CIS Benchmark（シスベンチマーク）

2025年11月1日

CIS Benchmark（シスベンチマーク）

英語表記: CIS Benchmark

概要

CIS Benchmarkは、サーバーOS（Linux ServerやWindows Server）を含むITシステムの設定を、サイバーセキュリティの観点から最も安全な状態にするための国際的なベストプラクティス集です。これは「セキュリティとハードニング」という重要なプロセスにおいて、システム設定の脆弱性を客観的に評価し、具体的な改善策を提供する詳細なガイドラインとして機能します。OSのデフォルト設定が持つ利便性優先のリスクを排除し、組織のセキュリティポリシーに合致した強固な環境を構築するために欠かせない基準なのです。

詳細解説

ハードニングの「設計図」としての役割

私たちが今回焦点を当てているサーバOS（Linux Server, Windows Server）の文脈では、CIS Benchmarkはまさに「ハードニングベンチマーク」の中核をなす存在です。サーバーOSは、アプリケーション実行やデータ保管の土台となるため、その設定が甘いとシステム全体が危険に晒されます。

OSをインストールした直後のデフォルト設定は、多くのユーザーにとって使いやすいように、しばしばセキュリティよりも利便性が優先されています。例えば、不要なサービスが起動していたり、パスワードポリシーが緩かったりする場合があります。CIS Benchmarkの最大の目的は、これらの潜在的なセキュリティホールを特定し、推奨される設定に変更することで、攻撃者が利用できる足がかりを徹底的に排除することにあります。

構成要素と適用方法

CIS Benchmarkは、非営利団体であるCenter for Internet Security (CIS) によって開発・維持されています。このベンチマークの特徴は、その具体的な指示の多さと、適用レベルの柔軟性にあります。

具体的な設定項目:
- パスワードの複雑性や有効期限の設定（必須の設定ですね）。
- ファイルやディレクトリへのアクセス権限の最小化（必要最低限の権限付与）。
- 不要なネットワークサービスの無効化（攻撃対象領域の削減）。
- 監査ログの設定と保持（何かあった時の追跡のため）。
プロファイルレベル:
- CIS Benchmarkでは、実用性とセキュリティのバランスを考慮し、通常二つの適用レベル（プロファイル）が提供されます。
  - Level 1 Profile: 比較的簡単に適用でき、システムの機能に大きな影響を与えない基本的なセキュリティ強化策です。多くの組織がまず目指すべき標準的なラインとなります。
  - Level 2 Profile: 非常に高いセキュリティを要求される環境向けで、システムの機能や操作性に影響を与える可能性のある、より厳格な設定を含みます。

システム管理者は、利用しているOS（例：RHEL 8, Windows Server 2022）に対応するベンチマークを入手し、記載されている推奨設定値と現在のOS設定を照らし合わせながら、手動または専用のツール（CIS-CAT Proなど）を用いて設定を修正していきます。この作業こそが、分類上の「セキュリティとハードニング」を実践していることになります。

サーバー環境における重要性

特にLinuxやWindowsのサーバー環境では、インターネットに公開されている場合が多く、絶えず攻撃の標的となっています。CIS Benchmarkを利用することで、属人的なセキュリティ対策ではなく、国際的に認められた共通の基準に基づいて対策を進めることができます。これにより、セキュリティ対策の質が担保され、監査対応の際にも説得力のある根拠を示すことができるのが大きなメリットです。サーバー管理者にとって、これは自己流の対策から脱却し、プロフェッショナルな「ハードニング」を実現するための最高の教科書と言えるでしょう。

具体例・活用シーン

CIS BenchmarkがサーバーOSのセキュリティをどのように高めるのか、具体的な例と、初心者にも分かりやすい比喩を用いて解説します。

1. サーバーOSにおける具体的な設定変更例

Windows Serverの場合:
- CIS Benchmarkは、特にグループポリシー設定（GPO）に対して詳細な指示を与えます。例えば、「アカウントロックアウトのしきい値」を推奨値（例：5回）に設定することで、ブルートフォース攻撃（総当たり攻撃）によるパスワード推測を防ぎます。デフォルトでは無効になっている設定も多く、これを有効化することが重要です。
Linux Serverの場合:
- SSH（リモート接続プロトコル）の設定変更は必須です。ベンチマークでは、rootユーザーによるSSH直接ログインを禁止し、鍵認証の使用を強く推奨しています。さらに、不要なデーモン（バックグラウンドで動作するサービス）を停止することで、OSの攻撃対象領域を劇的に減らすことができます。

2. アナロジー：城の設計図と防御工事

サーバーOSのセキュリティ強化（ハードニング）を、中世の「城の防御工事」に例えてみましょう。

デフォルト設定の城: 新築されたばかりの城は美しいですが、利便性重視で、すべての門が開いており、窓には鍵がかかっていません。これは、システムが使いやすい状態ですが、泥棒（攻撃者）にとっては非常に侵入しやすい状態です。
CIS Benchmark: これは、「城を難攻不落にするための国際的に認定された設計図」です。この設計図には、具体的な指示が書かれています。
- 「堀を深く掘れ」：不要なサービスやアカウントの停止（攻撃者が近づく経路を断つ）。
- 「すべての窓に鉄格子をはめろ」：ファイルやディレクトリのアクセス権限を最小限に設定（情報漏洩を防ぐ）。
- 「見張り台を24時間体制で監視せよ」：詳細な監査ログを設定し、不正アクセスを検知できるようにする。

サーバー管理者が行う「ハードニング」とは、このCIS Benchmarkという設計図に従って、一つ一つ防御工事（設定変更）を実施していく作業なのです。設計図があるからこそ、抜け漏れなく、最も効率的で強固な防御体制を築くことができるわけです。