Hyper-Vのセキュリティの重要性は言うまでもありません。すべての仮想マシン（VM）とリソースがハイパーバイザーによってホストされるので、何かしら悪意のある者に制御されたら、全VMを乗っ取られる危険性があります。以下に紹介するHyper-Vセキュリティ上の誤り10項目を参考にして、同じミスをしないよう気を付けてください。仮想環境がマルウェアに侵害されることのないよう、悪意ある脅威からの防御を徹底してください。

1. 1
Hyper-V セキュリティでやってはいけないことトップ 10
投稿者：ライアン・オイスタッカー
Hyper-V のセキュリティの重要性は言うまでもありません。すべての仮想マシン（VM）とリソースがハイパーバ
イザーによってホストされるので、何かしら悪意のある者に制御されたら、全 VM を乗っ取られる危険性がありま
す。以下に紹介する Hyper-V セキュリティ上の誤り 10 項目を参考にして、同じミスをしないよう気を付けてく
ださい。仮想環境がマルウェアに侵害されることのないよう、悪意ある脅威からの防御を徹底してください。
その 1：Hyper-V ホストに余計なソフトウェアをインストールする
Hyper-V ホストは Hyper-V の役割だけを担うべきです。しかし、時として Hyper-V に追加の役割を任せる
システム管理者が少なくありません。それは間違ったアプローチです。Hyper-V ホストをドメインコントローラや
FTP サーバーとして使用するべきではありません。外部からのサービスが潜在的なリスクを高め、攻撃に晒される
領域を作ってしまいます。例えば、FTP サーバーやウェブサーバーは、悪意のあるファイルを重要な場所に混入さ
せる機会を提供してしまいます。
その 2：アップデートを実行し忘れる
ハイパーバイザーがきちんとアップデートされ、またアップデートのスケジュールとパッチの適用が正しく設定されてい
ることを確認してください。Microsoft がセキュリティアドバイザリーやパッチをリリースしたら、すばやくインストール
Copyright Climb Inc.

2. 2
すべきです。そのスケジュールやポリシーが正しく設定されていれば、Hyper-V のセキュリティアップデートがより早
く適用されます。
その 3：ファイアウォールのポートを余計なサービスに開き過ぎる
ポートはハイパーバイザーを稼働させるのに必要なサービスにのみ開くべきです。よくある間違いは、リモートデスク
トップサービス（RDP）を使用し、RDP アクセスを開くことです。ファイアウォールの設定を変更すると、ネットワー
クセキュリティの脆弱性を高め、良くない結果を招く場合があります。設定変更に 100%の確信がないときは、
必ずネットワーク管理者に連絡し、指示を仰ぎましょう。
その 4：ファイアウォールをモニターしない
堅牢なファイアウォールを設置し、ハイパーバイザーに出入りするトラフィックをしっかり監視することは、とても重要
です。誰がハイパーバイザーにアクセスしているのか、常に見張る必要があります。また、ハイパーバイザーと仮想
マシンを通るトラフィックの種類を見極めるのも大切です。外部へのトラフィックに機密顧客データやその他の重
要情報が含まれていないか監視することはもちろん、外から入ってくるトラフィックもしっかり監視する必要がありま
す。
その５：物理ファイアウォールと仮想ファイアウォールの両方を使用しない
仮想ファイアウォールはハイパーバイザーを保護すると同時に、ハイパーバイザーレイヤーで仮想マシン自体も保
護します。一方、物理ファイアウォールはハードウェアで稼働するアプライアンスを専門に守ります。ネットワーク上
のどこかに外部からの侵入を認めれば、物理ファイアウォールが送受信トラフィックを制御して、情報漏洩の危険
から防御します。仮想ファイアウォールと物理ファイアウォールを組み合わせることにより、負荷の低いタスクを仮想
環境に割り当て、ハードウェアアプライアンスで実行すべきタスクを物理ファイアウォールに集中させることができま
す。
災害復旧・事業継続プランを確立するには、Business Continuity Guide for Hyper-V
Replication 参照
その 6：ロールベースアクセス制御を活用しない
システム管理者には、必要な作業を完遂するのに充分なアクセスを与え、それ以上の権限を与えないことがベ
ストプラクティスとされます。つまり、どのユーザーにも、各自の仕事を行うのに必要とされる分だけの限られたアク
セスを与えます。それをロールベースアクセス制御（Role-Based Access Control）と呼びます。ユーザーが
仮想マシンを移動したり、サーバーをシャットダウンしたり、間違ってファイルを削除したりすることのないよう、徹底
Copyright Climb Inc.

3. 3
しなければなりません。さらに、誰がハイパーバイザーにアクセスできるのか、ポリシーを明確にしておくことも大切で
す。ハイパーバイザーへのアクセスは常に最低限に絞られるべきです。
その 7：エージェントレス型のアンチウィルスを使用しない
従来のアンチウィルスソフトウェア（AV）は、昔ながらのルーターによる仮想マシンごとの個別対応をするので、
仮想システムごとにエージェントをインストールしなければなりません。それにより、ファイルが読み込まれるたびに
各エージェントが個々のファイルをモニターするので、ハードウェアリソースがかなり無駄遣いされます。一方、エー
ジェントレスの手法は、エージェントのインストールを必要としません。専用のセキュリティ仮想アプライアンスが継
続的にマルウェアをスキャンし、ID 識別エンジンを作動し続けます。エージェントレス型 AV の大きな利点は、リ
ソース消費の少なさと、基本となるアンチウィルス機能を単一アプライアンスに一括できる点です。
その 8：仮想マシンの追加時に完全保護を徹底しない
仮想マシン（VM）をネットワークに新たに追加するとき、最初にすべきことはその安全性と保護の確立です。
新しい VM を稼働させる前に、すべてのセキュリティ要件を満たすことを慎重に確認し、画竜点睛を欠くことのな
いよう注意してください。言い換えると、VM は既定のポリシー確認なしにネットワークに追加し、アクセス可能に
てはいけません。それを怠ると、新しい VM が接続後ただちに悪意ある攻撃の好対象になりかねません。また、
ウィルス感染した VM はネットワーク内の他の VM を二次感染の潜在的脅威に晒すことになります。5nine
Cloud Security のようなプラットフォームには、VM のセキュリティ確認を格段に行いやすくするデフォルトポリシ
ーがあらかじめ用意されているので、それを利用するのも得策です。
その 9：パケットフローをモニターしない
パケットサイズとパケットスピードの平均値を確認し、何かしら異常はすべて調査することが重要です。例えば、
誰かが仮想マシンの 1 つを占領したとします。その侵入者が次にするのは、ハイパーバイザー上の隣りの仮想マ
シンを攻撃するか、あるいはハイパーバイザー自体を攻撃するかもしれません。パケットフローをモニターしておけ
ば、インターネットのエンドポイント別の消費量の違いを見て、悪意ある攻撃を識別することができます。パケット
サイズとパケットスピードの変化が、仮想マシンが外部からの攻撃を受けたかどうかを見極めるバロメーターとなり
ます。
その 10：アラートを設定しない
セキュリティアラートの設定も重要です。それにより、潜在的脅威が検知されたときに、ただちに対処することがで
きます。悪意のある攻撃、ウイルス、不正アクセス、重大な変更など、多くの情報がアラートによって通知されま
Copyright Climb Inc.

4. 4
す。対象データに問題が見つかったときに、いち早く知らせてくれるのがアラートです。Hyper-V のセキュリティソリ
ューションにはデフォルトの各種アラートが備えられ、加えて、様々なイベントや状態を検知するカスタムアラート
の追加も可能になっています。中でも、5nine Cloud Security の機能性は特に優れていると言えます。
シンプルで使いやすい Hyper-V セキュリティソリューション
5nine Cloud Security は、Hyper-V のセキュリティとコンプライアンスの No.1 ソリューションです。エージェン
トレス型のアンチウィルス、仮想ファイアウォール、侵入検知や異常分析機能など、各種重要機能を備えながら、
シンプルで使いやすい点が特長です。ネットワークに追加される個々の仮想マシンを、既定のセキュリティポリシー
にもとづいて即時に自動保護するので、Hyper-V セキュリティ対策のミスがなくなります。5nine Cloud
Security を使用するのに、セキュリティのスペシャリストになる必要はありません。仮想スタックの安全を誰もが
効率よく守れるよう、使い方が直感的にわかるような設計になっています。
株式会社クライム
〒103-0014 東京都中央区日本橋蛎殻町 1-36-7
日本橋蛎殻町ビル４F
TEL: 03-3660-9336 / 06-6147-8201
soft@climb.co.jp www.climb.co.jp
Copyright Climb Inc.