OS Security Checker

Windows/Linux(CentOS、Ubuntu)OSのセキュリティ設定を点検するサービスです。 セキュリティに最も必要な項目を中心に選別し、点検を実施します。

点検できるOS

  • Linux (64 bit)

    • CentOS 6.3
    • CentOS 6.6
    • CentOS 7.2
    • CentOS 7.3
    • Ubuntu 16.04
    • Ubuntu 18.04
  • Windows (64 bit)

    • Windows Server 2012 R2
    • Windows Server 2016

OSセキュリティの点検項目

Linuxの点検項目

点検項目 点検項目に関する説明
rootアカウントのリモートアクセス制限 rootアカウントは、システムを管理するとても重要なアカウントです。 直接ログインを許可すると不法侵入者のターゲットになりやすく、rootアカウントの奪取を目的とする総当たり攻撃が頻繁に発生しています。rootアカウントのリモートアクセスを制限してユーザーが作成した別途のアカウントでログインした後、suコマンドを利用してroot権限に変更してから作業したほうが安全です。
/etc/shadowファイルのうち、パスワードのないアカウント パスワードを暗号化せずにプレーンテキストで保存すると、情報漏えいが発生した時に大きな被害を被ります。 「/etc/shadow」ファイルに暗号化したパスワードを保存できるようにして、管理者権限のあるユーザーのみ読み取りできるように制限する必要があります。
UIDが0のアカウント削除(rootを除く) UID(User Identification)値が0のアカウントはrootと同じ権限を持っているため、システムにアクセスできます。 したがって、root以外にはUID値が0のアカウントが存在しないように確認して処置する必要があります。
パスワードの最小の長さ設定 アカウントのパスワードの設定が短いと、総当たり攻撃(Brute force attack)やパスワード類推攻撃(Password guessing)に脆弱です。 ユーザーがアカウントのパスワードを8文字以上に設定できるように、パスワードの最小値に関するポリシーを8文字以上に設定する必要があります。
パスワードの最大有効期間の設定 ユーザーのパスワードは、頻繁に変更することをお勧めします。 同じパスワードを長期間使用すると、以前発生した外部からの侵入により漏えいしたパスワードによって継続した攻撃にさらされます。 ユーザーがパスワードを定期的に変更できるように、ポリシーで誘導するこどが望ましいです。
管理者グループに含める最低限のアカウント システムを管理するrootアカウントが属するグループは、システム運用ファイルに対するアクセス権限が付与されているため、最低限のアカウントのみ登録しておく必要があります。 管理者グループに一般ユーザーが登録されている場合、管理者権限でシステムにアクセスできます。 許可されていないユーザーによるファイルの修正や変更などの悪意のある作業により、システム運用に被害が及ぶ場合があります。 したがって、管理者グループに対する管理が必要となります。
同じUIDを使うアカウントの使用禁止 UNIXシステムは、すべてのユーザーアカウントにUIDを付与し、そのUIDでユーザー名、パスワード、ホームディレクトリなどのようなユーザー情報を確認します。 重複するUIDが存在する場合、システムで同じユーザーとして認識してしまうため、問題が生じることがあります。 また、攻撃者による個人情報および関連データの流出などが発生した場合にも、監査証跡が難しくなります。 同じUIDを使うアカウントがないように管理する必要があります。
ログインの必要がないアカウントのシェル権限点検 一般的に、nobodyのようなアカウントの場合、ログインシェルは必要ありません。 ログインの必要がないアカウントを利用してシステムにアクセスし、ユーザーのコマンドを解析して悪用する可能性があるため、/bin/falseシェルを付与してログインを制限する必要があります。
Session Timeoutの設定 アカウントにアクセスした状態で放置された場合、権限のないユーザーに重要なシステムが露出して悪意のある目的で使用される恐れがあります。 一定時間の間、イベントが全く発生しない場合、アクセスを強制終了するSession Timeoutの設定が必要です。
UMASK設定の管理 システム内でユーザーが新たに作成するファイルのアクセス権限は、UMASK値によって決まります。 UMASK値が適切ではない場合、正しくない権限のファイルが作成されることがあります。 UMASK値は「027」または「022」をお勧めします。
ホームディレクトリの権限設定 ユーザーのホームディレクトリに含まれた設定ファイルが非認可者により捏造されると、正常なユーザーサービスが制限されます。 該当するホームディレクトリの所有者以外の一般ユーザーがそのホームディレクトリを修正できないように制限する必要があります。
Anonymous FTPの無効化 Anonymous FTP(匿名FTP)を使用する場合、悪意のあるユーザーがシステムに関する情報を取得する恐れがあります。 特に、ディレクトリに書き込み権限が設定されていると、local exploitを使用して様々な攻撃ができるようになります。 したがって、必ず認可されたユーザーのみアクセスできるように設定し、権限のないユーザーのFTP使用を制限する必要があります。
重要ファイルパーミッション 644:/etc/passwd 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
重要ファイルパーミッション 400:/etc/shadow、/etc/gshadow 一部の重要なシステムファイルについては、root権限で読み取りのみできるように設定する必要があります。 該当するファイルを任意に変更すると、システム運用に大きな問題が発生する可能性があるため、書き込み権限を制限する必要があります。
重要ファイルパーミッション 644:/etc/hosts 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
重要ファイルパーミッション 644:/etc/(x)inetd.conf 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
重要ファイルパーミッション 644:/etc/syslog.conf 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
重要ファイルパーミッション 644:/etc/services 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
重要ファイルパーミッション 600:/etc/hosts.lpd 一部の重要なシステムファイルについては、root権限でのみ読み取り・書き込みができるように設定する必要があります。
cronファイルの所有者および権限の設定 644: /etc/cron.allow、/etc/cron.deny 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。
atファイル パーミッション 644:/etc/at.deny、/etc/at.allow 重要なシステムファイルについては、root権限でのみ読み取り・書き込みできるように設定する必要があります。他の権限では、読み取りのみを許可してください。

金融保安院の点検項目(fin_linux)

金融保安院を基準としたLinux OSのセキュリティ設定を点検します。 合計89項目に対して点検を行います。

Windowsの点検項目

点検項目 点検項目に関する説明
Administratorアカウント名の変更 一般的に、管理者アカウントをAdministratorに設定します。 この際、ログインの試行と失敗の回数に制限がないことを悪用して、ユーザーのパスワードに対する類推攻撃を繰り返して試みる恐れがあります。 管理者アカウントの名前を変更することで、攻撃者がパスワードだけでなくアカウント名を簡単に類推できないように設定する必要があります。
Guestアカウントの使用制限 Guestアカウントは、誰でもシステムにアクセスできる脆弱性を持っているため、使用を制限する必要があります。 大部分のシステムは、Guestアカウントを使用する必要がありません。 不特定多数のアクセスが必要な場合、Guestアカウントではない一般ユーザー向けのアカウントを作成して使用することをお勧めします。
アカウントロック臨界値の設定 アカウントロック臨界値に関するポリシー設定は、ユーザーアカウントロックを引き起こすログイン試行の失敗回数を決定します。 ロックされたアカウントは、そのアカウントに対する再設定を行うまで、またはアカウントロック期間に関するポリシー設定に指定された時間(分)が満了するまで使用できません。 1から999までのログイン失敗回数の値を設定したり、値を0に設定してアカウントがロックされないように指定できます。
任意のユーザーまたはすべてのユーザーアカウントに対して、パスワードの組み合わせを数千または数百万回試行するように総当たり攻撃を自動化できます。 ログイン失敗回数を制限すると、このような攻撃をほとんど無力化できます。
しかし、アカウントロック臨界値が構成されているドメインに対してDoS(サービス拒否攻撃)が仕掛けられる場合もあります。 悪意のあるユーザーが、プログラミング方式で組織のすべてのユーザーに対するパスワード攻撃を連続試行できます。 試行回数がアカウントロック臨界値より大きい場合、攻撃者はすべてのアカウントをロックできます。
「解読できる暗号化を使用してパスワードを保存」を使用しない 「解読できる暗号化を使用してパスワードを保存」に関するポリシー設定は、認証にユーザーパスワードが必要なプロトコルを使用するアプリケーションに対するサポートを提供します。 暗号化されたパスワードを解読できる方式で保存することは、暗号化されたパスワードの暗号解読ができるという意味です。 この暗号化を解読できる知識の豊富な攻撃者は、破損したアカウントを使用してネットワークリソースにログインできます。 したがって、アプリケーションの要求事項がパスワード情報を保護する必要性より重要ではない限り、ドメインのすべてのユーザーに対して「解読できる暗号化を使用してパスワードを保存」を使用しないように設定することをお勧めします。
「Everyoneの使用権限を匿名ユーザーに適用」を使用しない このポリシー設定は、デバイスに対する匿名アクセスのために付与される追加権限を決定します。 このポリシー設定を使用すると、匿名ユーザーがドメインアカウントと共有フォルダの名前を列挙し、その他特定活動を行うことができます。 例えば、この機能は管理者が相互信頼を維持または管理しない、既に信頼されているドメインのユーザーにアクセス権限を付与する場合に便利です。
基本的に、匿名アクセス用に作られたトークンにはEveryone SIDは含まれていません。 したがって、Everyoneグループに割り当てられた権限は匿名ユーザーに適用されません。
アカウントロック期間の設定 アカウントロック期間に関するポリシー設定は、ロックが自動解除されるまでロックされたアカウントのロック状態が続く時間(分)を決定します。 指定できる値の範囲は、1から99,999分までです。 0は、管理者が明示的にロックを解除するまでアカウントがロックされるように指定する値です。 アカウントロックの臨界値が0より大きい数字に設定されている場合、「アカウントロック期間」は「次の指定時間以降のアカウントロック数を元に戻す」設定より大きいか、同じでなければなりません。
パスワードの複雑性設定 ユーザーがパスワードを設定する際、アルファベット/数字/特殊文字をすべて含む強力なパスワードを設定できるように、パスワードの複雑性を設定することをお勧めします。 アルファベットと数字だけで構成されたパスワードは、現在公開されているパスワードクラックツールで簡単に類推できます。 このポリシー設定をパスワードの最小値である8と組み合わせると、単一パスワードに218,340,105,584,896以上の様々なパターンを使用できるようになります。 これにより、総当たり攻撃(Brute force attack)ができないように設定できます。
パスワードの最小値 パスワードの最小値に関するポリシー設定では、ユーザーアカウントのパスワードを構成できる最小文字数を決定します。 1文字から14文字以内の値を設定したり、文字数を0に設定して、パスワードを使用しないように設定することもできます。 パスワードの最小値を8文字以上に設定することをお勧めします。
パスワードの最大有効期間 パスワードの最大有効期間に関するポリシー設定は、システムでユーザーがPINを変更する前にPINを使用できる期間(日)を整数値で決定します。 パスワードが特定日数(1~999)後に満了するように設定するか、日数を0に設定してパスワードが満了しないように指定できます。
すべてのパスワード(最も複雑なパスワードを含む)は、パスワード類推攻撃により漏えいする恐れがあります。 一定期間が過ぎてもパスワードが有効な場合、侵害発生の可能性が高まります。 ユーザーがパスワードを頻繁に変えると、有効なパスワードが攻撃される危険性を減らせるだけでなく、誰かが不正に取得したパスワードを使用して行う不正ログインを防ぐこともできます。
パスワードの最小有効期間 パスワードの最小有効期間に関するポリシー設定は、システムでユーザーがPINを変更する前にPINを使用できる期間(日)を決定します。 パスワードが特定日数(1~999)後に満了するように設定するか、日数を0に設定してパスワードが満了しないように指定できます。
パスワードの変更に時間的な制約がない場合、過去によく使用していたパスワードを再使用できるようになるため、定期的にパスワードを変更するポリシーの効果がなくなります。 パスワードの最小有効期間に関するポリシー設定を0より大きい値で構成すると、直近のパスワード記憶設定を有効に使用して以前のパスワードの再使用を防ぐことができます。
最後のユーザー名の非表示 このセキュリティポリシー設定は、デバイスにログインした最後のユーザー名をセキュリティ設定済みのデスクトップに表示するかどうかを決定します。
このポリシーを使用するように設定すると、ログインに成功した最後のユーザーのフルネームとログイン画像はデスクトップに表示されません。 また、ユーザー切り替え機能が設定されている場合、フルネームとログイン画像は表示されません。 ログイン画面では、正規化したドメイン名(またはローカルユーザー名)とパスワードをリクエストします。
このポリシーを使用しないように設定すると、最後にログインしたユーザーのフルネームとログイン画像が表示されます。 この動作は、ユーザー切り替え機能を使用する場合と同様です。
最後にログインしたユーザー名がログインダイアログに表示される場合、攻撃者はこれを取得してパスワードを推測したり、総当たり攻撃を試みることができます。 実際にコンソールにアクセスできたり、ターミナルサービスを通じてサーバに接続できるユーザーに流出しやすいため、ユーザー名が表示されないように設定する必要があります。
直近のパスワード記憶 直近のパスワード記憶ポリシー設定は、以前のパスワードを再使用するまでユーザーアカウントと連携して使用する新しい固有のパスワード数を決定します。
パスワードの再使用は、すべての組織において最も重要な問題です。 多くのユーザーは、自分のアカウントに対して長期間同じパスワードを使用する傾向があります。 特定アカウントに対して同じパスワードを長い間使えば使うほど、総当たり攻撃(Brute force attack)を通じてパスワードを確認できる確率が高まります。 ユーザーがパスワードを変更する必要がありますが、過去のパスワードを再使用できる場合、適切なパスワードポリシーの効果は著しく低下します。
直近のパスワード記憶回数を低く設定すると、ユーザーは少数の同じパスワードを繰り返し使用できます。 また、パスワードの最小有効期間を設定しないと、ユーザーは既存のパスワードを再使用するために必要なだけ連続してパスワードを変更できます。
コンソールログイン時にローカルアカウントで空パスワードの使用を制限 「アカウント:コンソールログイン時にローカルアカウントで空パスワードの使用を制限」のポリシー設定は、空パスワードを使用するローカルアカウントに対して、リモートデスクトップサービス、Telnet、FTP(ファイル転送プロトコル)などのネットワークサービスを通じたリモートダイアログ型のログインを許可するかどうかを決定します。 このポリシー設定を有効化する場合、ローカルアカウントはリモートクライアントでダイアログ型、またはネットワークログインに必要な空ではないパスワードを含めなければなりません。
このポリシー設定は、コンソールで実際に行われるダイアログ型ログインやドメインアカウントを使用するログインに影響を与えません。 他社のアプリケーションの場合、リモートダイアログ型ログインを通じてポリシー設定を無視できます。
空パスワードは、コンピュータのセキュリティに深刻な脅威となるため、会社のポリシーと適切な技術的措置を通じて禁止する必要があります。 しかし、新しいアカウントを作成できるユーザーが、ドメインを基盤としたパスワードポリシー設定を無視したアカウントを作成する場合、そのアカウントは空パスワードを含めることができます。 例えば、ユーザーがスタンドアロンシステムを構築し、空パスワードを使用するアカウントを一つ以上作成すると、コンピュータをドメインに登録できます。 空パスワードを使用するローカルアカウントは作動を続けます。 その場合、アカウント名を知っている人は、そのアカウントと空パスワードを使用してシステムにログインできます。
不要なサービスの削除 一般的にシステムには必要のない脆弱なサービスが基本的にインストールされ、実行されています。このようなサービスまたはアプリケーションは、攻撃の対象になることがあります。 ユーザーの環境で必要のないサービスや実行ファイルは使用しないか、削除する必要があります。
IISサービスの起動点検 IISサービスは、WEBやFTPなどのサービスを提供する有用なものですが、プロファイリング、サービスの拒否、不正アクセス、任意のコード実行、情報開示、ウイルス、ワーム、トロイの木馬などの攻撃にさらされる恐れがあるため、必要のないサービスは中止しなければなりません。
FTPサービスの起動点検 基本的なFTPサービスは、アカウントとパスワードが暗号化されていないまま伝送され、簡単なSnifferによってもスニッフィングされる可能性があるため、FTPサービスは使用しないことをお勧めします。
- Sniffer:ネットワークトラフィックを監視して分析するプログラム。
DNS Zone Transferの設定 DNSサーバに保存されているドメイン情報を、承認されたDNSサーバではない外部に流出することは、セキュリティ上望ましくありません。 適切なセキュリティ設定を通じて、ドメイン情報の伝送を制限する必要があります。 DNSドメイン情報が外部に流出した場合、悪意のあるユーザーがその情報を利用してホームページと下位URL情報を入手し、Webアプリケーションの構造を予測して攻撃に活用できます。
ターミナルサービスの暗号化レベル設定 ターミナルサービスは、リモートサーバを管理する際にとても有用なツールですが、脆弱なパスワードの使用やアクセス制御の不適切な設定などにより、ハッキングの手段として悪用されることがあります。 ターミナルサービスが無駄に使用されていないか点検する必要があります。
SNMPサービスの起動点検 SNMPサービスは、システムの状態をリアルタイムに把握したり、設定するために使用するサービスです。 システムの主な情報の流出と不正修正を防ぐために、使用しない場合は中止することが望ましいです。
Telnetのセキュリティ設定 Telnetサービスは、プレーンテキストでデータを送受信するため、パスワード方式で認証を行う場合、IDとパスワードが外部に流出する危険性が高いです。 したがって、Telnetを利用する際には、ネットワーク上でパスワードを伝送しないNTLM認証のみ使用する必要があります。
※ WindowsサーバとTelnetサービスは、NTLM認証とパスワード認証方法を提供しています。
- NTLM認証:パスワードを伝送せずにnegotiate/challenge/responseの手続きに従って認証を実施
- パスワード認証:管理者とTelnetClientsグループに含まれているID/PWDで認証手続きを実施
ポリシーに応じたシステムロギングの設定 監査設定が構成されていないか、監査設定のレベルが低すぎる場合、セキュリティに関する問題が発生した際にその原因を把握するのが難しく、法的対応のための証拠を集めることも簡単ではありません。 しかし、監査設定のレベルが高すぎると、セキュリティログに不要な項目がたくさん記録されるため、非常に重要な項目と混同することがあります。 システムの性能にも深刻な影響を与える可能性があるため、法的要求事項と組織のポリシーに応じて、必要なログを残すように設定する必要があります。
リモートでアクセスできるレジストリパス Windowsによって使用されるすべての初期化と環境設定情報は、レジストリに保存されます。 したがって、レジストリに対する徹底したセキュリティが求められます。 レジストリ編集ソフトは、リモートアクセスでもそのキーを変更できますが、危険性が非常に高いため、ネットワークを通じたレジストリのアクセスを遮断しなければなりません。 リモートでレジストリにアクセスするには、管理者権限またはリモートアクセスのための特別なアカウントが必要です。 Windowsでは、リモートでレジストリにアクセスするリクエストを扱うために、リモートレジストリサービスを提供していますが、このサービスを中止することでレジストリに対するアクセスをすべて遮断できます。 やむを得ない場合を除いては、使用を中止することをお勧めします。
イベントログ管理の設定 ログの最大サイズは「10,240KB以上」に設定し、ログが保存されるスペースを十分に確保しなければなりません。 イベントログ管理は「イベントを上書きしない」に設定し、ログが自動的に上書きされて過去のログが削除されることがないように管理する必要があります。
ログインせずにシステム終了を許可 ログインダイアログで「システム終了」ボタンが有効化している場合は、ログインをしなくても不正にシステム終了ができるため、サービスを正常に運用できないことがあります。 システム終了ボタンを無効化することで、許可されていないユーザーがシステム終了する脅威を防ぐことができます。
SAMアカウントと共有の匿名列挙を許可しない Windowsでは、匿名のユーザーがドメインアカウント(ユーザー、コンピュータおよびグループ)とネットワーク共有名の列挙作業を行えます。 SAM(セキュリティアカウント管理者)アカウントと共有の匿名列挙が許可される場合、悪意のあるユーザーがアカウント名リストを確認し、その情報を使用してパスワードを推測したり、社会工学的な攻撃手法を使う恐れがあります。
Autologon機能の制御 Autologon機能を使用すると、侵入者がハッキングツールを利用してレジストリでログインアカウントとパスワードを確認できるため、Autologon機能を使用しないように設定する必要があります。
- Autologon:暗号化されてレジストリに保存されている代替証明を使用して自動的にログインする機能。
リムーバブルメディアのフォーマットと取り出しの許可 リムーバブルメディアのNTFSフォーマットと取り出しが許可されているユーザーを制限することで、ユーザーが管理権限を持っている任意のコンピュータにのみリムーバブルディスクのデータを移し、ファイルに対する所有権を取得してファイルを閲覧・修正可能にする必要があります。
ユーザーがプリンタドライバをインストールできなくする サーバにプリンタドライバをインストールする場合、悪意のあるユーザーが意図的に正しくないプリンタドライバをインストールして、コンピュータを故障させることがあります。 偽装した悪性コードをプリンタドライバにインストールできるため、ユーザーがプリンタドライバをインストールできないように設定する必要があります。
警告メッセージの設定 システムにログインを試みるユーザーに対して、管理者はシステムの不正な使用に対する警告ダイアログを表示して警戒することができます。 このような警告ダイアログは、悪意のあるユーザーに対して管理者が適切なセキュリティレベルでシステムを保護し、攻撃者の活動を注視していることを示唆して、攻撃の被害を間接的に減少させる効果が得られます。
LAN Managerの認証レベル LAN Managerの認証レベル設定を通じて、ネットワークログインに使用するChallenge/Responseの認証プロトコルを決定します。 この設定は、クライアントが使用する認証プロトコルのレベル、交渉済みのセッションのセキュリティレベルとサーバに使用する認証レベルに影響を及ぼすため、より安全な認証のためにNTLMv2を使用することをお勧めします。
※ NTLMv2は、Windows 2000、2003、XP以上でサポートされ、Windows 98、NTバージョンと通信する場合はパッチをインストールする必要があります。
- LAN Managerは、ネットワークを通じたファイルとプリンタの共有などのような作業時の認証を担当します。

に対する検索結果は~件です。 ""

    に対する検索結果がありません。 ""

    処理中...