なぜ「使わない機能」をオフにするだけで、あなたのサーバーは最強になるのか？
こんにちは。セキュリティの現場で日々、泥臭いインシデント対応に追われている者です。
新人のIT担当者や開発者の皆さんと話していると、「サーバーを構築したけれど、何から守ればいいかわからない」「とりあえず全部入りでセットアップして安心している」という声をよく聞きます。
でも、ちょっと待ってください。その「全部入り」の状態、実は「家の玄関の鍵は立派だけど、裏口の窓も、屋根の換気扇も、床下の通気口も、全部あけっぱなしの状態」と同じなんですよ。
今回は、Windowsサーバーの「要塞化（ハーデニング）」の第一歩として、なぜ不要なサービスを止めることが最強の防御になるのか、身近な例えを交えてお話しします。
—
泥棒は「一番開けやすい場所」からやってくる
セキュリティの世界で「攻撃者」が狙うのは、必ずしも最強の要塞ではありません。彼らが一番好むのは「誰も見ていない、かつ、開けっ放しの場所」です。
Windowsには、便利な機能がたくさん詰め込まれています。例えば、ネットワーク内でプリンターを共有するための「Print Spooler（プリントスプーラー）」というサービスがあります。かつて「PrintNightmare」という非常に有名な脆弱性が話題になりましたが、これはこのサービスを悪用して、攻撃者がサーバーの権限を乗っ取るというものでした。
もし、あなたのサーバーが「プリンターを一台も繋いでいない」のであれば、このサービスを動かしておく理由はゼロですよね？
「使っていない機能」を動かしておくことは、泥棒のために裏口のドアをわざわざ開けておくのと同じです。 鍵をかける（無効化する）だけで、そのルートからの侵入は100%防げるのです。
—
「Print Spooler」を無効化する：最初の一歩
それでは、具体的にどうやって無効化すればいいのか見ていきましょう。一つずつ進めれば決して難しくありません。
1. PowerShellで現在の状態を確認する
まずは、今どんなサービスが動いているか覗いてみましょう。管理者権限でPowerShellを開き、以下のコマンドを打ってみてください。
# Print Spoolerサービスの状態を確認する
Get-Service -Name Spoolerもし Status が Running になっていたら、それは「いつでも侵入者が入ってこられる状態」です。
2. サービスを停止・無効化する
次に、そのサービスをピタッと止めます。以下のコマンドは、サービスを停止し、かつ自動起動しないように設定するものです。
# サービスを停止する
Stop-Service -Name Spooler -Force
# サービスを無効化（自動起動しないように）設定する
Set-Service -Name Spooler -StartupType Disabledこれで、このサーバーは「プリンター関連の攻撃」に対して、物理的に免疫を持ったことになります。これこそが要塞化の醍醐味です。
—
大規模な環境なら「グループポリシー」で一括管理
サーバーが1台なら手動でもいいですが、10台、100台となるとそうはいきません。そんなときは「グループポリシー（GPO）」を使います。これは、「家中の窓という窓に、一括で同じ鍵をかける魔法の仕組み」です。
1. グループポリシー管理エディタを開きます。
2. コンピューターの構成 > ポリシー > Windowsの設定 > セキュリティの設定 > システムサービス と進みます。
3. 一覧から Print Spooler を探し、無効 に設定します。
こうしておけば、新しくサーバーを追加しても、自動的に「不要な裏口」が塞がれた状態で立ち上がります。これがエンジニアとして信頼されるための「正しいサボり方（自動化）」です。
—
まとめ：セキュリティは「引き算」の美学
セキュリティというと、どうしても「新しいツールを入れる」「高度な監視をする」といった「足し算」を考えがちです。しかし、プロが現場で行う最も重要で効果的な作業は、今回紹介したような「不要なものを削ぎ落とす」という引き算です。
- 使っていないサービスは停止する。
- 開いているポートは閉じる。
- 不要なユーザー権限は削除する。
これだけで、あなたのサーバーは数段強固になります。まずは、お手元のサーバーで Get-Service を叩くところから始めてみてください。「あれ、こんな機能も動いていたんだ？」という気づきこそが、最強のエンジニアへの第一歩です。
一歩ずつ、着実に。一緒に最強の要塞を築いていきましょう！
コメント