Windows Vista® には、お使いの環境で Windows Vista を実行しているコンピュータのマルウェアに対する保護を強化することが可能な新しいテクノロジが搭載されています。これらの機能とサービスは、前の章で説 明したグループ ポリシー オブジェクト (GPO) に含まれている設定に加えて使用することができます。これらの設定の中にもマルウェア対策に有効なものがあります。
Windows Vista に搭載されている Microsoft® Internet Explorer® 7 にもマルウェアから保護するいくつかの強化機能も含まれています。迷惑ソフトウェアがインストールされるのを防止するテクノロジ、および個人データが不正 に転送されるのを防ぐテクノロジにより、ブラウザのセキュリティおよびプライバシー保護が大幅に向上されています。
この章では、これらのテクノロジの概要と、それらの構成方法の推奨事項について説明します。これらの推奨事項は、第 1 章の「セキュリティ ベースラインの実装」で説明した適切な GPO に実装できます。ただし、これらのテクノロジの設定の大半は、お使いの環境に固有な情報を必要とすることに注意してください。このため、これらの追加設定 の推奨値のほとんどは、前の章で説明した GPO に含まれていません。
これらのすべてのテクノロジは、既定で、エンタープライズ クライアント (EC) 環境で Windows Vista を実行しているコンピュータで強化された保護機能を提供するように構成されています。ただし、これらのテクノロジの動作と機能をカスタマイズしてお使いの 環境でマルウェアに対する保護をさらに強化することが可能な、いくつかの新しいグループ ポリシー設定があります。
この章は、Windows Vista と Internet Explorer 7 の新しいセキュリティ機能と強化されたセキュリティ テクノロジに関する次の 2 つのセクションで構成されています。
Windows Vista 防御テクノロジ
Windows Vista には、マルウェアに対する強化された防御能力を提供する、いくつかの新しいテクノロジと強化されたテクノロジが搭載されています。これらのテクノロジには、次のようなものがあります。
- ユーザー アカウント制御 (UAC)
- Windows Defender
- Windows ファイアウォール
- Windows セキュリティ センター
- 悪意のあるソフトウェアの削除ツール
- ソフトウェア制限ポリシー
こ れらの保護テクノロジに加え、標準ユーザー アカウントでログインすることもセキュリティ上非常に重要であることを理解しておく必要があります。これらのすべての保護テクノロジを使用している場合で も、自分のコンピュータに管理者レベルでアクセスすることができるユーザーを保護しないと、それらのユーザーを危険にさらすことになります。
ユーザー アカウント制御
Windows Vista には、標準のユーザー権限とタスクを、管理アクセス権を必要とするものから分離することが可能なユーザー アカウント制御 (UAC) があります。UAC は、標準ユーザー アカウントでのユーザー エクスペリエンスを高めることでセキュリティを向上します。ユーザーは、管理者レベルの権限でログインすることなく、より多くのタスクを実行したり、高い アプリケーション互換性を利用することができます。これにより、マルウェアの影響、不正なソフトウェアのインストール、および許可されていないシステム変 更を低減できます。
注 : 以前のバージョンの Windows オペレーティング システムでは、完全な管理者権限を持たずにアプリケーションのインストールなどのシステム タスクを実行することが可能な Power Users グループが用意されていました。UAC では Power Users グループは使用せず、Windows Vista でそれに付与された権限は削除されました。ただし、他のバージョンのオペレーティング システムとの下位互換性のために、Power Users グループは引き続き使用することができます。Windows Vista で Power Users グループを使用するには、新しいセキュリティ テンプレートを適用して、システム フォルダとレジストリの既定の権限を変更し、Power Users グループのメンバに Windows XP の Power Users グループと同じ権限を付与する必要があります。
Windows Vista では、標準ユーザーは、以前は管理アクセス権を必要としたがセキュリティに悪影響を及ぼさない、数多くのタスクを実行できるようになりました。標準ユー ザーが実行できるようになったタスクの例として、タイムゾーン設定の変更、セキュリティ保護されたワイヤレス ネットワークへの接続、承認されているデバイスと Microsoft ActiveX® コントロールのインストールがあります。
さら に、UAC テクノロジの管理者承認モード機能により、Windows Vista を実行しているコンピュータを一部のマルウェアから保護することができます。管理者はほとんどのプログラムとタスクを標準ユーザー権限で実行できます。 ユーザーが、新しいソフトウェアのインストールやシステム設定の変更などの管理タスクを実行する必要がある場合、タスクを実行する前にまず同意が求められ ます。ただし、このモードは、標準ユーザー アカウントと同じ保護レベルは提供せず、クライアント コンピュータ上に既に存在している悪意のあるソフトウェアが昇格されたソフトウェアを改ざんできないことは保証しません。また、昇格されたソフトウェア自 体が、昇格後に悪意のある動作を試みないことも保証しません。
このテクノロジを活用するには、Windows Vista で新しいグループ ポリシー設定を構成して UAC の動作を制御します。前の章のグループ ポリシー設定は、UAC の規定された動作が実現されるように構成されています。これらの設定の規定を確認して、お使いの環境のニーズを満たすように設定が構成されていることを確 認することをお勧めします。設定の規定については、付録 A の「セキュリティのグループ ポリシー設定」を参照してください。
リスク評価
管理者特権を持っているユーザーは、各自の管理機能を有効にしてログオンします。これにより、ユーザーが知らないうちに管理タスクが間違ってまたは不正に実行される可能性があります。以下はその例です。
- ユーザーが、悪意のある Web サイトまたは感染している Web サイトから知らないうちにマルウェアをダウンロードしてインストールする。
- ユーザーが、マルウェアが含まれている電子メールの添付ファイルを開くように仕向けられ、マルウェアが実行されてコンピュータにインストールされる。
- リムーバブル ドライブをコンピュータに接続し、それが自動再生され、悪意のあるソフトウェアの自動実行が試行される。
- ユーザーが、コンピュータのパフォーマンスまたは信頼性に影響を与える可能性のあるサポートされていないアプリケーションをインストールする。
リスク軽減
推 奨される軽減方法は、日常の作業を実行するのに、すべてのユーザーが標準ユーザー アカウントを使用してログオンする方法です。ユーザーは、管理者レベルのアクセスが必要なタスクを実行する場合のみ、管理者レベルのアカウントに昇格して ください。また、管理者特権を必要とするタスクを実行しようとしたときに、ユーザーにメッセージが表示されるように UAC が設定されていることも確認してください。
リスク軽減に関する考慮事項
UAC により、前の「リスク評価」の項で説明したリスクを軽減できます。ただし、次のことも考慮する必要があります。
- 社内にアプリケーション開発者が存在する場合は、「 Windows Vista Application Development Requirements for User Account Control Compatibility (英語) 」をダウンロードして確認することをお勧めします。このドキュメントでは、Windows Vista 用の UAC 準拠アプリケーションの設計および開発方法について説明しています。
- UAC により、UAC に準拠していないアプリケーションで問題が生じることがあります。このため、アプリケーションを展開する前に、UAC でアプリケーションをテストすることは重要です。アプリケーションの互換性テストの詳細については、Microsoft TechNet® の「 デスクトップ展開 」 Web サイトを参照してください。
- UAC の管理者資格情報と特権昇格の要求により、多くの一般的な管理タスクの必要な手順数が増加します。増加した手順が管理スタッフに与える影響を評価してくだ さい。UAC の追加メッセージがこれらのユーザーに多大な影響を与える場合は、UAC ポリシー設定 [管理者承認モードでの管理者に対する昇格時のプロンプトの動作] を [確認を要求しないで昇格する] に構成できます。ただし、このポリシーを変更すると、お使いの環境のセキュリティ リスクが増加し、Windows セキュリティ センターによりこれが報告されます。
- 管 理者特権を持っているユーザーは、管理者承認モードを無効にしたり、アプリケーションをインストールする際に UAC が資格情報を要求しないようにしたり、昇格時のプロンプトの動作を変更できます。このため、組織内のコンピュータの管理者特権にアクセスできるユーザーの 数を制御することは重要です。
- 管 理スタッフに 2 つのアカウントを割り当てることをお勧めします。日常の作業では標準レベルのアカウントを使用し、特定の管理タスクを実行する必要がある場合に管理者レベ ルのアカウントでログオンして、タスクを実行し、ログオフして標準ユーザー アカウントに戻るようにします。
- このガイドのグループ ポリシー設定では、標準ユーザーは特権を昇格できなくなります。これが推奨される設定で、管理者レベルに特別に設定されているアカウントだけが管理タスクを実行できるようになります。
- ア プリケーションを、間違って管理用アプリケーションまたはユーザー アプリケーションとして指定すると (たとえば、「管理者」または「標準」トークンなどで)、Windows Vista は正しくないセキュリティ コンテキストのもとでアプリケーションを起動します。
軽減プロセス
UAC のすべての機能を調査して、軽減プロセスを開始します。詳細については、「 Windows Vista Beta 2 ユーザー アカウント制御のステップ バイ ステップ ガイド 」および「 Getting Started with User Account Control on Windows Vista (英語) 」を参照してください。
この軽減プロセスを使用するには
- 管理タスクを実行することができるユーザーの数を判断します。
- 管理タスクが必要な頻度を判断します。
- 管理者が、UAC プロンプトに同意するだけで管理タスクを実行できるようにするか、管理タスクを実行するのに特定の資格情報を入力が求められるようにするかを決定します。
- 標準ユーザーが、管理タスクを実行するために権利を昇格できるようにするかを決定します。このガイドの一部として適用されているポリシー設定では、標準ユーザーが各自の権限を昇格できないようになっています。
- アプリケーションのインストールの処理方法を判断します。
- 要件を満たすように UAC グループ ポリシー設定を構成します。
グループ ポリシーを使用して UAC のリスクを軽減する
UAC 設定は、グループ ポリシー オブジェクト エディタ内の次の場所で構成できます。
コンピュータの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\セキュリティ オプション
次の表に、Windows Vista のこのテクノロジに特有のセキュリティ設定情報を示します。
表 2.1 UAC 制御設定
ポリシー オブジェクト | 説明 | Windows Vista の既定値 |
ビルトイン Administrator アカウントのための管理者承認モード | このセキュリティ設定は、ビルトイン Administrator アカウントの管理者承認モードの動作を決定します | 無効 ‡ |
管理者承認モードでの管理者に対する昇格時のプロンプトの動作 | このセキュリティ設定は、管理者に対する権限昇格時のプロンプトの動作を決定します。 | 同意を要求する ‡ |
標準ユーザーに対する昇格時のプロンプトの動作 | このセキュリティ設定は、標準ユーザーに対する権限昇格時のプロンプトの動作を決定します。 | 資格情報を要求する ‡ |
アプリケーションのインストールを検出し、昇格をプロンプトする | このセキュリティ設定は、システム全体のアプリケーションのインストール検出動作を決定します。 | 有効 |
署名され検証された実行ファイルのみを昇格する | このセキュリティ設定は、権限の昇格を要求するすべての対話型アプリケーションで PKI 署名チェックを実行します。エンタープライズの管理者は、ローカル コンピュータの信頼された発行者ストア内の証明書を使用して、管理者アプリケーション許可一覧を制御できます。 | 無効 |
安全な場所にインストールされている UIAccess アプリケーション昇格のみ | このセキュリティ設定は、UIAccess 整合性レベルでの実行を要求するアプリケーションがファイル システムの安全な場所に存在していなければならないという要件を課します。 | 有効 |
管理者承認モードですべての管理者を実行する | このセキュリティ設定は、システム全体のすべての UAC ポリシーの動作を決定します。 | 有効 |
昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える | このセキュリティ設定は、昇格要求が対話型のユーザー デスクトップまたはセキュリティで保護されたデスクトップのどちらにプロンプトを表示するかを決定します。 | 有効 |
各ユーザーの場所へのファイルまたはレジストリの書き込みエラーを仮想化する | このセキュリティ設定は、レガシ アプリケーションの書き込みエラーが、レジストリおよびファイル システムの両方の定義済みの場所にリダイレクトされるようにします。 | 有効 |
この表では、各設定の概要を示しています。それぞれの設定の詳細については、グループ ポリシー オブジェクト エディタの [説明] タブを参照してください。
UAC の資格情報のユーザー インターフェイス (UI) は、グループ ポリシー オブジェクト エディタの次の場所で構成できます。
コンピュータの構成\管理用テンプレート\Windows コンポーネント\資格情報のユーザー インターフェイス
次の表に、Windows Vista のこのテクノロジに特有のセキュリティ設定情報を示します。
表 2.2 UAC の資格情報のユーザー インターフェイスの設定
ポリシー オブジェクト | 説明 | Windows Vista の既定値 |
Enumerate administrator accounts on elevation (昇格時にすべての管理者アカウントを表示) | ユーザーが実行中のアプリケーションを昇格しようとしたときに、既定ですべての管理者アカウントが表示されます。この設定を有効にすると、ユーザーは、各自の権限を昇格させるときに必ずユーザー名とパスワードの入力が求められます | 未構成 ‡ |
資格情報の入力に信頼済みパスを要求する | この設定を有効にすると、Windows Vista はユーザーに、信頼されたパスを使用して資格情報を入力するように求め、トロイの木馬プログラムやその他の悪意のあるコードがユーザーの Windows 資格情報が盗み出されないようにします。このポリシーは、ログオン認証タスク以外のタスクにのみ影響を与えます。セキュリティ上の最善策として、このポリ シーは有効にしてください。 | 未構成 ‡ |
この表では、各設定の概要を示しています。それぞれの設定の詳細については、グループ ポリシー オブジェクト エディタの [説明] タブを参照してください。
ActiveX Installer Service は、グループ ポリシー オブジェクト エディタ内の以下の場所で構成できます。
コンピュータの構成\管理用テンプレート\Windows コンポーネント\ActiveX Installer Service
次の表に、Windows Vista の ActiveX Installer Service に固有なセキュリティ設定情報を示します。
表 2.3 ActiveX Installer Service