Security Center:システムベースラインリスクに関する FAQ

システムベースラインリスク機能を使用するには、どのエディションの Security Center を購入する必要がありますか？

• Security Center の Advanced Edition、Enterprise Edition、または Ultimate Edition を購入する (サブスクリプションベースの Advanced、Enterprise、または Ultimate Edition を購入するか、従量課金ベースでホストおよびコンテナセキュリティを有効にし、エディションを Advanced、Enterprise、または Ultimate Edition にバインドする) ことで、ベースラインリスクチェック機能を追加費用なしで利用できます。

  Advanced、Enterprise、および Ultimate の各エディションでは、サポートされるベースラインチェック項目が異なります：

  • Advanced Edition：デフォルトのポリシーのみ使用でき、脆弱なパスワードのチェック項目のみをサポートしています。

  • Enterprise Edition および Ultimate Edition：すべてのチェックポリシーを使用できます。Enterprise Edition はコンテナセキュリティのチェック項目をサポートしておらず、Ultimate Edition はベースラインチェックのすべてのチェック項目をサポートしています。Alibaba Cloud ベースライン標準および多層防御体系 (MLPS) ベースライン標準に関連するチェック項目については、Linux システムでのワンクリック修復をサポートしています。

• Anti-virus Edition を使用している場合、または付加価値サービスのみを購入している場合は、Cloud Security Posture Management (CSPM) の有料版を購入できます。購入が完了すると、ベースラインリスクチェック機能を利用できるようになり、すべてのチェック項目にアクセスできるようになります。

詳細については、「ベースラインリスクチェック機能の有効化」をご参照ください。

ベースラインチェックの検証に失敗した場合はどうすればよいですか？

Security Center のシステムベースラインリスク機能が、修復されたリスク項目の検証に失敗した場合、サーバー上の Security Center エージェントがオフラインになっている可能性があります。

サーバー上の Security Center エージェントがオフラインの場合、Security Center のシステムベースラインリスクチェックを実行できません。サーバー上の Security Center エージェントがオンラインであることを確認するために、オフラインエージェントの問題をトラブルシューティングすることを推奨します。オフラインエージェントのトラブルシューティングの詳細については、「オフラインエージェントのトラブルシューティング」をご参照ください。

ベースラインと脆弱性の違い

• ベースラインとは、システムの構成と管理方法、または最小限のセキュリティ要件を詳細に記述したものです。ベースラインには、サービスとアプリケーションの設定、オペレーティングシステムのコンポーネント構成、権限の割り当て、管理ルールなどが含まれます。Security Center のシステムベースラインリスク機能は、オペレーティングシステムやサービス (データベース、サーバーソフトウェア、コンテナなど) における脆弱なパスワード、アカウント権限、ID 認証、パスワードポリシー、アクセス制御、セキュリティ監査、侵入防止などの安全でない設定を検出し、検出されたリスクに対する強化の提案を提供します。具体的なチェック項目については、「ベースラインチェックの内容」をご参照ください。

• 脆弱性とは、オペレーティングシステムの実装やセキュリティポリシーにおける欠陥のことで、オペレーティングシステムやアプリケーションソフトウェアのロジック設計の欠陥やコーディングエラーなどを指します。攻撃者はこれらの欠陥やエラーを悪用して、不正にシステムデータにアクセスして盗んだり、システムを破壊したりする可能性があります。システム管理者は、システムの脆弱性を速やかに対処し、修復する必要があります。そうしないと、深刻なセキュリティリスクが発生する可能性があります。詳細については、「脆弱性管理」をご参照ください。

チェック項目「Perform identity identification and authentication for users who log on to the system. Identity identification must be unique, and identity authentication information must meet complexity requirements and be changed on a regular basis | Identity authentication」が、ワンクリック修復と検証の後も失敗するのはなぜですか？

原因：対象のアセットに対してワンクリック修復を実行する際に、実際の適用シナリオに一致する 2 つのサブ項目が修復項目として選択されていません。ワンクリック修復タスクが配信された後、この 2 つのサブ項目は修復されず、チェック項目は依然として失敗します。

選択されていない 2 つのサブ項目は、[Set password expiration to 30 to 90 days] (値：90) と [Set root password expiration to 30 to 90 days] (値：60) です。これらのサブ項目が選択されていないことは、右側の [Fix Method] パネルで確認できます。

解決策：アセットがパスワードを使用しないログオン方法のみを使用している場合、Security Center のワンクリック修復機能はサポートされていません。他の構成項目が修復されていることを確認した後、アセット上のチェック項目に対して許可リストポリシーを設定することで、このチェック項目を修復できます。

チェック項目の詳細ページ下部にある [Risk Handling] エリアで、ステータスが [Not Passed] の対象アセットを見つけ、[Actions] 列の [Add to Allowlist] をクリックします。

チェック項目「Assign accounts and permissions to users who log on to the system」が失敗するのはなぜですか？

• 問題の説明：チェック項目「Assign accounts and permissions to users who log on to the system」の [Status] が [Not Passed] になっています。

  このチェック項目の [Fixing Suggestions] には、次の 3 つの項目が含まれています：

  1. 通常ユーザー、監査担当者、セキュリティ担当者の 3 人のユーザーを割り当てます。

  2. /etc/bashrc および /etc/profile の umask 値が 027 であることを確認し、source /etc/profile を実行して設定を適用します。

  3. 各ユーザーのホームディレクトリの権限が 750 またはそれより制限の厳しい値に設定されていることを確認します。

  以下に示すホスト構成 (ホームディレクトリの権限、ユーザー数、umask 値) を確認します。サーバー構成は、チェック項目「Assign accounts and permissions to users who log on to the system」の修復提案を満たしているように見えます。

  $ ll /home
  total 24
  drwxr-xr-x  6 root       root           4096 Jan 12  2024 ./
  drwxr-xr-x 20 root       root           4096 Apr 26 12:53 ../
  drwxr-x--- 11 xxx        xxx            4096 Sep 11 12:25 xxx/
  drwxr-x---  2       1002        1002 4096 Oct 25  2023 xxx2/
  drwxr-x---  2       1002        1002 4096 Jan 12  2024 xxx
  drwxr-x---  4 xxx xxx 4096 Mar 26  2024 xxx/

  # /etc/profile: sh(1) および Bourne 互換シェル (bash(1)、ksh(1)、ash(1) など) のためのシステム全体の .profile ファイル。
  
  if [ "${PS1-}" ]; then
    if [ "${BASH-}" ] && [ "$BASH" != "/bin/sh" ]; then
      # bash.bashrc ファイルはすでにデフォルトの PS1 を設定しています。
      # PS1='\h:\w\$ '
      if [ -f /etc/bash.bashrc ]; then
        . /etc/bash.bashrc
      fi
    else
      if [ "$(id -u)" -eq 0 ]; then
        PS1='# '
      else
        PS1='$ '
      fi
    fi
  fi
  
  if [ -d /etc/profile.d ]; then
    for i in /etc/profile.d/*.sh; do
      if [ -r $i ]; then
        . $i
      fi
    done
    unset i
  fi
  
  umask 027
  TMOUT=900

• 解決策：次のコマンドを実行して、ベースラインリスクチェックが検出した umask 値と、システム管理者アカウント以外のアカウント数を確認します。

  grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  
  cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l

  次の出力は、ベースラインリスクチェックがシステム管理者アカウント以外の 2 つのアカウントを検出したことを示しており、これはチェック項目の修復提案を満たしていません。

  xxx:~$ umask
  0027
  xxx:~$ grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep: /etc/bashrc: No such file or directory
  xxx:~$ grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  0027
  xxx:~$ cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l
  2

  ベースラインチェックの準拠範囲：

  • umask 準拠範囲：027 ～ 067 (上記の grep umask /etc/bashrc または grep umask /etc/profile コマンドを実行して現在の値を取得できます。)

  • アカウント数の準拠範囲：3 ～ 100 (システム管理者アカウントを除く。上記の cat /etc/passwd コマンドを実行して現在の値を取得できます。)

  アカウント数のチェックでは、root、halt、sync、shutdown などのシステムアカウントや、シェルが /bin/false または /sbin/nologin である非ログインアカウントは除外します。上記のアカウントを除外した後のアカウント数が準拠範囲内であれば、チェック項目は要件を満たしています。

  修復提案に基づき、サーバーにシステム管理者権限を持たないユーザーを追加し、Security Center で再度チェック項目を検証します。

ベースラインチェックポリシーの作成時に「illegal auth」エラーが表示されるのはなぜですか？

考えられる原因と解決策を次の表に示します。

[MLPS 準拠] MLPS レベル 2 の Windows 準拠ベースラインチェックで表示される「Unneeded system services, default sharing, and high-risk ports must be disabled」メッセージ

• 問題の説明：一部のユーザーがファイアウォールやセキュリティグループを設定して特定のポートをブロックした後、MLPS レベル 2 の Windows 準拠ベースラインチェックで「Unneeded system services, default sharing, and high-risk ports must be disabled」というメッセージが表示されます。

• 原因：指定されたポートに対応するサービスが停止されていません。その結果、ベースラインリスクチェックスキャンタスクは依然としてこれらのポートとサービスを検出します。

• 解決策：サーバーインスタンスにログインし、次のポートでサービスを停止してください。次の手順では、Windows 10 (64 ビット) を例に説明します。

  ポート 135 の無効化

  1. [Windows]+[R] キーを押し、[dcomcnfg] と入力して [OK] をクリックし、[Component Services] ダイアログボックスを開きます。

  2. 左側のナビゲーションペインで、[Component Services] > [Computers] > [My Computer] の順に展開し、[My Computer] を右クリックして [Properties] をクリックします。

  3. 表示されるダイアログボックスで、[Default Properties] タブをクリックし、[Enable Distributed COM on this computer (E)] チェックボックスをオフにします。

  4. [Default Protocols] タブをクリックし、[Connection-oriented TCP/IP] を選択して [Remove] をクリックします。

  5. [OK] をクリックします。

  ポート 136、137、138 の無効化

  1. [Windows]+[S] キーを押し、検索ボックスに [Control Panel] と入力して [Control Panel] をクリックします。

  2. [Control Panel] ダイアログボックスで、[Network and Internet] をクリックします。

  3. [Network and Sharing Center] をクリックし、接続されているネットワークをクリックします。

  4. 表示されるダイアログボックスで、[Properties] をクリックします。

  5. 表示されるダイアログボックスで、[File and Printer Sharing for Microsoft Networks] と [Client for Microsoft Networks] のチェックボックスをオフにします。

  6. [OK] をクリックし、開いているダイアログボックスを 1 つずつ閉じます。

  ポート 139 の無効化

  1. [Windows]+[S] キーを押し、検索ボックスに [Control Panel] と入力して [Control Panel] をクリックします。

  2. [Control Panel] ダイアログボックスで、[Network and Internet] をクリックします。

  3. [Network and Sharing Center] をクリックし、左側の [Change adapter settings] をクリックします。

  4. 表示されるダイアログボックスで、使用中のネットワーク (例：イーサネット) を右クリックし、[Properties] をクリックします。

  5. 表示されるダイアログボックスで、[Internet Protocol Version 4 (TCP/IPv4)] をダブルクリックします。

  6. 表示されるダイアログボックスで、[Advanced] をクリックし、[WINS] タブに移動します。

  7. [Disable NetBIOS over TCP/IP] を選択し、[OK] をクリックします。

  8. [OK] を再度 1 つずつクリックし、すべてのダイアログボックスを閉じます。

  ポート 445 の無効化

  1. [Windows]+[R] キーを押し、[regedit] と入力して [OK] をクリックし、[Registry Editor] ダイアログボックスを開きます。

  2. 左側のナビゲーションペインで、[Computer] > [HKEY_LOCAL_MACHINE] > [SYSTEM] > [CurrentControlSet] > [Services] > [NetBT] > [Parameters] の順にクリックし、[Parameters] を右クリックします。

  3. [New] > [String Value] をクリックし、[Value name] フィールドに [SMBDeviceEnabled] と入力し、新しい値の名前をダブルクリックします。

  4. 表示されるダイアログボックスで、[Value data] フィールドに 0 を入力し、[OK] をクリックしてレジストリエディターを閉じます。

  5. [Windows]+[R] キーを押し、[services.msc] と入力して [Services] ダイアログボックスに移動します。

  6. [server] サービスを見つけてダブルクリックします。表示されるダイアログボックスで、[Startup type] を [Disabled] に、[Service status] を [Stopped] に設定し、[Apply] をクリックして [Services] ダイアログボックスを閉じます。

ベースラインリスク項目「Make sure that the Devices: Allowed to format and eject removable media policy is set to Administrators」が失敗した場合はどうすればよいですか？