マイクロソフト株式会社 コンサルティング本部

1. MSプラットフォームにおける SAPシステムセキュリティ対策（設計・運用） マイクロソフト株式会社　コンサルティング本部

2. GOAL • Windows環境における、SAPR/3のセキュリティー設計、運用の概要を説明します。 • H/W・S/W・N/W構成設計、パッチ管理運用に関してご紹介いたします。 • セキュリティ更新プログラムの適用頻度を減らすことにポイントをおいた設計・運用をご紹介いたします。 • 一年に一度程度のセキュリティ更新プログラムの適用でも十分にセキュリティの確保が可能となり、運用負荷の低減、高可用性の実現も可能となります。

3. AGENDA • 過去の脆弱性の整理 • セキュアな環境のための設計、運用 • ハーデニング • パッチ管理（リスク評価を中心として）

4. 過去の脆弱性の整理

5. 脆弱性の整理　１ 1999-2004で見つかった脆弱性の数 1999年　　61 2000年　　100---年の初めにWindows2000を発売 2001年　　60---年の終わりにWindowsXPを発売 2002年　　72 2003年　　51---6月にWindows2003を発売 2004年　　39（11/22現在） ※この見つかった脆弱性の数にはOS、IE、OFFICE、各種プロダクトを ※含んでいます。またサーバ製品、デスクトップ製品に関しても含んでいます。 ※また、リスクの非常に低いものから、高いものまで含んだ値です。

6. 攻撃傾向の変化 • VIRUS・ワームの感染経路の変化 　　（インターネットの普及により） • メディア経由型 • メール経由型 • ネットワーク経由型 • VIRUS・ワームのアタックポイントの変化 • 不注意（FD経由、マクロ利用、メール添付ファイル） • メール添付型のVIRUSはいぜん多い。（対象はクライアント） • 悪意あるWEBサイト、VIEWER等の脆弱性の利用 • フィッシング詐欺は急増している。 （対象はクライアント） • 匿名攻撃が可能な脆弱性の利用 • Windows特有ポート（NETBIOS関連ポートへの攻撃）

7. 脆弱性の整理　２ １．ネットワーク経由匿名攻撃が可能 ２．管理者権限の取得が可能 サーバ製品かつリスクの非常に高い脆弱性は 11個（Winodws2000Server11/383）です。 MS01-0332001/06/19IIS（現実的な回避策あり） MS02-0392002/07/15SQLServer MS03-0072003/03/18IIS（現実的な回避策あり） * MS03-0262003/07/17OS * MS03-0392003/09/11OS * MS03-0432003/10/16OS（現実的な回避策あり） * MS03-0492003/11/12OS MS03-0512003/11/12IIS（現実的な回避策あり） * MS04-0072004/02/11OS(ANS) * MS04-0112004/04/14OS * MS04-0122004/04/14OS ※狙われる対象数等を考慮にいれると　最もリスクの ※高い脆弱性は　6個　（ポートフィルタ設定されていない場合）となります。 ※（6/383）

8. 脆弱性を狙ったVIRUS 2003-2004で悪用された脆弱性 2003年 * MS02-039 SQLSlammer MS03-014 Mimail * MS03-026 Blaster MS01-020 Swen 2004年 * MS04-011 Sasser *　：　サーバを狙う可能性があるもの

9. WindowsServer2003は？ WindowsServer2003の脆弱性は？ Windows　２０００　Server　の　1/5以下 ・設計当初からのセキュリティの考慮 ・デフォルト設定の強化 ※但し、前のスライド記述のもっともリスクの ※高い脆弱性の数（6個）はW2K3でもリスクが高い。 ！！！！SP1！！！！

10. SAPサーバ環境では？ • SAPサーバでは、基本的にIE,MAILを使用しません。 • SAP環境で使うポートは、3ｘｘｘが中心です。 • サブネット単位で殆どのポートを遮断可能である。 • ポートフィルタリング（特にNETBIOS関連）されているNETWORKでは、現実的に緊急度の高い脆弱性数は以下のみと考えることもできます。 • MS04-0072004/02/11OS(ANS)

11. 脆弱性の整理　まとめ • 全ての脆弱性が高リスクではありません。 • １ヶ月以内程度に対策が必要が脆弱性は少ない。 ※設計、運用を一定レベルにすることのより 設計重要ポイント：ハーデニング 運用重要ポイント：パッチマネージメント、特にリスク評価 ※リスクの極小化、可用性の最大化が可能となります。 • アドホックな対策は不要となり、６ヶ月から一年に一度程度の定期保守運用で十分に対策が可能となります。 とはいえ、Blasterワームは脆弱性 公開後２５日で出回ったのでは？ SASSERは、15日、、、

12. セキュアな環境のためのサーバ設計、運用の考慮点セキュアな環境のためのサーバ設計、運用の考慮点

13. トータルセキュリティ対策の重要性 • 制度・技術の両面から、運用管理を重視した対策が必要 • 全体は中長期的な計画で実施 • 着手可能なシステム構築・運用からの実施も可能 パッチマネージメント ポリシー運用 危機管理手順 ウィルス/不正 アクセス監視 制度面 技術面 セキュリティ 監査 アセスメント 安全第一 ポリシー作成 セキュアな システム構築 （多層防御） 運用ガイド ライン セキュリティ ホール調査 リスク分析 コンサルティング トレーニング

14. 多層防御 予期出来ない攻撃からシステムを守るための考え方です。複数のディフェンスラインを設置することで防御力を高めます。 • マルチレイヤ アプローチの使用 • 攻撃者にとっての検知されるリスクを高める • 攻撃者が成功する可能性を低くする ポリシー、規定、および意識 物理セキュリティ ACL、暗号化 データ アプリケーション アプリケーションの強化、ウイルス対策 OS の強化、更新プログラム管理、認証、HIDS ホスト 内部ネットワーク ネットワーク セグメント、IPSec、NIDS 境界部 ファイアウォール、VPN 隔離 警備員、施錠、および追跡装置 ユーザー教育

15. 運用・展開の技術的アプローチDefense-in-Depth Security Model • さまざまなレイヤの技術を組み合わせてセキュリティ対策を行う • 管理された社内ネットワークがインターネットのような管理外ネットワークに接続されている場所で不正侵入を防ぐ Perimeter Defenses 「境界線を防衛する」 Network Defenses 「ネットワークを防衛する」 • 社内ネットワークセグメントごとに異なる性質を考慮し、パケットを制限したり認証させたりするネットワーク設計を行なう Host Defenses 「ホストOSを防衛する」 • クライアントとサーバーをセキュリティ設定や修正パッチなど適用して強固にする Application Defenses 「アプリケーションを防衛する」 • アプリケーションが固有のデータや機能に対するセキュリティの実装をする Data Defenses 「データを防衛する」 • データの重要性に応じてアクセス制御や暗号化などの適切な保護を行なう

16. ハードニングとは 定義：SAP システムの稼動に最低限必要なプラットフォーム　　　機能、通信機能のみを残すこと 効果１：セキュリティの強化- SAP システムが無用な脆弱性リスクにさらされる事を防止し、　　　　　　コンピュータウイルス等による攻撃を最大限ブロックできる 効果２：高可用性の確保- システム停止を伴うことが多いセキュリティ更新プログラム　　　　　の適用頻度を最低限にとどめる事ができる 効果３：低い運用コストの維持- ユーザーサイドでのテストが必要なセキュリティ更新プログラム　　　　　の適用頻度を最低限にとどめる事ができる

17. セキュアな設計・設定（ハードニング） セキュアなNETWORK設計 • FIREWALL、ROUTERにネットワークの分断 • サブネット設計 • パケットフィルタリング設計

18. WWW（社外用） WWW（ITS 用) WWW（EP 用) 適切なサブネット設計 WWW FTP 電話回線など Web DMZ セグメント RAS Router WWW（社外用） DNS Mail VPN RAS セグメント Proxy Firewall等 社内サーバーセグメント 社内セグメント File WWW（ITS 用) Mail Directory WWW（EP 用) DNS SAP サーバーセグメント ITS EP SAP DB ・・・

19. パケットフィルタリング設計 • SAP システムに不要な通信をブロックする為のパケットフィルタリングを実施します。 • 方法１：ファイアウォール、ルータ、レイヤ３スイッチ、SAP Router などの配備（各サブネット単位） • 方法２：IPSec ポリシースクリプトの適用（各ホスト単位） • 方法３：サブネット単位、ホスト単位双方を組み合わせにより、よりセキュアな環境に

20. <参考>R/3 が利用する TCP ポート 詳細情報は、WP　「5.2APシステムが稼動するうえで利用される（宛先）ポート」

21. <参考>Web AS, ITS が利用する TCPポート SAP SAP SAP ITS

22. セキュアな設計・設定（ハードニング） セキュアなベースライン設計・設定 • OSレベルのベースライン設定 • RDBMSレベルのベースライン設定 • WEBサーバレベルのベースライン設定

23. ベースライン設定（セキュリティテンプレート）ベースライン設定（セキュリティテンプレート） • Windows Server 2003 セキュリティガイドと添付のテンプレートを利用して効率よくハードニング • http://www.microsoft.com/downloads/details.aspx?FamilyId=8A2643C1-0685-4D89-B655-521EA6C7B4DB&displaylang=en#filelist

24. セキュリティー運用（パッチマネージメント）セキュリティー運用（パッチマネージメント） • パッチ適用運用（パッチマネージメント） • 脆弱性に対するリスク評価 • 脆弱性情報の収集 • リスク評価、対策の検討 • パッチ適用運用 • 定期パッチ適用運用（6ヶ月～一年に一度程度） • 1.適用フロー、プロセス明確化（検証環境　-->　本番環境） • 2.承認ルートの明確化 • 3.適用時の検証手順・内容の明確化 • 4.展開手順の明確化・システム化 • 緊急時パッチ適用運用

25. セキュリティ維持のプロセス 実施項目 作業内容 情報収集 セキュリティ脆弱性情報収集 現状分析 自社での影響と緊急度の判定 展開の計画策定 ステージング環境によるテスト実施 本番適用とロールバック パッチ展開 全社のポリシー適用状況の監視 ポリシー違反のフードバックプロセス実施 結果監視

26. 情報収集＆現状分析 • 毎月第２水曜日（日本時間）に、「月間セキュリティ情報サイト」より脆弱性情報をチェック • http://www.microsoft.com/japan/technet/security/bulletin/monthly.asp • それぞれの脆弱性に対し、以下のポイントでリスクを評価します。 • SAP システムのサーバー群に関与するか？ • 一般的な「最大深刻度」のレベルは？ • 一般的は情報であり、お客様環境にとっての緊急度、深刻度とは一致しないことも多い。 • ハーデニングは有効か？ • ハードニングにより、リスクは低くなっている（リスクがない）可能性が高い。 • お客様にとっての緊急度、深刻度は？ • お客様独自の適用判断基準に適合するのか？ • 「回避策」はあるか？

27. 現状分析（リスク評価＆適用判断） • それぞれの脆弱性に対して、アクションを決定 • セキュリティ更新プログラムを適用しない • 適用不要 • SAP サーバーに関係ない、ハードニング等によりお客様にとっての緊急度・深刻度が非常に低い、お客様基準の適用対象外である • 「回避策」、ハードニングを実装 ※適用しない場合は、サービスパックで包括的に適用することを ※お勧めいたします。 • セキュリティ更新プログラムを適用する • 定期的（６ヶ月から一年間隔）スケジュール時に適用 • ハードニング等によりお客様にとっての緊急度・深刻度が低い、お客様基準の定期適用対象である • 緊急適用 • ハードニング等も有効でなく、お客様にとっての緊急度・深刻度が高い、お客様基準の緊急適用対象である

28. リスク評価例（脆弱性評価マトリクス） • 3.3.3.3　各企業別の緊急度判断 別紙 • 判断項目 • 影響を受けるのか？ • 影響を受けるOSがあるか？ • 影響を受ける機能、プロダクトがあるか？ • 匿名攻撃が可能か？（ポートが開いているだけで攻撃が可能） • 特権取得可能か？（特権の昇格が可能） • 有効な回避策がない • 各企業におけるハードニングが有効でない？ ※判断例　上記を全て満たす場合　緊急、それ以外は定期適用とする。

29. パッチ展開＆結果監視 • 当該セキュリティ更新プログラムが SAP 環境での障害事例がないかをチェック • SAP Note 30478, 62988, 664607 • 開発・品質保証環境でテストしてから、本番へ適用 • 最低限、以下のテスト・確認を行う • セキュリティ更新プログラムのインストール • SAP の起動と停止 • チェックリストに基づいた確認 • 2.3.1　稼動確認 • 3.4.2.2　テスト環境での稼動確認 • セキュリティ更新プログラムのアンインストール • セキュリティ更新プログラム適用後の一定期間は、経過を観察する • SAP システムの稼動に問題が生じた場合 • セキュリティ更新プログラムのアンインストール • SAP Note に従った問題解決

30. セキュリティー運用 • アカウント管理 • ローカルアカウント、ドメインアカウントの考慮 • 権限設定、管理、監査の考慮 • メンテナンス性も考慮した設計（ドメイン、OU）

31. セキュリテイ監視 • ANTI-VIRUS製品によるチェック・防御 • ANTI-VIRUS GATEWAY製品によるチェック・防御 • IDS、IPSによるチェック • ログ監視

32. まとめ

33. まとめ • 本セションでは、外部からの攻撃（VIRUS等）に対するセキュリティ対策（設計・運用）に関してお話ししました。 • ハーデニング • パッチマネージメント（特にリスク評価） • この実装により、以下が実現可能です。 • セキュリティの強化 • 高可用性の確保 • 低い運用コスト • Microsoft はプラットフォームベンダーとして、Windows Server 他のセキュリティ強化、脆弱性解消に今後も努めていきます

34. マイクロソフトが提供するサービス • コンサルティングサービス • http://www.microsoft.com/japan/consulting/default.asp • サポートサービス • プロフェッショナル・サポート • http://support.microsoft.com/gp/prof_service • プレミア・サポート • http://support.microsoft.com/gp/premier

35. SAP関連コンサルティングメニュー

36. SAP関連コンサルティングメニュー

37. SAP関連コンサルティングメニュー

38. Go to MS/SAP Solution Site !!http://www.microsoft.com/japan/business/sap/default.mspx

40. さらに、視野を広げて！ （体制、クライアント、スタンダード）

41. 体制 • 経営層を巻き込んだ体制作り • 情報システム部よりの方針を、トップダウンで徹底できるような体制・ポリシー・権限が必要と考えております。トップを巻き込んだ体制が非常に重要です。

42. クライアント • VIRUSの入口の強化（持込PC、リモートアクセス等） • VIRUS・ワームの入り口はクライアントPCのケースが殆どです。社内スタンダードでないクライアントPCのセキュリティー強化は非常に重要です。 • リモートアクセス（RAS、VPN、、） • ルール面での対策：厳密なルール（OS、Anvi-Virus、PFW、、） • システム面での対策：ANTI-VIRUS、パターンファイル、PFW状況のチェック可能なVPN装置、VPNGETEWAY装置、W2K3のconnectionnamageradministration Kit • モバイル使用PC、個人所有PC、外部ベンダー持込PC • ルール面での対策：厳密なルール（OS、Anvi-Virus、PFW、、） • システム面での対策：検疫システム（DHCP利用、認証VLAN、、）

43. スタンダード • 開発スダンダード（ロジックにより脆弱性） • クロスサイトスクリプティング • クエリ文字列の偽造 • Cookieの偽造 • 、、、 ※脆弱性の極小化のためにはスタンダードが必要 • プロジェクトチームスタンダード • 開発者使用PCのスタンダード（パッチ運用、ANTIVIRUS、ドメイン管理等） • セキュリティールール、体制、プロセス、罰則