現在、ホームページ（Webサイト）はビジネス活動や消費者行動のあらゆるシーンで使用されている必要不可欠なツール。それに伴い、これらの魅力的な見込みを利用して不正な方法でサイトを攻撃する犯罪者たちの活動も増えている。本稿では、ウェブサイト管理に潜むセキュリティ上のリスクと、それに対する防衛策を実例に基づいて説明します。
目次
2023年度最新版、ホームページ（Webサイト）セキュリティの現状
スマートフォンやタブレットの広範な流行に合わせて、ビジネスや消費行動などすべての場でWebサイトの重要性はますます高まっています。それに応じて、Webサイトの脆弱性を狙ったサイバー犯罪も増えてきています。
独立行政法人情報処理推進機構（IPA）の2023年7月の「ソフトウェアの欠陥情報提出状況」によると、2023年第2四半期（4月～6月）に提出された脆弱性報告は171件で、うちWebサイト関連が87件、約5割を占めています。全体として見ると、2023年のWebサイト関連の欠陥情報提出は177件で、昨年の187件とやや下がったものの横這いの状態となっています。
ソフトウェア等の脆弱性関連情報に関する届出状況[2023年第2四半期（4月～6月）]
実際、secuasで診断した99.999%のWebサイトからなんらかの脆弱性が発見されています。あなたのサイトに脆弱性は本当にありませんか？無料で脆弱性の有無を診断出来るので一度クイック診断をお試しください。
近年、サイバー攻撃の対象は大手企業だけでなく、セキュリティ対策が不十分な中小企業や取引パートナー、供給業者などにも広がっています。サプライチェーン攻撃と呼ばれるこれらの攻撃は、年々増加している現象で、一般的な企業のWebサイトも攻撃の狙いになっています。
サプライチェーン攻撃のターゲットになると、Webサイトが改ざんされたり情報が漏洩したりする被害だけでなく、犯罪の手段として利用される可能性もあります。特に、Webサイトのバックエンドが改ざんされると、日々利用しているユーザーに大きな二次被害を与えることがあります。さらに、サイトの表示内容が改ざんされてしまうと、ユーザーがソーシャルメディアなどで拡散することで、企業の評価を損なったり、信頼を失墜させたりするリスクがあります。そのような状況がビジネスや信頼関係に悪影響を及ぼすのは、容易に想像できます。
Webサイトに潜む代表的な脆弱性とそのリスク
Webサイトを管理する際には、様々なセキュリティリスクが考慮されるべきである。その中で、一般的なWebサイトの機能別に、存在する可能性のあるセキュリティの弱点とそれに伴うリスクを説明します。
データ入力・出力の脆弱性
データ入力・出力に関する脆弱性には、例えばXSS（クロスサイトスクリプティング）、SQLインジェクション、OSコマンドインジェクション、HTTPヘッダインジェクション、メールヘッダインジェクションがあります。たとえば、SQLインジェクションの脆弱性があると、データベースが不正に操作され、個別情報の流出やウェブサイトの改ざんのようなリスクが存在します。
認証・承認に関する脆弱性
認証・承認に関連する問題があると、エラーメッセージや認証情報の推測可能性、暗号化されていない機密情報の送受信によって情報が流出するなど、さまざまなリスクがあります。ログインの試行回数制限やパスワード再設定機能に問題があると、不正なアクセスを促す可能性があります。権限昇格の脆弱性も、不正なアクセスや情報の改ざんや流出のリスクとなります。
セッション管理の問題
WEBサイトのセッション管理に問題があると、CookieのSecure属性の問題、セッション管理方法の不備、XSS等の脆弱性により、セッションが乗っ取られ、不正なアクセスやなりすましが発生する可能性があります。
バックエンドの設定問題
バックエンドの設定に問題があると、ヘッダーやエラーメッセージからシステム情報を見つけられたり、推測できる情報が表示されたりする可能性があります。また、管理画面に簡単にアクセスできるようになっていたり、安全な接続の設定に不備があった場合、不正なリモートアクセスやDoS攻撃のリスクが増えます。
設計・開発ミスから生じる問題
WEBアプリケーションやウェブサイトの設計・開発段階で処理ロジックに不備があると、予想外のリスクが生じる可能性があります。また、キャッシュ制御の不手際により、通信過程で重要な情報がキャッシュに残ると、情報が漏れるリスクがあります。さらに、設計や開発段階で予想可能な環境要素を十分に考慮しないと、不正なアクセスやクリックジャッキングのようなリスクが生じる可能性もある。
WEBサイト管理のセキュリティ対策とガイドライン
WEBサイトに対するセキュリティ脅威は日々増加しており、ここではウェブサイト管理上のリスクへ対抗するための対策を7つ説明します。
セキュアプログラミングの活用
ソフトウェアやアプリケーションのセキュリティは、製品の開発から着目されるべきです。テスト時にセキュリティホールが発見されても、修正は簡単ではありません。よって、既知の脆弱性、例えばSQLインジェクションといった問題に対処するため、設計段階から対策を講じる、これがセキュアプログラミングの核心です。IPAのリソースなどを参照して、詳細について学ぶことをおすすめします。
サーバーOSやソフトウェアの更新
WEBサイトシステムを構成するサーバーOSやソフトウェアを最新バージョンに維持することが基本的な対策です。セキュリティホールが見つかった場合、速やかにパッチを適用することが必須です。そのためには、自身のウェブサイトを構築するためのサーバーOSやソフトウェアを適切に知り、管理することが重要です。
WAF（WEBアプリケーションファイアウォール）の設置
WAFはWEBアプリケーションを攻撃から守ります。侵入元からの通信を遮断する(WAF)により、WEBサイトを保護するだけでなく、脆弱性を解消するまでのタイムラグも作り出せます。
セキュリティソフトウェアの導入
セキュリティソフトウェアの導入は単純かつ強力な対策です。ウェブ管理者や運営者のデバイスが攻撃を受け、ログイン情報が漏洩する可能性が存在します。ウェブアプリケーションのセキュリティを強化するだけでなく、その開発や運用に関わるスタッフのセキュリティ教育も重要です。
パスワードポリシーの整備と適用
スタッフのセキュリティ教育から派生する重要なポイントはパスワード管理です。管理者のパスワードが容易に推測可能なものや、同一のパスワードをシステム間で共有すると、アカウントが使われる危険性が高まります。パスワードについてはポリシーを設定し、その遵守を確認する必要があります。
CMSの更新とセキュリティ強化
ウェブサイトでWordPressなどのCMSを利用している場合、そのバージョンを最新に保ち、一連のセキュリティ対策に熱心に取り組むことが求められます。WordPressでは無料で全面的にセキュリティを強化できるプラグイン「SiteGuard WP Plugin」をはじめ、多数のセキュリティ対策用のプラグインが提供されています。下記記事にWordPressに必要なセキュリティ対策のプラグインをまとめておりますのでぜひ参考にしてください。
脆弱性の診断とペネトレーションテスト
脆弱性の診断はウェブアプリケーションのセキュリティホールを全方位から探すことができます。また、ペネトレーションテストはホワイトハットハッカーが模擬攻撃を行い、システム全体と運用面の弱点を発見します。これらのテストを定期的に実施することで、ウェブアプリケーションの信頼性とアクセシビリティを向上させることができます。
脆弱性診断とペネトレーションテストの違いがよく分からないとおっしゃる方も多数います。下記の記事でその違いについて説明しておりますので今の自社にとってどちらが必要なのかを考える参考にしてください。
今更聞けない「セキュリティ診断」「脆弱性診断」「ペネトレーションテスト」とは？言葉の違いからその種類、サービスの選び方まで大公開。
HTMLをもっと知りセキュリティ対策を万全にしよう。
現在はWebサイトもCSSやノーコードツールなど様々な構築方法が存在しますが、まだまだHTMLを用いて構築されているWebサイトが多数あります。
「Webサイトに潜む代表的な脆弱性とそのリスク」でも紹介したとおり、コードの設計を間違えてしまえばそこに脆弱性が発生しトラブルの種になってしまいます。
まずは独立行政法人 情報処理推進機構(IPA)が発行している「安全なウェブサイトの作り方」などを参考にしてみてください。
独立行政法人 情報処理推進機構 発行「安全なウェブサイトの作り方」
脆弱性を放置していると様々なトラブルに巻き込まれる恐れがあり、一度被害にあってしまうと大きな損害が出る可能性があります。金銭的な損害が出なくても信用を失ったりと目に見えない損害も発生することは間違いありません。もちろん、攻撃者が悪く企業は被害者ですが顧客やユーザーはそうは見てくれません。「セキュリティ対策をしていなかった企業」という不名誉な烙印を押され、長い間インターネット上に残ってしまいます。
まとめ まずは無料で出来るホームページ(Webサイト)のセキュリティチェックから
最初にも述べたようにWebサイトが普及してとても便利なモノであると多くの方が認識し、起業すると事務所よりもWebサイトに注力されることもあるほどです。
しかし、事務所にセキュリティにお金をかけてもWebサイトのセキュリティは見落とされることが多いです。多くの方が「うちは大丈夫！」とか「Web制作会社がやってくれてるだろう」と思い込んでいます。本当にそうでしょうか？
まずはsecuasの無料診断で現在のサイトに潜む脆弱性を確認してみることをお薦めします。