Webサイトのセキュリティのお話

こんにちは。
上海KEMBO 総経理 CTO の佐々木です。

最近、サイバー攻撃や情報漏洩のニュースが続いています。今日は、Webサイトやミニプログラムを作って運用してきた制作会社の立場から、公開したあとのセキュリティについて書いてみたいと思います。

公開したものは、見つけられます

インターネットには、ログイン画面などのセキュリティホールを、昼夜を問わず自動で調べて回る仕組みが動いています。調べているのは人ではなく、プログラムです。

世界のIPv4アドレスは約43億個あります。以前なら、そのすべてに当たってみるのは大変な作業でした。今は違います。研究用に公開されているスキャンツールのZMapは、一般的なPCとギガビット回線で、IPv4全体の1つのポートを45分未満で調べられるとしています。10ギガビットの環境なら5分未満です。

わざと狙われやすい「囮」のサーバーを公開した検証もあります。英国のセキュリティ企業Intruderが、認証のないデータベースを公開した実験では、最も早いもので公開から9分で侵入されました。宣伝は一切していません。Palo Alto Networksの調査（Unit 42）では、世界各地に置いた320台の囮のうち80%が24時間以内に、すべてが1週間以内に侵害されています。

小さな会社のサイトだから見つからない、ということはありません。

見つかったサーバーは、次の攻撃に使われます

侵入されたサーバーは、情報を抜かれるだけで終わりません。ハッカーはそのサーバーを踏み台にして、別の相手への攻撃に使います。

1台から攻撃するのではありません。何百台、何千台、何万台と踏み台を揃え、それを一斉に動かして、一つのサイトにアクセスを集中させます。サイトはそのアクセスに耐えられず、止まってしまいます。

自社のサーバーが侵入されると、自社が被害を受けるだけでなく、知らないうちに誰かを攻撃する側に回ることになります。

AIが悪用されるようになって、こうした攻撃の規模も手段も、さらに増えています。

狙われるのは、サーバーだけではありません

踏み台にされるのは、WebサーバーやDBサーバーだけではありません。

例えば、ペットや子どもの様子を見るための家庭用の見守りカメラにも、OSが入っています。OSが入っていれば、パソコンやサーバーと同じように、外から入り込まれて攻撃元にされることがあります。

今は、パソコンやサーバーだけでなく、身近な機器の多くにOSが組み込まれています。インターネットにつながる機器が増えるほど、ハッカーにとって使える手段も機会も増えていきます。時代が変わるにつれて、攻撃する側の選択肢も広がっているということです。

だから、点検と更新を続ける必要があります

CMSやプラグイン、サーバーのソフトウェアには、新しい脆弱性が次々に見つかります。公開したときに問題がなくても、そのままにしておけば安全とは言えなくなります。

一度作って終わりではなく、定期的に点検して、更新を続けること。これが今のセキュリティの前提だと思っています。

中国でよく聞く「管理者が分からない」

中国では、数年前に作ったサイトの管理者がよく分からない、担当者が辞めてしまった、という話をよく聞きます。

ICP備案の担当者として、すでに辞めたスタッフの名前が残っていた、というケースもあります。ただ、これは時間はかかりますが変更できるので、大きな問題にはなりません。サーバーやICPの名義は変えられます。

困るのは、管理画面へのログイン情報が分からなくなり、前の制作会社や前の担当者とも連絡がつかない場合です。こうなると更新ができず、リニューアルするしかなくなることもあります。更新できないサイトも、そのあいだずっと公開され、調べられ続けています。

見直しておきたいこと

１．管理画面のログイン情報を、個人ではなく会社として保管しているか
２．更新と点検の担当者と頻度が決まっているか
３．最後に更新や点検をしたのはいつか
４．保守とセキュリティ対策の費用が、毎年の予算に入っているか

見直すきっかけになると幸いです。

おわりに

攻撃する側は、プログラムと踏み台を使って休まず動いています。こちらも、点検と更新を続けるしかありません。そのためには、できる対策を毎年の予算として組んでおくことが必要な時代になったと感じています。

KEMBOでは、Webサイトやミニプログラムの制作・保守に加えて、セキュリティ対策についても専門のパートナーと連携して支援しています。管理者が分からなくなったサイトの扱いなども含めて、お気軽にご相談ください。

参考

関連投稿