』という記事を寄稿しました。おけるセキュリティヘッダ全般を解説しています。サイト改ざんと解析されています。被害を抑止できた可能性が高いものです。効果が高いですが、その利用についての情報は多くありません。サイトで発生したインシデントの概略とその対策について、セキュリティ目線で確認したいと思います。件のクレジットカード情報漏洩の可能性を公表しました。日経クロステック)この原因としては、「同サイトを構築するプラットフォームシステムに第三者が不正アクセスし、同サイトのURLを改ざんした痕跡が確認されている」(広報)とのことです。アーカイブ内に悪意あるコードがあると解析されています。togetter)(筆者による攻撃に関する推測)この被害により、タリーズコーヒージャパンはもとより、利用者に対してもカード情報不正利用等の被害が想定されています。今回のサイト改ざんに於いては、いくつかの段階があったと考えられます。活用したウェブサービスを仮定して、想定される攻撃と対策を検討してみたいと思います。タリーズオンラインストアの実態についての記述ではないこと、ご認識ください。広く利用されているスライダーライブラリです。改ざんのターゲットに悪用されました。オブジェクトストレージが利用されています。脆弱性を悪用されて、コンテンツ改ざんが起きることはほとんどありません。このようなデータの改ざんは、設定ミスや不適切な設計や侵入検知時の対応不備など、サービスの利用側の問題で多く発生しています。改ざんを防ぐためのソリューションとしては、以下が考えられます。より設定ミスを抑止し、環境を堅牢化する。GuardDuty侵入・改ざんなどのイベントを検知し、攻撃を認識、インシデントハンドリングする。保存し、改ざんの記録を残す。これらの機能を利用し、ソースコードの改ざんを防ぎ、検知し、記録を残すことが必要です。保証する機能があります。この機能を利用しない場合は全てのコードが実行されます。属性は、リソースが改ざんされたときにその実行を抑止します。このように、サブリソース完全性を担保するソリューションとしては、以下が考えられます。属性サブリソースが改ざんされたときに、ブラウザでの実行を抑止する。コードの不備やリスクを検知する。Inspectorコードの脆弱性やライブラリの脆弱性を検知する。これらの機能を利用し、改ざんされたコードの利用を防ぎ、改ざんに対して堅牢化することが必要です。ソースコードの実行だけでなく、その通信先まで管理し、ユーザー情報が漏洩することを防ぐことができます。構成することで、悪意あるスクリプトの実行を防ぎ、悪意ある通信を防ぐことができるようになります。ついては、次の章で解説します。このように、情報漏洩を防ぐソリューションとしては、以下のようなソリューションが考えられます。うち、悪意あるスクリプトから保護するために有用な機能を記載します。多くの機能を有しています。記述は是非ご確認ください。有用なため、合わせての利用を検討してください。して利用されるソースを制限できます。利用して同一オリジンに限定できます。ライブラリを利用することも可能となります。重要な機能として、危険なソースコードが利用できなくなります。コードは利用できなくなります。これにより、悪意あるコードが実行されるリスクを最小化することが可能です。スクリプトが接続する先を制限できます。通信先を制限するものです。より制限することが可能です。タグの送信先を制限できます。送信先を改ざんする場合などであっても、情報漏洩を防ぐことが可能となります。これにより、情報漏洩に対してリスクを最小化することが可能です。フレームコンテンツの提供元を制限できます。他者の提供するコンテンツを自社サイト内で利用するのに便利ですが、他者がコンテンツを管理しているため、悪意あるコードが入り込むリスクがあります。指定することが可能となります。合わせて利用することが重要となります。内での動作を制限します。悪意ある行動を抑止できます。単体で記述すると、全ての危険な動作が禁止されるため、最も堅牢な状態になります。内での不正な動作を抑止します。アプリケーションの保護には、脆弱性診断などの対策が取られてきました。攻撃に対して堅牢であることを確認できます。今の情報漏洩の多くは、サーバー側ではなく、クライアント側で起きています。含めたブラウザ側の堅牢化を行うことで、クライアント側でのリスクを最小化することが可能です。ような手段だけでなく、クライアント側の堅牢化についても検討を行ってください。セキュリティ屋のウサギさん。Typescript。本の虫だったので、文章を書くのが大好き。しろうさが書いた記事xfacebookはてなブックマークpocketお客様のご要望に柔軟に対応いたします。お気軽にご相談ください。cloudpackは、アイレット株式会社が提供するクラウド支援サービスです。問い合わせまでトータルサポート!お問い合わせはこちらアイレットでは、様々な職種で一緒に働ける仲間を募集しています。インフラエンジニア、開発エンジニア、クリエイティブ職、営業職など、様々な職種で一緒に働ける仲間を募集しています。アイレット公式サイト採用情報をご覧ください。採用情報プライバシーポリシークラウド導入のご相談、お見積り、サービスについてのご質問などお気軽にお問い合わせください。最新情報が得られるメルマガ登録はこちら。