Tool」と「URLScan」を導入する。Toolとは、IISの安全性を向上させるために必要な設定を一括して行うためのツールで、利用形態に応じた「テンプレート」を選択するだけで、必要な設定やファイルの削除作業などを自動的に行ってくれるものだ。サンプル・ファイルや不要なスクリプト・マッピングの削除も、選択したテンプレートにあわせて、一括して自動的に行ってくれる。Toolと同時にインストールされる追加機能で、クライアントから送信されてくるHTTPリクエストの内容をフィルタリングし、不正アクセスの可能性が高いリクエストを判別して遮断する機能を提供する。Redワームが送信するような、バッファ・オーバーフローを引き起こすことを狙った異常に長いHTTPリクエストが遮断対象となる。Toolのインストール時に、インストールするかどうかを選択できる。Lockdownツール」のページから入手できる。画面に続いて、テンプレートの選択画面が表示される。これは、IISの用途に応じてあらかじめ「テンプレート」が用意されていて、簡単に最適な設定が行われるようにするためのもので、以下のテンプレートがある。Lockdownツールのインストールを行ってみよう。ウィザードの最初では、使用するテンプレートを選択する。Toolを使うと、Webサーバの用途に応じて、IIS各部の設定を自動的に行ってくれる(不要な機能を使わないように設定してくれる)。settings]チェック・ボックスをオンにすると、あとから設定内容が確認できる。テンプレートを選択したら、次へ進む。その次の画面では、使用されるサービスだけがチェックされた画面が表示される。これは、選択したテンプレートに応じて必要なサービスが自動的にチェックされたもので、特に設定を変更する必要はなく、そのまま先に進めばよい。選択したテンプレートに応じて、ここでは自動的に必要な機能だけが選択されている。利用するサービスだけチェックすること。これはHTTPプロトコル(Webサーバ)。これはFTPプロトコル。不要な場合はチェックを外すこと。Toolによって「削除」される。次へ進むにはこれをクリックする。その次の画面では、拡張子に対するスクリプトのマッピングを設定する。ここで注意が必要なのは、この画面でチェック・ボックスをオンにしたものが「無効にされる」という点だ。(.asp)]だけチェックがオフになっている。その結果、.aspのマッピングは有効なままとなる。無効にするスクリプト・マッピングを選択するここでチェック・ボックスをオンにすると、それに対するスクリプト・マッピングが「無効」にされる。チェック・ボックスをオフにすると、それに対するスクリプト・マッピングは有効なままになる。これは.aspファイル(ASP)に対するマッピング。チェック・ボックスをオンにすると、それに対するスクリプト・マッピングが削除される。次へ進むにはこれをクリックする。次の画面では、IISの機能やファイルのうち、削除するものを指定する。これに加えて、システム・ユーティリティやWebコンテンツ用のフォルダに対する適切なアクセス権の自動設定と、WebDAV機能の無効化も設定できる。Toolでまとめて処理する方が楽だ。削除するIISコンポーネントの指定この画面では、不要なIISの機能やファイルを削除するための指示を行う。削除する機能やファイルの選択。ここにはシステムにインストールされているコンポーネントが表示されているので、チェック・ボックスをオンにすると、それが削除される。アクセス権の設定を行うための指定。匿名アクセス用アカウントによる、これらの機能へのアクセスを禁止するために使用する。HTTPプロトコル経由でファイルをやりとりするWebDAV機能を無効にするためにはこのチェック・ボックスをオンにする。次へ進むにはこれをクリックする。prevent...]とは、マイクロソフトの日本語Webサイトなどで「システム・ユーティリティやWebコンテンツ用のフォルダに対する適切なアクセス権の自動設定」と訳されているものに相当する。これは、「CMD.EXE」などのシステム・ユーティリティの実行権限と、Webコンテンツ用のフォルダに対する書き込み権限を、匿名アクセス用アカウントから削除する設定を行うものだ。それぞれ、個別に削除するかどうかを指定でき、チェックをオンにした場合に削除が実行される。次の画面ではURLScanをインストールするかどうかを選択する。URLScanとは、先に述べたように、HTTPリクエストに含まれるURLの内容を調べて、正当なリクエストとは異なる内容のURLを持つリクエストを拒否する機能である。Toolに統合されているので、このツールだけを個別にダウンロードしてインストールすることはできない)。URLScanの設定URLScanをインストールするかどうかを指定する。これをインストールすると、HTTPリクエストに含まれるURLの内容を調べて、正当なリクエストとは異なる内容のURLを持つリクエストを拒否することができる。URLScanをインストールするにはこれをチェックする。問題がなければこれを有効にするべきであろう。次へ進むにはこれをクリックする。最後に、ここまで選択してきた設定内容が一覧表示されるので、リストをスクロールさせて内容を確認し、問題がなければ[次へ]をクリックして設定を実行する。Toolで実行される作業内容の一覧が表示されるので、それを確認しておく。実行される作業内容の一覧。これをクリックすると実際に作業が行われる。最後に表示される[完了]ボタンをクリックするとすべての作業が終了する。Toolの実行完了後、IEを起動して、アドレス・バーに「http://localhost/」と入力してみよう。ToolによってIISのヘルプ・ファイルが削除されたので、ヘルプ・ファイルを表示するように指定された右側のIEの画面は「ファイルが見つかりません」というエラーになっている。左側のIEでは「http://localhost/localstart/localstart.asp」のコンテンツが表示されているので、ASPの実行は可能になっていることが確認できる。ASPの動作を無効にした場合は、こちらもコンテンツが表示されなくなるはずだ。これにより、必要最低限の機能だけを使える状態でIISが実行されていることが確認できる。これまで行ってきた手順により、既知のセキュリティ・ホールについても対策がなされているので、初期状態と比較すると、大幅に安全性が向上しているといえる。Toolによって設定が完了したあと、IEで「http://localhost/」を表示させたところ。右側のヘルプファイルは削除されているので、表示されない。.asp拡張子に対するスクリプト・マッピングは有効なままなので、こちらのウィンドウにはASPファイルが表示されている。Toolによって削除されたのでエラーとなっている。最後にこのように、安全・確実に運用できるIISの環境を構築するには、OSをセットアップしたあとで行わなければならない作業がかなり多い。セキュリティ・ホールの存在とそれに対する対策は、程度の差はあれ、どのようなソフトウェアにもつきものであるという点を認識しておく必要がある。必要な情報やツールがだれでもアクセスしやすい形で提供されていることを考えると、対策する手間さえ惜しまなければ、IISは状況が恵まれているという考え方もできるかもしれない。(2017/7/21)キーボード配列が異なる言語に誤認識された場合の対処方法を紹介。