ネットワークセキュリティは大丈夫?--よくある設計ミス10選

文:Brien Posey 翻訳校正:石橋啓一郎
2009-11-13 13:04:00
  • このエントリーをはてなブックマークに追加

 ネットワークセキュリティの確保は、疑いなくIT部門の最も重要な機能の1つだ。ところが、ネットワークセキュリティの設計上、簡単に実践出来ることを見逃している組織をよく見かける。この記事では、ネットワークの安全性を脅かし、企業資産を危険にさらすよくある誤りについて紹介する。

1:設定したら忘れる

 私が最初に説明したいのは、設計上の問題と言うよりは、計画の問題だ。この問題には、私が「設定したら忘れる」と呼んでいるメンタリティが関係している。これは、組織がネットワークのセキュリティを向上させることには力を入れておきながら、立ち止まってセキュリティプランを再評価することはしていない場合に起こる。セキュリティに対する脅威は常に変化しており、それに合わせてセキュリティアーキテクチャも変化する必要がある。これを実現するためには、セキュリティ上のニーズを定期的に再評価するのが一番だ。

2:ファイアウォールに必要以上のポートを開ける

 われわれは、ファイアウォールに多くのポートを開けることは悪いことだと知っているが、どうしても必要な場合もある。Microsoft Office Communication Server 2007 R2を例に取ってみよう。外部からのアクセスを許そうとする場合には、1ダースほどのポートを開ける必要がある。これに加え、OCS 2007 R2では、さまざまなポートを動的に割り当てる。では、セキュリティ管理者はどうすべきなのだろうか。

 最善の問題解決方法は、リバースプロキシ(たとえばMicrosoftのForeFront Threat Management Gatewayなど)を利用することだ。リバースプロキシはインターネットとさまざまなポートを開ける必要のあるサーバとの間に置かれる。ポートを開けることは避けて通れないものの、リバースプロキシはリクエストを横取りしてフィルタリングし、その後それらのリクエストを意図されていたサーバに渡すという動作をする。これによって、サーバを外界から隠し、悪意を持ったリクエストがサーバに到達しないようにすることができる。

3:1台のサーバを兼用する

 経済が壊滅状態にある現在、既存のサーバ資源を最大限に利用することに対する圧力が高まっている。このため、複数のアプリケーションや、アプリケーションの複数の役割を、1台のサーバにホストさせたいと思うこともあるだろう。この慣習は必ずしも悪いものではないが、コード行数が増えれば、脆弱性が存在する可能性も増すという法則がある。

 アプリケーションごとにサーバを1台用意するのは現実的でない場合もあるが、少なくともどのアプリケーション、どのアプリケーションの役割を1台にまとめるかについては、よく検討する必要がある。たとえば、Exchange 2007を使う組織には、少なくとも3つの役割のサーバ(ハブトランスポートサーバ、クライアントアクセスサーバ、メールボックスサーバ)が必要となる。これら3つの役割を1台のサーバでホストすることも可能だが、Outlook Web Accessを外部のユーザーに対して提供しようとしている場合には、役割の統合は避けるべきだ。クライアントアクセスサーバは、Outlook Web Accessの提供にIISを利用している。このため、クライアントアクセスサーバの役割と、ハブトランスポートサーバおよびメールボックスサーバの役割を同じサーバ上においてしまうと、メールボックスデータベースをインターネットに晒してしまうことになる。

  • 新着記事
  • 特集
  • ブログ
このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]