DCOM機能の制限方法について

2011/09/04 04:52

このQ&Aのポイント

DCOM機能の制限方法について考えています。レジストリ設定やローカルセキュリティポリシーのセキュリティオプションを変更することで制限を行うことができますが、設定には注意が必要です。
エクスプローラやサービスの起動ができなくなる可能性があります。インターネット側やLAN内の他PCからのDCOM関係の要求は制限し、自PC内のエクスプローラやサービスは通常通り使用できるようにするためにはどのような設定が適切か悩んでいます。
現在の設定では、コンピュータアクセス制限とコンピュータ起動制限を行っていますが、さらに適した設定があれば教えていただきたいです。使用OSはWindows7ProfessionalSP1です。

DCOM機能の制限をしたいです。

IE'erというプログラムを使って、IEやOfficeをリモートから起動させられたりパラメータを取得されたりする、という記事を読んで恐ろしいと思い、DCOMをぎりぎりまで制限したいと考えています。そこでまずレジストリ設定で"EnableDCOM"をNに変更したのですが、他にもローカルセキュリティポリシーのセキュリティオプション内にもDCOMの制限が出来る設定があり、ここでも出来る限りの制限を設けたいと思っています。 …が、Microsoftのページではエクスプローラやサービスが起動しなくなる恐れがあると記載されており、実際適当に拒否にチェックを入れていくとExplorer.exeが起動不能に陥ってしまいます。インターネット側から、またLAN内の他PCからのDCOM関係の要求は全て制限しつつ、自PC内のエクスプローラやサービスは通常通り使用できるようにするにはどう設定を組み合わせればよいでしょうか？ルータとPFWで135番へのインバウンド接続はシャットアウトしていますが、心配なのでOS側でも適切に遮断したいと考えています。自PCの用途はネットサーフィンとメール程度で、リモートアクセスやNASへのアクセス、サーバーの運用は考えていません。使用OSはWindows7ProfessionalSP1です。とりあえず自分なりに設定してみた感じだと、・コンピュータアクセス制限ローカルアクセス|リモートアクセス Everyone 許可|拒否 Performance Log Users　拒否|拒否 Distributed COM Users　拒否|拒否 ANONYMOUS LOGON 拒否|拒否・コンピュータ起動制限ローカルからの起動|リモートからの起動|ローカルからのアクティブ化|リモートからのアクティブ化 Everyone　許可|拒否|許可|拒否 Administrators　許可|許可|許可|許可 Performance Log Users　拒否|拒否|拒否|拒否 Distributed COM Users　拒否|拒否|拒否|拒否こんなところですが、設定に不備があったり、もっと適した設定があれば指摘していただきたいです。よろしくお願いします。

xdfsa11a
お礼率99% (1054/1057)

ネットワーク
回答数1
ありがとう数1

みんなの回答 （1）
専門家の回答

質問者が選んだベストアンサー

ベストアンサー

lv4u
ベストアンサー率27% (1862/6715)

2011/09/04 08:07 回答No.1

個人的には、ある程度一般的に「止めても良い」とされるＤＣＯＭ機能をストップさせて、あとはファイアーウォールソフトを導入して、「このソフトの通信を認める・認めない」を指定すればいいと思っています。ただし、最近のスパイウエアなどは、通常、通信が認められるはずのアプリを乗っ取ったりするので、これで万全とはいえませんがね。私の場合は、攻撃側の高度に洗練された手法を雑誌やセキュリティのセミナーで知ると、もう「Windowsを使う限り、完璧な防御は無理！」と考えています。なので、「ちょっと変かな？やられたかな？」と思えたときに、初めの状態（ＯＳとよく使うアプリをインストールしてメールなどの設定完了状態）に戻せるように、その時点でのハードディスクのＣドライブのイメージをバックアップして、数ヶ月とか半年ごとに、その状態に戻しています。（メールやマイドキュメントなどはＤドライブ以降に割り当ててあります）

質問者

お礼 2011/09/04 10:47

回答ありがとうございます。セキュリティーのセミナー、機会を見つけて行ってみたいと思います。ファイアウォールソフトは現在KasperskyからComodoに乗り換えてちょこちょこ弄くってます。プロセス毎の許可・拒否の学習設定はテンプレートがあると助かるのですが、試行錯誤していくしかないみたいです。ただlv4uさんの言われるように、ちゃんと学習させていても信頼しているプロセスに注入されるとダメみたいですね。ほとんど使われないプロセスに乗り移ってから、よりよく使われるプロセス（IEとか）に乗り移るものがあるとか。しかも出回る前にきちんと検出されないか検証したり、自身をアップデートするプログラムも入れておくなど、すごいなと感心してしまいます。ある程度インストールや設定を済ませてあるバックアップは私も取っているのですが、なんというか、あまりにリカバリを掛ける間隔が短いので参っている次第です。SELinuxは設定次第では要塞になるとも言われているみたいですし、ディストリビューションを決め打ちして、セキュリティ設定を狙って書いている書籍やウェブを参考に一個一個穴を塞いでいくのがよいのかもしれませんね... 話がずれましたが、Linuxの話は別で質問を立てるとして、DCOMの話はある程度の目途がつくまで質問を受け付けたいと思います。一般的に止めても良いとされるDCOM機能が何なのか、それと原則止めてはいけないDCOM機能は何なのか、その辺のことを伺いたいです。（自分でも調べていきますが）よろしくお願いします。