション向けローカルポリシー）のように、一見無意味に思えるものであっても、役に立つことはある。スクリーンセーバーのタイムアウトは、少なくともWindows 8 Release Previewではデフォルトで有効になっていない。もしも従業員が自分でシステムを調達し、会社のドメインに接続しなかった場合、誰がそれを設定してくれるのか。これもWindowsのセキュリティ強化策に追加すべき項目だ。
Copyright © ITmedia, Inc. All Rights Reserved.
リモートワークの導入が進む中、安全な通信環境の構築は企業の喫緊の課題となっている。 この手順書では、ある次世代ファイアウォールを使ったIPsec VPN方式のリモートアクセス設定方法を、画像付きで分かりやすく解説する。
情報セキュリティを向上させ、ビジネスチャンスにもつなげられる取り組みとして、ISMS認証やPマークの取得を目指す企業は多い。ただ、工数・リソース・専門知識などが、実現の壁となりがちだ。5社の事例から効率的な取得のポイントを探る。
ISMSクラウドセキュリティ認証は、安全なクラウドサービスを利用者自身が選択できるように誕生したセキュリティ規格だ。ただ、取得のために何をすればよいか分からないという声も多く聞かれる。そこで、概要から取得方法までを解説する。
個人情報保護や情報セキュリティといった取り組みを第三者が認証する制度として「Pマーク」「ISMS認証」がある。名前こそ知っているが、どのような制度で、どういった違いがあるのかまで理解している人は少数だ。その違いを解説する。
多くの企業でISMS認証やPマークの取得が進んでいる。しかし取得段階では「知見・リソース不足」、取得後の運用段階では「Excel・Word管理が大変」という企業も少なくない。そこでこうした問題を解消するサービスを紹介する。
船舶の安全保障を揺るがすサイバー脅威 海運セキュリティ対策の要点とは (2025/9/10)
ファイアウォール管理不全が「抜け穴」に 今見直すべき海外拠点のセキュリティ (2025/8/26)
混雑や逆光に弱いウォークスルー顔認証、高精度と高速処理をどう実現するか (2025/8/13)
なぜクラウドセキュリティは複雑ではなく「包括的でシンプル」にすべきなのか？ (2025/6/13)
「見える化」ではもう守れない アタックサーフェス管理の限界と次世代の対策 (2025/6/12)
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
