～「IIS 6.0」を初期設定でオフにするなどセキュリティを重視した設計に

Microsoft、「Windows Server 2003」のセキュリティ詳細を明らかに

■URL
http://www.microsoft.com/presspass/press/2003/jan03/01-23SecurityInnovationsPR.asp

　米Microsoftは23日、今春リリース予定の次期Windowsサーバー「Windows Server 2003（以下WS2003）」のセキュリティコンセプトを明らかにした。IIS 6.0をデフォルト設定をオフにして出荷するなど、セキュリティ面を重視した内容となっている。

　WS2003は、Windowsサーバー「Windows 2000 Server」の後継機にあたる最新版。度重なる延期により、リリースは今春にされる予定だ。2002年1月にBill Gates会長が発表したセキュリティに関するポリシー「Trustworthy Computing」に基づいて、セキュリティ強化を最優先事項として設計されているという。

　実際に行なわれたセキュリティ強化策としては、「Internet Information Services（IIS）6.0」の再設計や、Webサービスやアプリケーションを動作させるプロセスを低い権限で実行するようにした。また、「.NET Framework」上でアプリケーションなどを動作させるための実行エンジン「Common Language Runtime(CLR)」のプログラムミスを減らし、安全な環境構築を目指す。

　また、出荷時の初期設定も変更する。特徴的なのは、Webサーバー「IIS 6.0」を初期設定の段階でオフにし、Internet Explorerのセキュリティ機能は「High」にすることだ。初期設定段階でこのような設定を行なうことで、「Code Red」のようなウイルスの脅威を軽減を図る。また、パスワードのセキュリティに関しても、リモートログインの際に必ずパスワード入力が要求されるようになった。そのほかにも、「PKI（公開鍵）」サービスの強化や、「Protected Extensible Authentication Protocol（PEAP）」への対応なども行なわれている。

　マイクロソフトでは、今後も引き続きセキュリティ強化対策を行なっていくとしている。今夏には、Windows Server 2003向けのアドオン技術「Secure Configuration Wizard」を提供する。また、既存ガイダンスページ「Patterns and Practices」を拡張し、認証管理インフラやモバイル接続インフラなどに関するガイダンスの追加などを実施する。

(2003/1/24)

[Reported by otsu-j@impress.co.jp]