Internet Explorer 8 セキュリティ強化の構成

Internet Explorer セキュリティ強化の構成では、Web コンテンツやアプリケーション スクリプトを通じてサーバーが攻撃を受ける可能性を軽減するように、サーバーと Internet Explorer を構成します。その結果、Web サイトによっては、表示や実行が予想どおりにならない場合があります。

このトピックでは、次の情報について説明します。

• Internet Explorer のセキュリティ ゾーン
  
  
• Internet Explorer セキュリティ強化の構成が有効になっている場合の参照方法
  
  
• Internet Explorer セキュリティ強化の構成の効果
  
  
  • Internet Explorer セキュリティ強化の構成およびターミナル サービス
    
    
  • Internet Explorer のユーザー エクスペリエンスに対する Internet Explorer セキュリティ強化の構成の効果
    
    
• Internet Explorer セキュリティ強化の構成の管理
  
  
  • 信頼済みサイト ゾーンにサイトを追加する
    
    
  • ローカル イントラネット ゾーンにサイトを追加する
    
    
  • 特定のユーザーに Internet Explorer セキュリティ強化の構成を適用する
    
    
  • サーバー上で Internet Explorer セキュリティ設定を手動で適用する
    
    
  • 以前のバージョンからのアップグレード
    
    
• ブラウザー セキュリティのベスト プラクティス
  
  

Internet Explorer では、2 つの組み込みセキュリティ ゾーンに対するセキュリティ設定を構成できます。それらは、[ローカル イントラネット] ゾーンと [信頼済みサイト] ゾーンです。[インターネット] ゾーンと [制限付きサイト] ゾーンのセキュリティ設定は変更できません。

メモ
セキュリティ設定を変更するには、Internet Explorer を管理者モードで開く必要があります。これは、ローカル管理者としてログオンしている場合でも同様です。Internet Explorer を管理者モードで開くには、[Internet Explorer] を右クリックし、[管理者として実行] をクリックします。

Internet Explorer セキュリティ強化の構成では、対象となるセキュリティ ゾーンに、次のようにセキュリティのレベルが割り当てられます。

• [インターネット] ゾーンの場合、セキュリティのレベルは [高] に設定されます。
  
  
• [信頼済みサイト] ゾーンの場合、セキュリティのレベルは [中] に設定されます。この設定では、多数のインターネット サイトを参照できます。
  
  
• [ローカル イントラネット] ゾーンの場合、セキュリティのレベルは [中低] に設定されます。この設定では、ユーザーの資格情報 (名前とパスワード) が、それらを必要とするサイトとアプリケーションに自動的に送信されます。
  
  
• [制限付きサイト] ゾーンの場合、セキュリティのレベルは [高] に設定されます。
  
  
• すべてのインターネット サイトとイントラネット サイトは、既定では [インターネット] ゾーンに割り当てられます。イントラネット サイトは、明示的に追加しない限り、[ローカル イントラネット] ゾーンには含まれません。
  
  

セキュリティ強化の構成によってサーバーのセキュリティのレベルは高くなります。ただし、次のようにインターネットの参照に影響を与える場合があります。

• ActiveX コントロールとスクリプトが無効になるため、インターネット サイトを Internet Explorer で予期したとおりに表示できない場合や、インターネットを使用するアプリケーションが正常に動作しない場合があります。インターネット サイトを信頼しており、その機能が必要な場合は、Internet Explorer でそのサイトを [信頼済みサイト] ゾーンに追加できます。スクリプトや ActiveX コントロールを使用しているインターネット サイトを参照しようとすると、Internet Explorer では、そのサイトを [信頼済みサイト] ゾーンに追加することを検討するように求めるメッセージが表示されます。目的のサイトが確実に信頼できるものであり、追加する URL が正しい場合にのみ、そのサイトを [信頼済みサイト] ゾーンに追加することをお勧めします。詳細については、「信頼済みサイト ゾーンにサイトを追加する」を参照してください。
  
  
• イントラネット サイトへのアクセス、ローカル イントラネットを介して実行される Web ベースのアプリケーションへのアクセス、およびネットワーク共有上の他のファイルへのアクセスが制限される場合があります。イントラネット サイトやネットワーク共有を信頼しており、その機能が必要な場合は、そのサイトを [ローカル イントラネット] ゾーンに追加できます。詳細については、「ローカル イントラネット ゾーンにサイトを追加する」を参照してください。
  
  

Internet Explorer セキュリティ強化の構成では、既存のセキュリティ ゾーンに対するセキュリティのレベルが調整されます。次の表は、各ゾーンに対する影響を示しています。

セキュリティ強化の構成では、将来発生し得るセキュリティの脅威の可能性を減らすように Internet Explorer の拡張性とセキュリティの設定も調整されます。これらの設定は、Internet Explorer の [インターネット オプション] ダイアログ ボックスの [詳細設定] タブにあります。次の表は、影響を受ける設定を示しています。

これらの変更により、Web ページ、Web ベースのアプリケーション、ローカル ネットワーク リソース、およびヘルプ、サポート、一般的なユーザー支援を表示するためにブラウザーを使用するアプリケーションの機能が制限されます。

[ローカル イントラネット] または [信頼済みサイト] ゾーンの対象一覧の使用に関する詳細については、「Internet Explorer セキュリティ強化の構成の管理」を参照してください。

Internet Explorer セキュリティ強化の構成を有効にすると、次の設定が有効になります。

• Microsoft Update Web サイトが [信頼済みサイト] ゾーンに追加されます。これによって、オペレーティング システムの重要な更新プログラムを引き続き取得できます。
  
  
• Windows エラー報告サイトが [信頼済みサイト] ゾーンに追加されます。これによって、オペレーティング システムで発生した問題を報告し、修正プログラムを検索できます。
  
  
• いくつかのローカル コンピューター サイト (http://localhost、https://localhost、hcp://system など) が、[ローカル イントラネット] ゾーンに追加されます。これによって、アプリケーションおよびコードがローカルに動作し、一般的な管理タスクを実行できます。
  
  
• [信頼済みサイト] ゾーンについては、Platform for Privacy Preferences (P3P) のレベルが [中] に設定されます。[インターネット] ゾーン以外のゾーンに対する P3P レベルを変更するには、[インターネット オプション] の [プライバシー] タブを開き、[インポート] をクリックしてカスタムのプライバシー ポリシーを適用します。プライバシー ポリシーのサンプルについては、「カスタマイズしたプライバシー インポート ファイルを作成する方法」(http://go.microsoft.com/fwlink/?LinkId=12939) を参照してください。
  
  

セキュリティ強化の構成は、インストールの種類に応じてさまざまなユーザー アカウントに適用されます。次の表は、ユーザーに生じる影響を示しています。

メモ
手動によるターミナル サービスのインストール中に、Internet Explorer セキュリティ強化の構成をユーザーに対して無効にするように求められます。これによって、ユーザーは制約を受けずにターミナル サーバー セッションを実行できます。

ターミナル サービスを有効にした場合の良好な動作を図るために、Users グループのメンバーからセキュリティ強化の構成を削除する必要があります。これらのユーザーは、サーバーに対する特権をほとんど持っていないので、攻撃を受けても発生するリスクのレベルは低くてすみます。セキュリティ強化の構成の適用に関する詳細については、「特定のユーザーに Internet Explorer セキュリティ強化の構成を適用する」を参照してください。

次の表は、Internet Explorer セキュリティ強化の構成が Internet Explorer での各ユーザー エクスペリエンスに与える影響を示しています。

タスク	Administrators によるタスクの実行	Power Users によるタスクの実行	Limited Users によるタスクの実行	Restricted Users によるタスクの実行
Internet Explorer セキュリティ強化の構成の有効、無効の切り替え	可	不可	不可	不可
Internet Explorer で特定のゾーンに対するセキュリティのレベルを調整する	可 メモ [ローカル イントラネット] ゾーンと [信頼済みサイト] ゾーンのセキュリティ設定のみを変更できます。	可。Windows Server 2003 を実行するコンピューター上 不可。Windows Server 2008 を実行するコンピューター上	不可	不可
[信頼済みサイト] ゾーンにサイトを追加する	可	可	可	可
[ローカル イントラネット] ゾーンにサイトを追加する	可	可	可	可

Internet Explorer の他のすべてのタスクは、ユーザー アクセスをより厳しく制限しない限り、すべてのユーザー グループが実行できます。

ページのトップへ

Internet Explorer セキュリティ強化の構成は、サーバーがセキュリティの脅威にさらされる可能性を低減できるように設計されています。セキュリティ強化の構成を最大限に有効利用するには、次のブラウザー管理の推奨事項を考慮してください。

• すべてのインターネット サイトとイントラネット サイトは、既定では [インターネット] ゾーンに割り当てられます。インターネット サイトやイントラネット サイトを信頼しており、その機能が必要な場合は、インターネット サイトを [信頼済みサイト] ゾーンに追加し、イントラネット サイトを [ローカル イントラネット] ゾーンに追加します。各ゾーンに対するセキュリティのレベルの詳細については、「Internet Explorer セキュリティ強化の構成の効果」を参照してください。
  
  
• ブラウザーベースのクライアント アプリケーションをインターネット経由で実行するには、そのアプリケーションをホストしている Web ページを [信頼済みサイト] ゾーンに追加します。詳細については、「信頼済みサイト ゾーンにサイトを追加する」を参照してください。
  
  
• ブラウザーベースのクライアント アプリケーションをセキュリティで保護された安全なローカル イントラネット経由で実行するには、そのアプリケーションをホストしている Web ページを [ローカル イントラネット] ゾーンに追加します。詳細については、「ローカル イントラネット ゾーンにサイトを追加する」を参照してください。
  
  
• 内部サイトおよびローカル サーバーを [ローカル イントラネット] ゾーンに追加し、サーバーからアプリケーションにアクセスして実行できるようにします。
  
  
• インストール プロセスの一環として、unattend.txt を使用し、イントラネット サイトと UNC サーバーを [ローカル イントラネット] ゾーンの対象一覧に追加します。詳細については、Windows Server 2003 製品 CD の Deploy.cab に収められている Readme ファイルを参照してください。
  
  
• ドライバー、Service Pack、その他の更新プログラムをダウンロードするにはクライアント コンピューターを使用します。サーバーからは参照しないようにします。
  
  
• ディスク イメージを使用してオペレーティング システムをサーバーにインストールする場合、信頼するイントラネット サイトと UNC サーバーを [ローカル イントラネット] ゾーンに、信頼するインターネット サイトを [信頼済みサイト] ゾーンに、それぞれ基本イメージ上で追加します。その後で、さまざまなサーバーの種類と必要性に応じてイメージの一覧を変更できます。
  
  

Internet Explorer セキュリティ強化の構成をサーバー上で有効にすると、すべてのインターネット サイトに対するセキュリティ設定が [高] に設定されます。Web サイトを信頼しており、その機能が必要な場合は、Internet Explorer でそのサイトを [信頼済みサイト] ゾーンに追加できます。

1. 追加するサイトに移動します。
   
   
2. ステータス バー上でセキュリティ ゾーン名 ([インターネット] など) をクリックして、[インターネット セキュリティ] ダイアログ ボックスを開きます。
   
   
3. [信頼済みサイト] をクリックして、[サイト] をクリックします。
   
   
4. [信頼済みサイト] ダイアログ ボックスで、[追加] をクリックしてサイトを一覧に追加し、[閉じる] をクリックします。
   
   
5. ページを更新して、その新しいゾーンからサイトを表示します。
   
   
6. ブラウザーのステータス バーを調べ、そのサイトが [信頼済みサイト] ゾーンのサイトであることを確認します。
   
   

注

• インターネット サイトがスクリプトや ActiveX コントロールを使おうとすると、そのサイトを [信頼済みサイト] ゾーンに追加するように求めるメッセージがダイアログ ボックスに表示されます。このダイアログ ボックスを無効にしていても、Internet Explorer から再び有効にすることができます。[ツール] メニューの [インターネット オプション] をクリックします。[詳細設定] タブで、[セキュリティ強化の構成のダイアログを表示する] をオンにします。
  
  
• 1 つの Web ページを同時に複数のゾーンに追加することはできません。つまり、1 つのページを [信頼済みサイト] ゾーンと [ローカル イントラネット] ゾーンの両方に追加することはできません。
  
  
• Web ページを [信頼済みサイト] ゾーンに追加するということは、そのページのドメインを追加するということです。したがって、そのドメインにあるページはすべて追加されます。たとえば、http://www.microsoft.com/windows/ を [信頼済みサイト] ゾーンに追加すると、http://www.microsoft.com を追加したことになります。また、ヘルプとサポートのサイトを表示するには、そのサイトは別のドメインにあるので、http://support.microsoft.com を別途追加する必要があります。
  
  
• Internet Explorer は、[信頼済みサイト] ゾーン用に 2 つの異なる一覧を保持しています。そのうちの 1 つはセキュリティ強化の構成が有効な場合に有効になり、別の一覧はセキュリティ強化の構成が無効な場合に有効になります。Web ページを [信頼済みサイト] ゾーンに追加するとき、そのページはそのときに有効になっている一覧にのみ追加されます。
  
  
• ワイルドカード文字を使用して、特定ドメインのすべてのサブドメインを追加できます。たとえば、一覧に *.microsoft.com を追加すると、www.microsoft.com と support.microsoft.com の両方が追加されます。
  
  
• 多くのインターネット サイトは、複数のドメインを使用してコンテンツをホストしています。1 つのサイトの機能をすべて利用できるようにするには、複数のドメインを [信頼済みサイト] ゾーンに追加しなければならない場合があります。
  
  
• unattend.txt の特定の設定を使用すると、インストール中、一度に多数のサイトを [信頼済みサイト] ゾーンに追加できます。詳細については、Windows Server 2003 製品 CD の Deploy.cab に収められている Readme ファイルを参照してください。グループ ポリシーを使用して、複数のサイトを追加し、管理することもできます。詳細については、「Microsoft Windows Server 2003 Deployment Kit (Microsoft Windows Server 2003 展開キットに関するページ)」(http://go.microsoft.com/fwlink/?LinkID=4298) を参照してください。
  
  

Internet Explorer セキュリティ強化の構成を有効にすると、すべてのイントラネット サイトに対するセキュリティ設定が [高] に設定されます。その結果、[ローカル イントラネット] ゾーンに追加していないイントラネット サイトの場合は、閲覧するたびに資格情報 (ユーザー名とパスワード) を要求されるようになります。イントラネット サイトを定期的に使用しており、それらのサイトが信頼できるとわかっている場合は、Internet Explorer で、それらのサイトを [ローカル イントラネット] ゾーンに追加できます。

1. 追加するローカル イントラネット サイトに移動します。
   
   
2. ステータス バー上でセキュリティ ゾーン名 ([インターネット] など) をクリックして、[インターネット セキュリティ] ダイアログ ボックスを開きます。
   
   
3. [ローカル イントラネット] をクリックして、[サイト] をクリックします。
   
   
4. [ローカル イントラネット] ダイアログ ボックスで、[追加] をクリックしてサイトを一覧に追加し、[閉じる] をクリックします。
   
   
5. ページを更新して、その新しいゾーンからサイトを表示します。
   
   
6. ブラウザーのステータス バーを調べ、そのサイトが [ローカル イントラネット] ゾーンのサイトであることを確認します。
   
   

注

• インターネット サイトを [ローカル イントラネット] ゾーンに追加しないでください。追加すると、要求に応じて資格情報がそのサイトに自動的に送信されます。
  
  
• 1 つの Web ページを同時に複数のゾーンに追加することはできません。つまり、1 つのページを [信頼済みサイト] ゾーンと [ローカル イントラネット] ゾーンの両方に追加することはできません。
  
  
• セキュリティ強化の構成を使用すると、UNC パス上のスクリプト、実行可能ファイル、および安全でない可能性がある他のファイルへのアクセスも、アクセス先を [ローカル イントラネット] ゾーンに明示的に追加しない限り制限されます。たとえば、\\server\share\setup.exe にアクセスするには、\\server を [ローカル イントラネット] ゾーンに追加する必要があります。
  
  
• Web ページを [信頼済みサイト] ゾーンに追加するということは、そのページのドメインを追加するということです。したがって、そのドメインにあるページはすべて追加されます。たとえば、http://www.microsoft.com/windows/ を [信頼済みサイト] ゾーンに追加すると、http://www.microsoft.com を追加したことになります。また、ヘルプとサポートのサイトを表示するには、そのサイトは別のドメインにあるので、http://support.microsoft.com を別途追加する必要があります。
  
  
• Internet Explorer は、[ローカル イントラネット] ゾーン用に 2 つの異なる一覧を保持しています。そのうちの 1 つはセキュリティ強化の構成が有効な場合に有効になり、別の一覧はセキュリティ強化の構成が無効な場合に有効になります。Web サイトを [ローカル イントラネット] ゾーンに追加するとき、そのサイトはそのときに有効になっている一覧にのみ追加されます。
  
  
• unattend.txt の特定の設定を使用すると、インストール中、一度に多数のサイトを [ローカル イントラネット] ゾーンに追加できます。詳細については、Windows Server 2003 製品 CD の Deploy.cab に収められている Readme ファイルを参照してください。グループ ポリシーを使用して、複数のサイトを追加し、管理することもできます。詳細については、「Microsoft Windows Server 2003 Deployment Kit (Microsoft Windows Server 2003 展開キットに関するページ)」(http://go.microsoft.com/fwlink/?LinkID=4298) を参照してください。
  
  

Internet Explorer セキュリティ強化の構成では、サーバー上の特定のユーザー グループに許可する Internet Explorer アクセスのレベルを制御できます。特定のユーザーにセキュリティ強化の構成を適用する方法は、Windows Server 2003 と Windows Server 2008 では異なります。

Windows Server 2003 を実行するコンピューターを使用して、特定のユーザーにセキュリティ強化の構成を適用するには

Windows Server 2008 を実行するコンピューターを使用して、特定のユーザーにセキュリティ強化の構成を適用するには

注

• Internet Explorer セキュリティ強化の構成を Administrators グループに適用すると、設定が管理者に適用されます。Windows Server 2003 の場合、Internet Explorer セキュリティ強化の構成をその他すべてのユーザー グループに適用すると、設定は Administrators グループ以外のすべてのグループに適用されます。Windows Server 2008 の場合、Internet Explorer セキュリティ強化の構成を Users に適用すると、設定は Administrators グループ以外のすべてのグループに適用されます。
  
  
• Internet Explorer のセキュリティ ゾーンの詳細については、「About URL Security Zone Templates (URL セキュリティ ゾーン テンプレートに関するページ)」(http://go.microsoft.com/fwlink/?LinkId=12658) を参照してください。
  
  
• Internet Explorer が開いているときに、任意のユーザー グループに対して Internet Explorer セキュリティ強化の構成を適用した場合、変更を有効にするには、Internet Explorer を終了して再起動する必要があります。
  
  

使用している環境で Internet Explorer セキュリティ強化の構成を使用しない場合、Internet Explorer の [インターネット オプション] ダイアログ ボックスを使用して、サーバー上のセキュリティ設定を手動で適用できます。

Internet Explorer のセキュリティ設定を手動で適用するには

注

• [制限付きサイト] の場合は、[レベルのカスタマイズ] をクリックしてから、[リセット先] ボックスの一覧でレベルをクリックします。
  
  
• Internet Explorer のセキュリティ ゾーンの詳細については、「About URL Security Zone Templates (URL セキュリティ ゾーン テンプレートに関するページ)」(http://go.microsoft.com/fwlink/?LinkId=12658) を参照してください。
  
  

より新しいバージョンの Internet Explorer にアップグレードするときに、以前のバージョンからの設定は保持されます。セキュリティ強化の構成を使用している Internet Explorer をより新しいバージョンにアップグレードする場合、セキュリティ強化の構成は引き続き使用されます。ただし、セキュリティ強化の構成を使用していない Internet Explorer をアップグレードする場合には、この機能は有効にはなりません。

注

• ブラウザーのカスタマイズは、Internet Explorer をアップグレードする際に保持されます。Internet Explorer がセキュリティ強化の構成を使用しており、構成を変更した場合は、Internet Explorer のアップグレードではその変更が保持されます。
  
  
• セキュリティ強化の構成を使用している Internet Explorer を削除した場合、以前のバージョンの Internet Explorer で引き続きセキュリティ強化の構成が使用されます。また、セキュリティ強化の構成を使用していない Internet Explorer を削除した場合、削除後もセキュリティ強化の構成は使用されません。Internet Explorer のアップグレードと同様に、アンインストールのシナリオでもカスタマイズは保持されます。
  
  

ページのトップへ

サーバーを使用したインターネットの閲覧は、適切なセキュリティの実行に反する行為です。その理由は、インターネットを閲覧すると、サーバーがセキュリティ上の攻撃にさらされる可能性が高くなるためです。使用するブラウザーに関係なく、サーバー上での閲覧を制限する必要があります。

悪意のある Web ベースのコンテンツからのサーバーに対する攻撃の危険を軽減するには

• 一般的な Web コンテンツの閲覧にサーバーを使用しないでください。
  
  
• ドライバー、Service Pack、その他の更新プログラムをダウンロードするにはクライアント コンピューターを使用します。
  
  
• 安全が確認できない Web サイトを表示しないでください。
  
  
• 一般的な Web 閲覧には、管理者アカウントではなく制限付きのユーザー アカウントを使用します。
  
  
• グループ ポリシーを使用して、承認されていないユーザーがブラウザーのセキュリティ設定を不適切に変更することを防ぎます。