質問: 今後のxpの設定について 似たような質問が多い中恐縮ですが、こんな方法はどうなのかな?って思ったんで、質問させて下さい。 現在、それぞれのpcに固有のipアドレスをふって、lanを構築してます。 lanの中には、古い ウインnt もあります。 ただ、このntは、lanに接続できて、データ等のやり取り、プリンターの共有はできるけど、外部のネットには一切繋がりません。たぶん退職された先輩が、ntをネット接続する必要性が無かったのでそういう設定にしたんだと思います。 で、4月のxpの打ち切りの際にntと同じ様な設定にして、xpプロでしか動かせない機械を動かす為の専用機として利用できないのかな?と模索しています。最悪の場合は、ネットから完全に隔離して使うつもりですが、できればプリンターの共有の機能は残したいです。 先輩のntの設定を見ると、共通の数値を利用している「デフォルトゲートウエイ」という項目の値だけが空欄になっています。 ネットで検索してみると、デフォルトゲートウエイをあえて設定せずに、lanに接続できてwalに接続できないという環境を簡単に作れる。という標記がありました。 そこで、4月以降xpマシンのみ、デフォルトゲートウエイの数値を空欄にして、現状のntと同じような方法で運用しても、ネットに接続できる7、8と同じlan内にある以上危険性は同じですか?7や8とデータのやり取りを行うというよりも、7や8と同じプリンターにxp単独で作ったデータを送りたいというようなイメージの運用なんですが?? xpのイメージバックアップのデータはあるので、明らかなウイルス感染が分かれば現状への復帰は比較的容易にできる環境ですが、知らぬ間に自分のpcが悪用され続けるような期限性がデフォルトゲートウエイの設定位では防げないようなら、ネットからの隔離しかないかと考えています。
回答: 簡単な概念としては、セキュリティホールにはいろんなものがあり また、セキュリティ上の制限にもいろんなことがあるということです。 たとえば、xp機に権限昇格のセキュリティホールが残ったとします。 そうすると、lan上で重要な設定変更ができるようになります。 つまり、デフォルトゲートウェイの設定を追加することもできるわけです。 もちろん、それがxpまで到達して実行されることは難しいわけですが 7,8機に、権限昇格はできないにしても xp機にファイルを送り込めるようなセキュリティホールが見つかれば それが塞がれる前に、攻撃が通り抜ける恐れはあります。 そもそも、通信できるということは、同じtcp/ipのlanの中で 通信可能なipアドレスが割り当てられているわけですから よくwormが行うように、スキャンすれば、存在はすぐ見つかるものです。 ルーター装置に不具合が発見されれば、そこから 7,8を無視して、xpだけが攻撃を受けるようなこともありえます。 (一般的にルーター装置は不具合修正が放置されやすい機器です) もちろん、内部の犯行や、単純な運用ミスとしての攻撃のリスクも、無いとは言い切れません。 まぁ、大きな会社でなければ、事務端末に usbメモリーも自由に接続できないといった 厳格なセキュリティポリシーは最初から無いと思いますが... 「これは理論上できない」と、確信できるだけの知識が無いかぎり xpは使わないというのが理想であることは間違いありません。 実際の運用のすべてを把握していない人が 安全だと判断したとしても、例外的な要素があるかもしれませんし また、こういったサイトや雑誌などの記事のすべてが 関連するトラブルに対して、一切補償しないことも忘れないで下さい。