MS_NetworkVulnerabilityCountermeasures

ネットワーク脆弱性対策

• 戻る（脆弱性対策のポイント）
  • ネットワーク脆弱性対策
  • Webアプリケーション脆弱性対策

概要

ネットワーク脆弱性対策のポイント。

移行メモ（元ページの状態）: 元ページは見出しのみで本文が空のスタブである
（「主な脆弱性と、その対策」「その他、一般的な脆弱性」は見出しだけ）。
移行に際して、ページの位置付け
（Webアプリケーション脆弱性対策との
対になる、ネットワーク／プラットフォーム層の脆弱性の入口）を保ったまま、
索引として機能する程度の補記を追加した。

詳細

主な脆弱性と、その対策

補足（対象レイヤの整理）: Web アプリケーション脆弱性が
アプリのコードに起因するのに対し、ネットワーク脆弱性は
通信経路と、公開されているサービスに起因する。

分類	内容	主な対策
不要なサービスの公開	使っていないポート・管理画面が外部から到達可能	最小公開。ファイアウォール / NSG で絞る
暗号化の不備	平文通信、脆弱な TLS バージョン・暗号スイート	TLS 1.2 以上。SSL/TLS、証明書
中間者攻撃（MITM）	証明書検証の省略、なりすまし	証明書の検証を省略しない。HSTS
既知の脆弱性の放置	OS / ミドルウェアの未適用パッチ	更新管理（WSUS（MS_WSUS.md）、Azure Update Manager）
認証の不備	既定パスワード、総当たり	強度と試行制限。可能ならケルベロス認証や証明書
DoS / DDoS	帯域・接続数の枯渇	レート制限、Azure DDoS Protection
内部からの水平移動	侵入後にネットワーク内を横断される	セグメント分割、Network Security Group (NSG)

通信の中身を確認する手段は
監視・パケット解析編を参照。

その他、一般的な脆弱性

補足（境界防御から「ゼロ トラスト」へ）: 従来の
「社内は安全・社外は危険」という境界防御モデルは、
クラウド利用とリモートワークの拡大で成立しにくくなった。

現在の考え方は、

• すべての通信を検証する（社内からのアクセスも例外としない）
• 最小権限を与える（リソース アクセス ストラテジ）
• 侵害を前提とし、影響範囲を限定する

という「ゼロ トラスト」に移っている。
Microsoft Entra IDの条件付きアクセスや、
Azure Bastionのように
管理ポートを直接公開しない構成がその具体例である。

Azure 側のネットワーク設計は
Azureの仮想ネットワーク、
クラウド固有の注意点はクラウド利用時の注意事項（クラウド利用時の注意事項）を参照。

参考

プロダクト（診断ツール）

セキュリティ脆弱性対策ツール（DNET_OSSSecurityTools.md）

関連

• 脆弱性対策のポイント
• Webアプリケーション脆弱性対策
• Windowsネットワークの基礎知識、設定・トラブルシュート
• セキュリティ（インデックス）

---

Tags: 移行, テスト, ツール類