なぜ「使わない機能」を止めないのか？ PrintNightmareから学ぶ要塞化の極意
現場でインシデント対応をしていると、決まって「なぜ、そこが動いていたのか？」という問いに突き当たる。特にWindowsサーバーの構築において、デフォルト設定のまま放置されたサービス群は、攻撃者にとっての「無料のチケット」だ。
特に有名なのが Print Spooler だ。かつて世界を震撼させた PrintNightmare（CVE-2021-34527等）は、このサービスがドメインコントローラーやファイルサーバーにまで「入っていること」を前提に悪用された。サーバーで印刷なんてしないだろう？ なぜ止めていなかったんだ。
今日は、教科書的な「不要なサービスを止めましょう」というお題目を卒業し、インフラエンジニアとして即座に実行すべき「攻撃者の視点に立った要塞化」について話そう。
—
1. 攻撃者はなぜ「Print Spooler」を狙うのか
攻撃者がこのサービスを狙う理由はシンプルだ。「権限昇格」と「リモートコード実行（RCE）」の宝庫だからだ。
Print Spoolerは、印刷ジョブを管理するためにSYSTEM権限で動作する。もしこのサービスに脆弱性があれば、一般ユーザー権限でログインした攻撃者は、サービスを悪用してSYSTEM権限で任意のDLLを読み込ませることができる。
もし君が管理するWebサーバーが、Webアプリケーションの脆弱性（例: PHPのファイルアップロード不備など）で侵入されたとする。攻撃者はまず whoami を叩き、低い権限でサーバー内を探索する。その際、Get-Service -Name Spooler が Running を返せば、彼らは迷わずPrintNightmareのPoCを送り込み、サーバーを完全に掌握する。
「サーバーがWebアプリを動かすためだけの箱」なら、印刷サービスは1秒で止めるべきだ。
—
2. PowerShellによる一括無効化のベストプラクティス
GUIでポチポチ設定するなど、ナンセンスだ。インフラの要塞化は「コード（スクリプト）」で管理し、再利用可能でなければならない。以下のスクリプトは、対象サーバーから印刷関連の機能を根こそぎ停止・削除するためのものだ。
# 管理者権限で実行すること
# 1. Print Spoolerサービスを停止し、無効化する
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
# 2. 印刷関連のWindows機能を削除する（Windows Server向け）
# サーバーの役割として不要な場合は、OSレベルでアンインストールするのが最強の防御
Get-WindowsFeature Print-Services | Uninstall-WindowsFeature -Remove
# 結果確認：サービスが存在しない、または停止していることをログに出力
Get-Service -Name Spooler -ErrorAction SilentlyContinue | Select-Object Name, Status—
3. グループポリシー（GPO）での強制適用
1台ずつ設定するのは個人の仕事だが、組織全体を守るならGPOの出番だ。手動設定を禁止し、強制的にサービスを無効化するポリシーを適用する。
設定場所:
コンピュータの構成 > ポリシー > Windowsの設定 > セキュリティの設定 > システムサービス
ここで Print Spooler を探し、無効 に設定する。これにより、万が一誰かがサービスを再起動しようとしても、OSが即座に拒否するようになる。
—
4. 開発者が知っておくべき「Webアプリからの守り方」
インフラ側で防御するのと並行して、Webアプリケーション側も堅牢にしておく必要がある。例えば、PHPでファイルを扱う際、サーバーのシステムサービスに干渉されるリスクを減らすには、open_basedir を適切に設定し、実行権限を最小限に絞ることだ。
以下は、脆弱なサーバー環境でも被害を最小限にするための php.ini の要塞化設定だ。
; 攻撃者がシステムディレクトリを探索するのを防ぐ
open_basedir = /var/www/html/:/tmp/
; リモートコード実行の引き金になりうる機能を無効化
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec
; エラーメッセージをブラウザに出さない（攻撃者にパス情報を与えない）
display_errors = Off
log_errors = On—
最後に：セキュリティは「削ぎ落とす作業」である
セキュリティの要塞化とは、何か新しいセキュリティツールを導入することではない。「必要のないもの」を徹底的に削ぎ落とし、攻撃者の通り道を塞ぐことだ。
Print Spoolerだけでなく、Remote Registry、Telnet、Fax など、現代のサーバーで不要なレガシーサービスは山ほどある。これらを放置することは、玄関の鍵を開けたまま外出するようなものだ。
君たちが書くコードと同じで、インフラ構成も「シンプルであればあるほど、脆弱性は減る」。今日からサーバーを見直してくれ。使っていないサービスを見つけたら、それが攻撃者の侵入口になる前に、迷わずコマンドを叩け。
それが、プロのエンジニアの流儀だ。
コメント