本文へ移動

ホーム / 情シス / 第4部 SaaS・社内システム・AI

第4部 SaaS・社内システム・AI・第11章

社内サーバーの管理

★★☆ 重要5トピック・面接 3問

社内に残るサーバー(AD・ファイルサーバー・業務システム・NAS)の管理を押さえる。SaaS やクラウドに移っても、ゼロにはならないことが多い。

別のページで開く →

Linux ラボを読み込んでいます…

ひとことで

1台の物理サーバーの上で複数の仮想マシンを動かすのが普通。ハードウェア・OS・アプリの保守期限を台帳で管理する。

社内のサーバーは、物理サーバーの上に仮想化の基盤(VMware vSphere・Hyper-V・Proxmox など)を入れ、その上で複数の仮想マシンを動かすのが一般的です。NAS(Synology・QNAP など)をファイルサーバーやバックアップ先に使う会社も多くあります。

層ごとに、保守期限と更新を管理するAD(DC)ファイルサーバー業務システム監視仮想化の基盤(vSphere・Hyper‑V・Proxmox)物理サーバー・ストレージ(NAS)OS のサポート期限基盤のサポート・ライセンスハードの保守期限・RAID
仮想化の層と、それぞれの保守期限
管理するもの内容
台帳サーバー名・役割・OS・IP・置き場所・担当者・保守期限
保守期限(EOL)ハードウェアの保守、OS(Windows Server・Linux)、仮想化基盤のサポート期限。切れると更新が出ない
監視死活・CPU・メモリ・ディスク・RAID の状態・温度。止まる前に気づく
アクセス管理画面・リモートデスクトップ(RDP)・SSH はインターネットに公開しない。管理者は踏み台・VPN 経由・MFA
ライセンスWindows Server・CAL・仮想化基盤のライセンス(VMware は価格体系の変更で見直しが増えた)

Linux サーバーの基本の調べ方(負荷・メモリ・ディスク)は、下の Linux ラボで本物のコマンドを試せます。

面接ではこう答える

社内のサーバーは、物理サーバーの上に VMware や Hyper‑V、Proxmox などの仮想化の基盤を入れ、その上で複数の仮想マシンを動かすのが一般的です。管理では、台帳でサーバーの役割と置き場所、担当者を把握し、ハードウェア、OS、仮想化基盤のそれぞれの保守期限を管理します。死活やディスク、RAID の状態を監視し、管理画面やリモートデスクトップをインターネットに公開しないことが大事です。

別のページで開く →

Linux ラボを読み込んでいます…

ひとことで

AD は Windows の PC・ユーザー・権限をまとめて管理する。乗っ取られると全社が止まるので、最も厳重に守る。

Active Directory(AD)は、社内の Windows PC とユーザーをまとめて管理する仕組みです。ドメインコントローラ(DC)がログオンを認証し、グループポリシー(GPO)で PC の設定を配ります。ファイルサーバーの共有フォルダの権限も AD のグループで管理します。

DC が認証と設定の配布を担う。乗っ取られると全体に広がるドメインコントローラ2台以上で冗長化社員の PC社員の PCログオンの認証GPO で設定ファイルサーバーAD のグループで権限Entra IDSaaS の SSO へEntra Connect で同期狙われる:管理者は最小限・普段のアカウントと分ける・DC のログを監視
Active Directory を中心にした社内の構成
テーマ要点
冗長化DC は2台以上。1台が止まってもログオンできるように
管理者権限Domain Admins は最小限の人数。普段使いのアカウントと分ける。管理者が一般の PC にログオンしない(認証情報を盗まれる)
攻撃の的ランサムウェアは AD を乗っ取り、GPO で全 PC に一斉に配る。DC のログ(ログオン失敗・権限の変更)を監視
ファイルサーバーの権限個人ではなくグループに権限を付ける。「Everyone フルコントロール」をなくす。アクセス権の棚卸し
クラウドとの関係Entra ID(旧 Azure AD)と同期(Entra Connect)して SaaS の SSO に使う。新しい会社は AD を持たずクラウドの IdP と MDM だけ、も多い

面接ではこう答える

Active Directory は、社内の Windows の PC とユーザーをまとめて管理する仕組みで、ドメインコントローラがログオンを認証し、グループポリシーで PC の設定を配ります。ランサムウェアは AD を乗っ取ってグループポリシーで全 PC に一斉に配るので、最も厳重に守る対象です。ドメインコントローラは2台以上にし、Domain Admins は最小限の人数で、普段使いのアカウントと分けます。管理者が一般の PC にログオンしないことも、認証情報を盗まれないために大事です。

ひとことで

更新を当てないサーバー・VPN 機器は、公開された脆弱性からすぐに攻撃される。重要度と公開状況で優先順位をつけ、決まった周期で当てる。

攻撃の多くは、公開済みの脆弱性を更新していない機器を狙います。特にインターネットに面した機器(VPN 機器・ファイアウォール・公開サーバー・リモートデスクトップ)は、脆弱性の公開から数日で攻撃が始まります。

外に面した機器は、攻撃が始まる前に当てる脆弱性の公開数日で攻撃が始まる外部公開・悪用あり→ 即日〜数日で適用ほか:月例で適用(Windows は第2火曜、日本では水曜)・まず一部で試す
脆弱性の公開から適用までの時間の目安
手順内容
把握台帳で、どの機器にどのバージョンが入っているかを分かるように
情報収集ベンダーのセキュリティ情報、JPCERT/CC・IPA の注意喚起、CISA の KEV(悪用が確認された脆弱性の一覧)
優先順位外部公開か・悪用されているか・重要度(CVSS)。外部公開で悪用ありなら即日〜数日
検証と適用検証環境やまず一部で試す → 本番。月例(Windows は毎月第2火曜日の翌日、日本時間の水曜日)
確認当たったかを確かめる(WSUS・Intune・脆弱性スキャナー)

保守期限(EOL)が切れた OS・機器には更新が出ないので、入れ替えの計画を前もって予算に入れます。

CVE と脆弱性管理(SRE の解説)

面接ではこう答える

攻撃の多くは、公開済みの脆弱性を更新していない機器を狙います。特に VPN 機器やファイアウォール、公開サーバーのようにインターネットに面した機器は、公開から数日で攻撃が始まるので最優先です。台帳でどの機器にどの版が入っているかを把握し、ベンダーや JPCERT/CC、CISA の KEV などで情報を集めます。外部公開か、悪用されているか、重要度で優先順位をつけ、一部で試してから広げ、当たったかを確かめます。

ひとことで

コピーを3つ、2種類の媒体に、1つは離れた場所に。ランサムウェア対策として、本番から書き換えられないコピーを持つ。

バックアップは戻せて初めて意味があるものです。

3つのコピー・2種類の媒体・1つは別の場所(変更できない)本番のデータファイルサーバー・NASバックアップ ①別の媒体(バックアップ用の NAS など)バックアップ ②別の場所(クラウド)変更できない・世代3:コピーは3つ2:媒体は2種類1:1つは社外バックアップ用のアカウントは AD と分ける(本番から書き込めないように)定期的に「実際に戻す」訓練をして、かかる時間を測る
3-2-1 ルールと、変更できないコピー
ルール・用語意味
3-2-1 ルールデータを3つ(本番+バックアップ2つ)、2種類の媒体に、1つは別の場所(クラウド・別拠点)に
イミュータブル(変更不可)クラウドのオブジェクトロックなど、決めた期間は誰も消せない・書き換えられないコピー。ランサムウェアはバックアップも狙う
オフライン・エアギャップネットワークから切り離したコピー
RPO / RTOどの時点まで戻せればよいか(失ってよいデータの量)/何時間で戻すか
世代1日前だけでなく、1週間前・1か月前にも戻せるように(気づくのが遅れることがある)

落とし穴:NAS をファイルサーバーから普通の共有として書き込めるようにしていると、暗号化がバックアップまで届きます。バックアップ用のアカウントは AD と分ける。定期的に実際に戻す訓練をして、時間を測ります。

面接ではこう答える

バックアップは戻せて初めて意味があります。基本は 3‑2‑1 ルールで、データを3つ、2種類の媒体に、1つは別の場所に持ちます。ランサムウェアはバックアップも狙うので、オブジェクトロックなどで決めた期間は誰も消せないイミュータブルなコピーや、ネットワークから切り離したコピーを持ちます。どの時点まで戻せればよいかの RPO と、何時間で戻すかの RTO を決め、実際に戻す訓練で時間を測ります。

別のページで開く →

障害対応の演習を読み込んでいます…

ひとことで

電源(UPS)・空調・物理的な鍵まで含めて管理する。SaaS やクラウドで置き換えられるものは移していく。

社内にサーバーを置くなら、停電に備えた UPS(無停電電源装置。停電時に安全にシャットダウンするまでの時間を稼ぐ)、空調と温度の監視、ラックの鍵と入室の記録が必要です。法定点検などの計画停電の前には、停止と起動の手順を確認しておきます。

社内に置いているもの移行先の例
ファイルサーバーSharePoint・Google ドライブ・Box
AD(PC の管理・ログオン)Entra ID + Intune(Mac は Jamf など)
業務システムSaaS、またはクラウド(AWS・Azure)
バックアップクラウドのストレージ(変更できない設定に)

このように移すと、ハードウェアの保守や置き場所の悩みは減ります。ただし移行後も、権限・共有設定・バックアップ(SaaS の削除やランサムウェアにも備える)・コストの管理は残ります。

面接ではこう答える

社内にサーバーを置くなら、停電に備えた UPS、空調と温度の監視、ラックの鍵と入室の記録が必要です。計画停電の前には、停止と起動の手順を確かめます。ファイルサーバーは SharePoint や Google ドライブへ、AD は Entra ID と Intune へ、のように SaaS やクラウドに移せるものは移すと、ハードウェアの保守の悩みは減ります。ただし移したあとも、権限や共有設定、バックアップ、コストの管理は残ります。

この章のまとめ

🖨 まとめシート(印刷・PDF)
  • オンプレのサーバーは「更新・バックアップ・保守期限・置き場所」まで含めて管理する
  • AD・ファイルサーバーは攻撃者に最も狙われる
  • バックアップは 3-2-1 ルールと、変更できない(イミュータブル)コピー

この章のクイズ

面接ではこう聞かれる

まず答えを見ずに声に出して答え、そのあと開いて比べる。

Q1ランサムウェアに備えて、バックアップをどう設計しますか?

模範回答

3-2-1 ルールで、少なくとも1つは本番から書き換えられないコピー(クラウドのオブジェクトロックやオフライン)にします。バックアップのアカウントは AD と分け、ファイルサーバーから普通の共有として書き込めないようにします。気づくのが遅れても戻せるよう世代を持ち、RTO を満たせるか、実際に戻す訓練で確かめます。

深掘りされたら

  • VPN 機器の脆弱性が公開されました。どう対応しますか?

見られているポイント変更できないコピー・認証の分離・世代・戻す訓練

Q2Active Directory のセキュリティで気をつけることは?

模範回答

AD はランサムウェアなどの攻撃で最も狙われます。乗っ取られると、グループポリシーで全 PC に一斉にマルウェアを配られてしまうからです。

気をつけることは、Domain Admins などの管理者を最小限にして、ふだんのアカウントと分けること、管理者が一般の PC にログオンしないこと(認証情報を盗まれる)、DC を2台以上にして更新を当てること、ログオンの失敗や管理者グループへの追加などの DC のログを監視することです。PC のローカル管理者のパスワードは Windows LAPS で端末ごとに変えます。

深掘りされたら

  • AD をやめてクラウドの IdP に移すときの課題は?

見られているポイント狙われる理由・管理者の分離・監視・LAPS

Q3サーバーや機器の保守期限(EOL)が近づいています。どう進めますか?

模範回答

まず台帳で、保守期限が切れる機器・OS と、その上で動いている業務を確かめます。期限が切れると更新が出なくなり、脆弱性を直せなくなります。

次に、同じものに入れ替えるのか、クラウドや SaaS に移すのかを、費用と業務への影響で比べます。入れ替えは予算と調達に時間がかかるので、1年前には計画して予算に入れます。どうしても間に合わない場合は、外から見えなくする・通信を絞るなどで危険を減らし、期限を決めて残します。

深掘りされたら

  • 移行先にクラウドを選ぶときの判断の基準は?

見られているポイント影響の把握・入れ替えか移行か・前もった予算・残す場合の対策