IIS4.0編6 - インターネットセキュリティ

第六章セキュリティ

インターネットにコンピューターを接続すると、インターネットを介して世界中の人からのアクセスが可能になる。ウェブサーバーへの接続は善意の目的のもとに行われるべきものであるが、中にはネットワークの内部にまで不正に侵入する悪意を持ったユーザーも存在することを想定しなければならない。Windows NT オペレーティングシステムでは、侵入者から自分のシステムを守ることができる。IISはWindows NTセキュリティ機構に基づいて、さらに監視やセキュリティ機能を提供する。

6-1、フォルダーとファイルへのアクセス権

○NTFS アクセス権

NTFS アクセス権はWindows NTのユーザーあるいはグループアカウントに適用される。

	フルコントロール：ファイルアクセス権の変更＋「変更」
	変更：作成、編集、追加、属性変更、削除＋「読み取り」
	読み取り：フォルダとファイル名表示、ファイルを開いて読む、プログラムファイルの実行
	アクセス権なし

○IISアクセス権

IISアクセス権はNTFSアクセス権とは違い、ウェブサイトにアクセスする全てのユーザーに適用される。

wpe5.jpg (18501 バイト)

	読み取り：読み取りアクセス権を設定するとホームフォルダあるいは仮想ディレクトリに格納されているファイルの読み取りとダウンロードが可能になる。
	書き込み：書き込みアクセス権を設定するとフォルダへのファイルのアップロードとファイルの内容の変更が可能になる。ただしHTTP 1.1プロトコルのPUT機能をサポートするブラウザでのみ書き込みアクセスを実行できる。

ログアクセス：ログアクセス権を設定すると設定したフォルダーへの訪問者の記録をログファイル内に残すことができる。

ディレクトリブラウジングを許可する：ディレクトリの参照が有効になっていて、デフォルトのドキュメントが指定されていない場合はウェブサイト内のHTMLファイルのディレクトリの一覧をユーザーが見ることができる。

IISアクセス権とNTFSアクセス権が設定された場合、制限の強いほうのアクセス権が適用される。

6-2、IISの認証方式

認証とはユーザーが本人であることを確認するプロセスである。IISはユーザー認証をし、そのユーザーがどのリソースにアクセスできるかを制御する。認証を得ていないユーザーがIIS 4.0上のリソースへアクセスするようなことは絶対にあってはいけない。IIS 4.0でWebサイトを構築するときには「匿名アクセス」、「基本認証」、「Windowsチャレンジ／レスポンス」の3つの認証方法から選択できる。FTPについても匿名アクセスおよびユーザー名とパスワードを使用する2つの認証方法がある。

○匿名アクセス

ウェブユーザーはインターネットゲストアカウント（IUSR_computername）を使用してコンピュータにログオンし、ユーザー名とパスワードを入力する必要がない。ただしIISサーバーへのローカルログオンのみ許可される。ネットワーク上のその他のサーバーへのアクセスはできない。ウェブサービスを提供しているサーバーに対する権限もインターネットゲストアカウントに許可されたもののみに限定される。匿名アクセスではユーザー名の詐称や盗んだパスワードによる機密情報へのアクセスを防げる。不特定のユーザーにアクセスを許可するウェブサイトやウェブアプリケーションの場合は、匿名方式のアクセスを許可するのが一般的である。

インターネットゲストアカウントはIISのインストール時に無作為抽出で生成されるパスワードと一緒に自動的に作成される。たとえばコンピュータ名がwebserverの場合には、匿名アクセスアカウント名は IUSR_webserverになる。

注意：

インターネットゲストアカウントはIISサーバーのGuestsグループにも追加される。IISサーバーのGuestsグループに与えられたアクセス権はインターネットゲストアカウントにも適用される。

PDCあるいはBDCに作成されたユーザーアカウントは自動的にドメインユーザーグループのメンバーになるので、PDCあるいはBDC上にIISをインストールすれば、インターネットゲストアカウントはドメインユーザーグループのメンバーになる。その結果、匿名のユーザーがドメインユーザーグループと同じアクセス権を持つというセキュリティ上の問題が生じる。この問題を修正にはUser Manager for Domainsを使用してインターネットゲストアカウントをドメインユーザーグループから取り除いて、ゲストグループに加える。

匿名アクセスの許可にはインターネットサービスマネージャで、WWW サービスまたはFTP サービスをダブルクリックしてそのプロパティシートを表示し、[サービス] タブを開いてWWWサービスの場合、[匿名を許可] チェックボックスをオンにし、FTPサービスの場合、[匿名の接続を許可する] チェックボックスをオンにする。

○基本認証

サーバーへのアクセスに際してWindows NTのユーザー名とパスワードが要求される。基本認証ではWindows NTのユーザー名とパスワードは暗号化されずに送信される。そのため、ネットワークパケットを盗み見されるとユーザー名とパスワードを知られてしまう可能性がある。

○Windows NT チャレンジ/レスポンス

サーバーへのアクセスに際してWindows NTのユーザー名とパスワードが要求される。Windows NTチャレンジ／レスボンスではユーザー名とパスワードが暗号化されるので、インターネット上でも安全に認証情報を送信できる。

6-3、Secure Socket Layer (SSL)

SSLはインターネット上の通信をセキュリティ面で保護する一般的な方法である。SSL 3.0プロトコルでは送受信データが暗号化され、Webサイトにアクセスするユーザーとの間に安全な通信経路が確立される。SSLはWebコンテンツの信憑性を保証し、特定のWebサイトにアクセスするユーザーを正確に識別できる。管理者はIIS Internet Service Managerのチェックボックスを選択して、Secure Channelサービスを自分のWebサイトに適用する。サーバー証明がクライアントに提示されるので、クライアントはIIS 4.0サーバーのIDを認証することができる。

6-4、サーバーヘのアクセスの許可または拒否

サーバーヘのアクセスを許可または拒否するようIISを設定する（サーバーにアクセスできるホストやネットワークを制限する）方法もある。たとえば、ある特定のIPアドレスからのアクセスを拒否することでIISのサーバーヘのアクセスを個人単位およびネットワーク単位で制限できる。IISの管理ツールを使用すると、IPアドレスやドメイン名によるアクセス制限を簡単に設定できる。