Windowsサーバーを保護するための9つの知っておくべきヒント

Windows Serverは、サーバーに電力を供給するために最も一般的に使用されているオペレーティングシステムの1つです。通常はビジネスに関係する操作の性質上、WindowsServerのセキュリティはエンタープライズデータにとって重要です。

デフォルトでは、WindowsServerにはいくつかのセキュリティ対策が講じられています。ただし、Windowsサーバーが潜在的な脅威に対して十分な防御力を備えていることを確認するために、さらに多くのことを行うことができます。 WindowsServerを保護するための重要なヒントをいくつか紹介します。

1.Windowsサーバーを最新の状態に保つ

当たり前のことのように見えるかもしれませんが、Windows Serverイメージがインストールされているほとんどのサーバーには、最新のセキュリティとパフォーマンスの更新がありません。最新のセキュリティパッチをインストールすることは、悪意のある攻撃からシステムを保護する上で非常に重要です。

新しいWindowsサーバーをセットアップした場合、またはWindowsサーバーのクレデンシャルを受け取った場合は、コンピューターで利用可能なすべての最新の更新プログラムをダウンロードしてインストールしてください。機能の更新はしばらく延期できますが、セキュリティ更新が利用可能になったらインストールする必要があります。

2. WindowsServerCoreを介してEssentialOSコンポーネントのみをインストールします

Windows Server 2012以降では、オペレーティングシステムをコアモードで使用できます。 Windows Serverコードモードは、GUIなしでWindows Serverをインストールする最小限のインストールオプションです。つまり、機能が制限されます。

Windows Server Coreのインストールには、多くの利点があります。明らかなのはパフォーマンスの利点です。同じハードウェアを使用して、未使用のOSコンポーネントを通じてパフォーマンスを向上させることができます。これにより、RAMとCPUの要件が減り、稼働時間と起動時間が短縮され、パッチが少なくなります。

パフォーマンス上の利点は素晴らしいですが、セキュリティ上の利点はさらに優れています。より少ないツールと攻撃ベクトルでシステムを攻撃することは、完全にGUIベースのオペレーティングシステムをハッキングするよりも困難です。 Windows Server Coreは、攻撃対象領域を減らし、Windows Server RSAT（リモートサーバー管理）ツールと、CoreからGUIに切り替える機能を提供します。

3.管理者アカウントを保護する

WindowsServerのデフォルトのユーザーアカウントの名前は管理者です。 。その結果、ブルートフォース攻撃のほとんどはこのアカウントを標的としています。アカウントを保護するために、アカウントの名前を別の名前に変更できます。または、ローカル管理者アカウントを完全に無効にして、新しい管理者アカウントを作成することもできます。

ローカル管理者アカウントを無効にしたら、ローカルゲストアカウントが使用可能かどうかを確認します。ローカルゲストアカウントは安全性が最も低いため、可能な限り邪魔にならないようにするのが最善です。未使用のユーザーアカウントにも同じ扱いをします。

定期的なパスワードの変更、数字、文字、特殊文字を含む複雑で長いパスワードを必要とする優れたパスワードポリシーは、ブルートフォース攻撃からユーザーアカウントを保護するのに役立ちます。

4.NTP構成

クロックドリフトを防ぐために、NTP（ネットワーク時間同期）サーバーと時刻を同期するようにサーバーを構成することが重要です。ほんの数分の違いでも、Windowsログインを含むさまざまな機能が損なわれる可能性があるため、これは不可欠です。

組織は、内部クロックを使用するか、同期のためにパブリックインターネットタイムサーバーに依存するネットワークデバイスを使用します。ドメインメンバーであるサーバーは通常、ドメインコントローラーと時刻を同期します。ただし、スタンドアロンサーバーでは、リプレイ攻撃を防ぐために外部ソースにNTPを設定する必要があります。

5.Windowsファイアウォールとウイルス対策を有効にして構成する

Windowsサーバーには、ファイアウォールとウイルス対策ツールが組み込まれています。ハードウェアファイアウォールを備えていないサーバーでは、Windowsファイアウォールは、トラフィックを必要な経路に制限することにより、攻撃対象領域を減らし、サイバー攻撃に対する適切な保護を提供できます。とはいえ、ハードウェアベースまたはクラウドベースのファイアウォールは、より強力な保護を提供し、サーバーの負荷を軽減します。

ファイアウォールの構成は面倒な作業であり、最初は習得するのが難しい場合があります。ただし、正しく構成されていない場合、許可されていないクライアントがアクセスできる開いているポートは、サーバーに大きなセキュリティリスクをもたらす可能性があります。また、将来の参照のために、その使用のために作成されたルールとその他の属性をメモしておいてください。

6.セキュアリモートデスクトップ（RDP）

RDP（リモートデスクトッププロトコル）を使用する場合は、インターネットに公開されていないことを確認してください。不正アクセスを防ぐには、デフォルトのポートを変更し、専用IPアドレスにアクセスできる場合はRDPアクセスを特定のIPアドレスに制限します。サーバー上のすべてのユーザーに対してデフォルトで有効になっているため、RDPにアクセスして使用できるユーザーを決定することもできます。

また、強力なパスワードの使用、2要素認証の有効化、ソフトウェアの最新の維持、高度なファイアウォール設定によるアクセスの制限、ネットワークレベルの認証の有効化、アカウントのロックアウトの設定など、RDPを保護するための他のすべての基本的なセキュリティ対策を採用します。ポリシー。

7.BitLockerドライブ暗号化を有効にする

Windows 10 Proと同様に、オペレーティングシステムのサーバーエディションには、 BitLockerと呼ばれるドライブ暗号化ツールが組み込まれています。 。サーバーの物理的なセキュリティが侵害された場合でもハードドライブ全体を暗号化できるため、セキュリティの専門家からは最高の暗号化ツールの1つと見なされています。

暗号化中に、BitLockerはコンピューターに関する情報を取得し、それを使用してコンピューターの信頼性を検証します。確認が完了すると、パスワードを使用してコンピューターにログインできます。疑わしいアクティビティが検出されると、BitLockerは回復キーの入力を求めます。復号化キーが提供されない限り、データはロックされたままになります。

ハードドライブの暗号化を初めて使用する場合は、Windows10でBitLockerを使用する方法に関するこの詳細なガイドを確認してください。

8. Microsoft BaselineSecurityAnalyzerを使用する

Microsoft Baseline Security Analyzer（MBSA）は、ITプロフェッショナルがサーバーのセキュリティ管理を支援するために使用する無料のセキュリティツールです。サーバーのセキュリティ問題や不足している更新を検出し、Microsoftのセキュリティ推奨事項に従って修復ガイダンスを推奨できます。

MBSAを使用すると、脆弱なパスワード、SQLおよびIISの脆弱性の存在、個々のシステムで欠落しているセキュリティ更新プログラムなどのWindows管理上の脆弱性がチェックされます。また、IPアドレス、ドメイン、およびその他の属性によって、個人またはコンピューターのグループをスキャンすることもできます。最後に、詳細なセキュリティレポートが作成され、HTMLのグラフィカルユーザーインターフェイスに表示されます。

9.ログ監視を構成し、不要なネットワークポートを無効にする

Windows Serverおよびインストールされているコンポーネントで必要とされない、または使用されないサービスまたはプロトコルはすべて無効にする必要があります。ポートスキャンを実行して、インターネットに公開されているネットワークサービスを確認できます。

ログイン試行の監視は、侵入を防ぎ、ブルートフォース攻撃からサーバーを保護するのに役立ちます。専用の侵入防止ツールを使用すると、すべてのログファイルを表示および確認し、疑わしいアクティビティが検出された場合にアラートを送信できます。アラートに基づいて、適切なアクションを実行して、IPアドレスがサーバーに接続するのをブロックできます。

Windows Serverの強化により、サイバー攻撃のリスクを軽減できます！

Windows Serverのセキュリティに関しては、システムのセキュリティリスクを定期的に監査することで、常に最新情報を入手することをお勧めします。まず、最新の更新プログラムをインストールし、管理者アカウントを保護し、可能な場合は常にWindows Server Coreモードを使用し、BitLockerを使用してドライブの暗号化を有効にします。

WindowsServerはWindows10のコンシューマーエディションと同じコードを共有し、同じように見える場合がありますが、構成と使用の方法は大きく異なります。