サーバーのセキュリティ計画

サーバーの役割日

論理コンポーネントの物理的なハードウェアおよびネットワークに必要な多くの機能を提供するためのネットワークなど、接続性、ルーティングおよびスイッチング機能により、ネットワークセキュリティ、およびアクセス制御します。 ネットワークインフラストラクチャに存在するのは、必要に応じてサーバーの前にこれをサポートするサービスとアプリケーションが必要とされてユーザは、ネットワーク環境に展開しています。 Windows Server 2003の間では、多くの機能やツールとされているコンピュータをインストールするときに、追加機能を実装する必要がサーバー上にあると機能を提供するサービスや能力を要求される組織とそのユーザです。
Windows Server 2003に来たの導入サーバーの役割です。サーバーの役割グループに関連した管理タスクを実行して、特定の機能が使用され、または機能を提供し、ネットワークへのデザインです。 Windows Server 2003では、サーバーを構成する場合、特定のサーバーの役割を、いくつかの追加のサービス、機能、およびツールがインストールさを指定します。 このように、サーバーをセットアップするのに必要なサービスを提供するのがユーザーに表示されます。 サーバーを設定することも多くの役割を実行する。 は、サーバーが実行中のアプリケーションを指定して、特定のサーバーの役割をします。

は、いくつかのサーバーの役割は次のとおりです。 Windows Server 2003では、別のサーバーには、いくつかの役割を構成することができますサーバーの構成ウィザードを使用して、お客様のサーバーの管理ユーティリティ：

選択してオペレーティングシステム（ OS ）

上記の各別のサーバーの役割ができるような構成がWindows Server 2003では、必要な安全保障するために必要な構成を決定する上では、特定のサーバーの役割ごとに活用します。 ときにサーバーのセキュリティ計画の1つであることの最初の要素を把握する必要がありますがどれウィンドウズオペレーティングシステム（ OS ）を活用するには、組織内のです。 これは特に重要なため、特定のオペレーティングシステムごとに異なるセキュリティ構成を提供することができます使用するサーバーのセキュリティを実装する。

は、 Windows Serverオペレーティングシステムは次のとおりです、と一緒にするための最小システム要件の各特定のオペレーティングシステムをインストールします。 ために、特定のWindowsオペレーティングシステムをインストールするためのサーバーは、特定のサーバーを必要最小システム要件を満たし、特定のオペレーティングシステム：

前述のように、各Windows Serverオペレーティングシステムのさまざまな機能を提供し、異なるセキュリティ設定が有効になってできるサーバーのセキュリティおよびネットワークのセキュリティを強化する。 したがって、を決める前には、オペレーティングシステムを活用する場合は、どのサーバーを知ってシステムの機能およびセキュリティ機能をネットワークの設計が必要にして、組織の要件として決定される。 Windowsサーバーシステムの各バージョンには、同行が導入され、新機能や関連する追加のセキュリティが強化されました。 このコンセプトが示され、このセクションの残りの部分をサポートします。

Windows 2000の各エディションの増加に作成されたシステムの信頼性と可用性、およびスケーラビリティを実現します。

Windows 2000 Serverのサポート強化されたTCP / IPネットワーキングサービスのようなダイナミックDNS （ DDNS ） 、動的ホスト構成プロトコル（ DHCP ） 、自動プライベートIPアドレス指定（ APIPA ） 、およびWindowsインターネットネームサービス（ WINS ）の後方支援を混在モードでの環境です。 Windows 2000サーバーも提供インターネットインフォメーションサービス（ IIS ） 、分散ファイルシステム（ DFS ） 、ルーティングとリモートアクセスポリシーベースの管理のためのリモートアクセスサーバー、ターミナルサービスの機能では、リムーバブル記憶域リムーバブルメディアを管理するため、サービスをMacintosh版では、ゲートウェイサービスfor NetWareの、およびServices for UNIXのネットワーク環境での相互運用性は、異種です。 Windows 2000のデータベースへの接続もサポートオープン（ ODBC ）をソフトウェア、メッセージキューサービス、およびコンポーネントオブジェクトモデル（ COM + ）です。 これにより、新しいアプリケーションを既存のソフトウェアと相互運用性とデータです。 新しいプリンタのWindows 2000が含まれ、モデムおよびハードウェアのドライバをより詳細なハードウェアのインストールを簡素化し、追加して、それをもっと効果的です。 Windows 2000でのサポートを含んでのUSB 、 IEEE 1394の、および高度な設定電源インターフェイス（ ACPIの）デバイスの構成およびパワーマネジメントです。 Windows 2000のデバイスの種類がサポートさを使用するには煩雑なWindows NT 、および双方向パラレルポートドライバには、多くの他のデバイスの通信を可能にします。 Windows 2000用には、プラグアンドプレイ（ PNP ）機能を使用します。 Windows 2000のサポートは、 Win32ドライバモデル（ WDM ）と、デバイスのドライバの署名機能を使用します。 最後に、 Windows 2000で提供してNTFSのバージョン5の機能とセキュリティ機能の強化です。

は、 Kerberos認証プロトコルは、デフォルトの認証プロトコルに使用されるWindows 2000では、 Windows XP Professional 、およびWindows Server 2003のです。 Kerberos認証は当初Windows 2000で導入されます。 Kerberosの相互認証を確認するに活用以下の通りです：

Kerberos認証は、 NTLM認証プロトコルの安全保障の改善などは、次の

Kerberosバージョン5を使用する'チケット'戦略を認証する有効なネットワークユーザ、およびユーザとリソース間の相互認証を提供します。 は、 Kerberos認証の種類に依存しては、 キー配布センター（ KDC ）のチケットを発行する。 各ネットワーククライアントを利用したKDCをご利用のDNSを見つけるには近いKerberosチケットを入手するにします。 航空券はアクティブ状態を維持するために通常約8または10時間です。 のキー配布センター（ KDC ）は、サービスが実行されるコンポーネントのアクティブディレクトリにコピーします。 キー配布センター（ KDC ）のデータベースを管理して安全保障のアカウント情報を各ドメインのセキュリティプリンシパルにします。 暗号化キーのKDCが保持して、特定のセキュリティプリンシパルのみで知られる、とのKDCです。 この暗号化キーは、長期的なキーとも呼ばれ、パスワードが形成さよりは、ログオンしたユーザー、およびが使用されるセキュリティプリンシパルのKDCと相互作用します。 ための各ドメインコントローラでWindows Server 2003のドメインのKDCとして動作する、フォールトトレランスをするためにドメインが有効になっています。

Windows Server 2003のNTLM認証プロトコルをサポートして互換性を提供するため、以前のオペレーティングシステム（ OSS ）のWindows NT 4の互換性などです。 セキュアソケットレイヤー/交通機関のセキュリティレイヤ（ SSL / TLSを）とダイジェスト認証は、通常使用されるWebアプリケーションのためのです。 SSL / TLSを、 X.509に基づいて公開鍵証明書との間の相互認証により、クライアントとサーバーです。

オペレーティングシステムは、 Windows 2000スマートカードのサポートも含まれるものです。 スマートカード認証は、スマートカードに基づいて使用すると、 Windows 2000およびWindowsサーバでサポートされ2003年です。 スマートカードは、セキュリティデバイスまたはクレジットカードサイズのハードウェアトークンを提供するために使用できるアプリケーションやセキュリティプロトコルの保護を追加します。

スマートカードは、以下の特長：

[ネットワーク環境では、スマートカードは、典型的に以下の目的のために使用される

アクティブディレクトリは、実際には最も重要な機能を実際にWindows 2000で導入さをもたらすため、いくつかの重要なドメインの構造的変化します。 Active DirectoryのドメインのDNSドメインを使用して命名構造、および特定のNetBIOS名前付け構造Windows NTドメインで使用されています。 のためのDNS 、 Active Directoryドメインは、構造化され、階層構造のモデルです。 ドメインツリーの概念が使用される階層的構造を記述するのに連続した名前空間のドメインでのグループが、グループの名前空間に隣接していないの木と森と呼ばれています。 森林の間の信頼関係を定義することができます通信を容易にします。

のリリースのMicrosoft Windows Server 2003かなりの数の拡張機能が導入されていないと、以前は次の利用可能なWindows 2000のアクティブディレクトリにコピーします。 これらの拡張機能が改善する目的で、拡張性、効率性、速度とパフォーマンスのアクティブディレクトリ、およびいくつかの不備や欠点の対処を、以前のバージョンのWindows 2000 ServerのActive Directoryに利用されています。 ときに実行中のWindows Server 2003のドメインコントローラが作成され、アクティブディレクトリに、いくつかの基本的な機能はすぐにインストールして利用できるように、 Windows Server 2003のドメインコントローラです。 特定の他のActive Directoryの機能は、特定の条件でのみご利用時にネットワーク上に存在しています。

Active Directoryの機能を追加できるが有効になっては、以下の条件に依存してか、または要因：

ドメインとフォレストの機能レベルには、手段を有効にすることができます。追加のドメイン全体およびフォレスト全体のActive Directoryの機能、削除している環境に時代遅れの下位互換性、およびActive Directoryのパフォーマンスとセキュリティを向上させる。

ドメインの機能レベルを設定することができるWindows Server 2003のActive Directoryには次のとおりです。 混合は、 Windows 2000およびWindowsネイティブドメインの機能レベルがWindows 2000で利用可能な下位互換性を有効にするなど、オペレーティングシステムをWindows NT 4.0のです。 後者の2つの機能レベルがWindows Server 2003でのみ利用可能にします。

フォレストの機能レベルに設定することができるWindows Server 2003のActive Directoryの次のとおりです。

ドメインの機能レベルを確認するにはどのように設定するためにドメイン

  1. オープンは、 Active Directoryドメインと信頼関係コンソールを開きます。
  2. 右クリックし、 [特定のドメインの機能レベルを確認したいと選択し、ドメインの機能レベルを上げるより、ショートカットメニューを表示します。
  3. このドメインの機能レベルを上げる]ダイアログボックスが開きます。
  4. 表示することができます既存のドメインの機能レベルを現在のドメインの機能レベルのドメインです。

どのようにドメインの機能レベルを上げるのは、 Windows 2000ネイティブドメインの機能レベルまたはWindows Server 2003ドメインの機能レベル

前にすることができます。ドメインの機能レベルを上げるドメインの機能レベルをWindows Server 2003には、各ドメインコントローラを実行するには、ドメイン内のWindows Server 2003のです。

ドメインの機能レベルを高めることをするのは、ドメイン

  1. オープンは、 Active Directoryドメインと信頼関係コンソール
  2. 右クリックし、 [特定のドメインの機能レベルを引き上げる場合、ドメインの機能レベルを上げるを選択し、ショートカットメニューからです。
  3. このドメインの機能レベルを上げる]ダイアログボックスが開きます。
  4. を使用してリストを選択して利用可能なドメインの機能レベルドメインの機能レベルを選択するにするためにドメインです。
  5. クリックして引き上げる。
  6. [ OK ]をクリックします。

フォレストの機能レベルを確認するにはどのように設定して森林

  1. オープンは、 Active Directoryドメインと信頼関係コンソール
  2. 右クリックし、 Active Directoryドメインと信頼関係は、コンソールツリーで、フォレストの機能レベルを上げるを選択し、ショートカットメニューからです。
  3. フォレストの機能レベルを上げる]ダイアログボックスが開きます
  4. 表示することができますが、既存のフォレストの機能レベルを現在のフォレストの機能レベルです。

フォレストの機能レベルを上げる方法をWindows Server 2003にフォレストの機能レベル

各ドメインコントローラで、森のは、 Windows Server 2003のを実行する前に変更することができますフォレストの機能レベルをWindows Server 2003にします。 フォレストの機能レベルを上げるときに、すべてのドメインで、森のは、自動的にそのドメインの機能レベルをWindows Server 2003に発生します。

フォレストの機能レベルを高めるため、森林、

  1. オープンは、 Active Directoryドメインと信頼関係コンソール
  2. 右クリックし、 Active Directoryドメインと信頼関係は、コンソールツリーで、フォレストの機能レベルを上げるを選択し、ショートカットメニューからです。
  3. このドメインの機能レベルを上げる]ダイアログボックスが開きます
  4. クリックして引き上げる。
  5. [ OK ]をクリックします。

ファイアウォールのセキュリティ機能を理解する

このメソッドは、物理的にセキュリティで保護することができますし、ネットワーク、ファイアウォールの利用方法には介しています。 いくつかのレベルのファイアウォールの間の物理的な安全保障を提供する必要がファイアウォールのことを心にとめこれだけの障壁の侵入者を攻撃するのを困難にするネットワークです。

ファイアウォールでは、次のように分類される：

ファイアウォールの仕事にパケットをチェックを許可するかどうかを判断すべきであるに転送されたパケットか、またはすべきであるかどうかパケットを破棄されます。 の主な機能は、ファイアウォールのトラフィックをフィルタリングする。 TCP / IPパケットは、 IPパケットのヘッダー、続いて、実際のコンテンツは、パケットを送信します。 のいずれかをIPパケットのヘッダーは、 TCPヘッダーやUDPのヘッダーです。 は、 TCPヘッダまたはUDPヘッダには、 IPアドレスとポート番号は、送信者（ソース） 、および、 IPアドレスとポート番号を、受信機（目的地）です。 は、 TCPヘッダーには、次の追加情報としてよく：シーケンス番号と謝辞数字との会話状態です。

パケットを通過としては、ファイアウォール、パケットは、調べによると、フィルタリングパラメータの設定は、ファイアウォールのトラフィックをフィルタリングします。 パケットのフィルタリングパラメータの定義を許されるべきだとは、ファイアウォールを通過します。 通常は、ファイアウォールのデフォルトの設定以外のすべてのパケットを拒否することを許可する明示的にセットアップされています。 のネットワーク環境では、ファイアウォールの設定は通常、すべての着信トラフィックをブロックすると、民間からの発信トラフィックを許可する内部ネットワークです。

パケットフィルタを使用してトラフィックの種類を定義する必要が拒否され、ファイアウォールのです。 ファイアウォールやルーターを実装する必要がありますパケットフィルタのリソースをセキュリティで保護するにしてプライベートネットワークからインターネット利用者です。

IPパケットフィルタを構成する場合、どのようなトラフィックを指定することもできますが許可または拒否に基づいて、以下の通りです：

IPパケットフィルタするために使用する必要があります：

高度なファイアウォールのセキュリティ機能には、コードの追加を含む：

境界領域のネットワークを理解する

境界領域のネットワーク上での主要な役割を果たす、とも呼ばれる非武装地帯（ DMZ ）は、追加層の保護を提供するための内部プライベートネットワークのときには境界領域のネットワーク上のサーバーに低下します。 通常、境界領域のネットワークのホストのWebサービスはインターネット上のクライアント拡張しています。

A perimeter network usually consists of the following elements:

A perimeter network is either a single firewall configuration, or back to back firewall configuration:

Web Content servers and front end servers usually reside in the perimeter network. A perimeter network can be further segmented:

Understanding Windows Server 2003 Security Settings

Auditing enables you to determine which activities are occurring on your system. Through auditing, administrators can collect information associated with resource access and usage on your system. You can audit system logon, file access, object access, as well as any configuration changes. When an event or action takes place that is configured for auditing, the action or event is written to the security log. Security auditing events are written to the security log of the system, and can be accessed from Event Viewer.

The main types of events which you should audit are listed below:

You can define audit polices for the local computer, a domain controller, a domain or an organization unit (OU).

The audit policies that you can configure with Windows Server 2003 are listed here:

For each of the above mentioned event categories, you can choose between three values when you enable auditing. These values in turn determine the condition for which an audit entry would be created:

An important management tool for administrators of Windows Server 2003 is the Event Log. Event Viewer stores events that are logged in a system log, application log, and security log. You can access Event Viewer from the Administrative Tools folder.

The maximum size of the Event Log, Event Log performance, and other attributes are controlled by the following Event Log policies:

You can enable the Security Options policies to secure certain server components from a number of threats and accidents. Through Security Options policies, you can secure specific server components. A few Security Options policies which you should consider activating are listed below:

Services can be defined as system programs, processes or routines running in the background that performs a specific operation within the operating system. Administrators need to monitor services and also change the configuration of services when necessary. When the Windows Server 2003 operating system installs, some services are automatically installed with the operating system. These services are usually set with the Automatic startup type. This means that the service starts automatically when the operating system starts or boots. The startup type specified for the service controls when and how the service starts.
A few services that have the Automatic startup type configured are Automatic Updates, DHCP Client, DNS Client, IPSec Services, Remote Procedure Call (RPC), Server, Security Accounts Manager, and System Event Notification.

For those services that have the Automatic startup type configured, you can use System Services policies to disable those services which a specific server does not require. A few services for which you can configure the startup type as Disabled (if the server does not require the service) are Application Management, Distributed File System, Distributed Transaction Coordinator, Fax Service, ClipBook, Indexing Service, Internet Connection Sharing (ICS), and Smart Card.

Restricted Groups contains groups for specific security restrictions. You can configure Restricted Groups to ensure that group memberships remain defined as it was specified. Restricted Groups policies ensure that the Members attributes and Members Of attributes remain consistent. You configure Restricted Groups policies by adding a policy and then specifying the members of the policy.

Account Policies include attributes for password policy, account lockout policy and Kerberos policy. Password policy determines settings for passwords for domain user accounts, and local user accounts. You can implement strong password policies by using the following security policy settings located in the Password Policy node in Account Policies:

Account lockout policies should be implemented if your environment is particularly vulnerable to threats arising from passwords which are being guessed. Implementing an account lockout policy basically ensures that the account of a user is locked after an individual has unsuccessfully tried for several times to provide the correct password. The important factor to remember when defining an account lockout policy is that you should implement a policy that permits some degree of user error, but that also prevents unauthorized usage of your user accounts.

The following password and account lockout settings are located in the Account Lockout Policy area in Account Policies:

How to Plan a Security Framework

A security framework can be defined as the process used when the organization has to perform the activities listed below:

Most organizations use a security design committee or team to determine the security needs of the organization and to deploy security policies which can meet these requirements.

A security design committee/team includes individuals that are knowledgeable on the following factors:

A typical security life cycle is made up of the following steps:

Because the security requirements of organizations differ, you have to determine which security features, tools and policies are needed by the specific organization whose server security you are planning. From the discussions so far, it becomes evident that identifying the security requirements of the organization is a task requiring quite some analysis. One of the initial steps to identifying the security requirements of the organization is to determine which security weaknesses or vulnerabilities currently exist, the threats to which the mission critical resources of the organization is exposed, and the resources which are mainly at risk to being compromised.

There are a number of different risks that have an impact on an organization. Some of the primary threats which you should address are listed here:

Once the risk which your organization is vulnerable to is determined, you have to determine which resources and assets of the company could become affected by each identified risk/threat.

Assets and company resources can be categorized as follows:

To secure company assets and resources from all identified security risks, you have to determine which security configurations can match the security requirements of the organization.




Bookmark Planning Server Security

最新のブログ投稿


著作権2008年の技術-よくある質問です。 すべての権利。