高水準のセキュリティ診断を無料でご利用いただける機能です。お名前.comでドメインをご契約の場合、どなたでも何度でもご利用いただけます。Naviより簡単に診断を行うことができ、結果はメールにてお届けいたします。ネームサーバーが初期状態など、Webサイトが公開されていない状態では診断できません。リダイレクト設定を行われている場合、リダイレクト先は診断対象外となります。競合サイトとの差別化要素となります。(サイトシールを貼る方法はこちら)※サイトシールは定期的なサイバー攻撃対策の取り組みを保証するもので、100%の安全を保障するものではございません。診断手順は、以下ガイドをご確認ください。サーバが込み合っている場合、診断結果メールの送信に最大で3日程度の時間がかかる場合がございます。Naviへログインをし直した後に、再診断が可能です。本サービスの利用規約に則ってご利用ください。現在PCのみ対応しております。レンタルサーバーのサービス仕様上、検知対象となってしまう項目がございます。お問い合わせページからご連絡ください。「検知された脆弱性検知項目の対策」につきましては、お名前.comではサポートいたしかねます。これらの対策はサービスの性質上、お客様にご対応いただけない項目となることあらかじめご了承ください。Webサイトを運用するうえでは、基本的に問題はございませんのでご安心ください。以下の項目についてはセキュリティ対策を実施済みのため、検査項目から除外されています。診断結果の主な項目について会員情報にご登録のメールアドレス宛てに送信される、診断結果レポートよりご確認いただける主な項目について、ご案内いたします。Naviからの手動操作での診断と、自動診断のどちらのチェック項目かを記載しています。※「検知された脆弱性検知項目の対策」につきましては、お名前.comではサポートいたしかねます。...)をサポートしていることを確認しました。...)には既知の脆弱性が報告されています。この脆弱性を利用した中間者攻撃により暗号化された通信内容が漏洩する可能性があります。...)以前をサポートすることは禁止となっています。通信内容が解読される可能性があります。...)の無効化を推奨します。・TLSv1.2以上のSSL/TLSプロトコルの利用を推奨します。...)をサポートしていることを確認しました。安全な通信を提供することができないため、暗号化された通信内容が漏洩する可能性があります。方式の組み合わせで、多数の組が存在します。通信を確立する際にいずれか一つの暗号スイートを選択し、その後の通信に利用します。通信内容が解読される可能性があります。・弱い暗号スイートの無効化を推奨します。...)を確認しました。詳細なバージョン情報は、攻撃者にとって有用な情報となります。バージョン情報をもとに、既知の脆弱性による攻撃を受ける可能性があります。堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・バージョン情報の秘匿化を推奨します。診断対象において、Telnetサーバが使用されていることを確認しました。盗まれた認証情報で操作できる範囲で攻撃者が任意の操作を実行可能です。・Telnetの無効化を推奨します。・機能が必要な場合は、暗号化されたプロコトルの利用を推奨します。プロトコルが稼働していることが確認できました。FTPプロトコルは、ログイン時の認証情報や通信内容を平文でやり取りするため、通信内容を盗聴されると、認証情報が漏洩する可能性があります。・FTPの無効化を推奨します。・機能が必要な場合は、暗号化されたプロコトルの利用を推奨します。プロトコルが稼働していることが確認できました。通信内容を盗聴されると認証情報などが漏洩する可能性があります。・POP3の無効化を推奨します。・機能が必要な場合は、暗号化されたプロコトルの利用を推奨します。プロトコルが稼働していることが確認できました。通信内容を盗聴されると認証情報などが漏洩する可能性があります。・IMAPの無効化を推奨します。・機能が必要な場合は、暗号化されたプロコトルの利用を推奨します。パラメータを使用していることを検出しました。パラメータを使用した場合は、現実的な時間内に秘密鍵の解読が可能であることが知られています。パラメータを利用して鍵交換を行った場合、秘密鍵が漏洩し暗号化された通信内容が解読される可能性があります。・弱い暗号スイートの無効化を推奨します。・弱い暗号スイートが必要な場合は、強度の高い鍵長の利用を推奨いたします。おいて、クライアントからの再ネゴシエーションをサポートしています。攻撃を行うことが可能となります。攻撃を行うことが可能なツールが複数存在するため、簡単に攻撃を行うことが可能です。攻撃を受けた場合、サービス不能に陥る可能性があります。・クライアントからのサイネゴシエーションの無効化を推奨します。クエリに対し応答します。この機能自体は、サーバーの時刻が表示されるだけであり、脆弱性というわけではございません。暗号化方式によってはサーバの現在時刻を参照して暗号化を行う手法もあり、サーバの時刻情報が暗号解読の一因となる可能性があります。Timestampクエリに応答しない設定を推奨します。メソッドをサポートしています。トラブルシューティングに利用されるメソッドですが通常の公開サーバでは必要ありません。Tracing」という攻撃手法がありましたが、現在はブラウザに脆弱性がない限り実行されず特にリスクはありません。・TRACEメソッドの無効化を推奨します。...)をサポートしていることを確認しました。脆弱な暗号化方式では十分に安全な通信を提供することができないため、通信内容が盗聴および改ざんされる可能性があります。・脆弱な暗号化方式の無効を推奨いたします。・脆弱な鍵交換方式の無効を推奨いたします。...)を確認しました。詳細なバージョン情報は、攻撃者にとって有用な情報です。バージョン情報をもとに、既知の脆弱性による攻撃を受ける可能性があります。堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・バージョン情報の秘匿化を推奨します。・当該脆弱性が修正されたセキュリティパッチの適用を推奨します。証明書に以下の脆弱性を確認しました。証明書が使用されています。証明書のエラーが出たとしても、ユーザは当該エラーが出ることが通常通りのシステム利用方法であると誤認してしまうため、中間者攻撃を受けた場合であっても、アクセスを許可してしまう可能性が高くなります。・信頼できる認証局から発行されたSSL証明書の利用を推奨します。サーバのホスト名を検出しました。サーバのホスト名を取得することが可能なため、攻撃者が攻撃を行う際のヒントやきっかけになる可能性があります。・ホスト名の秘匿化を推奨します。機能が有効になっていることを検出しました。送られてしまうため、サービス運用妨害攻撃の踏み台として利用される可能性があります。送られてしまうためサービス運用妨害攻撃の踏み台として利用される可能性があります。・Pingback機能を適切な無効化を推奨します。ファイルにおけるサービス運用妨害の脆弱性を検出しました(CVE-2018-6389)。ファイルを読み込む機能があり通信を効率化することが可能です。I/Oが発生し、サービス不能状態(DoS)になる脆弱性が存在しています。この脆弱性を利用した攻撃ツールも公開されており、容易に攻撃が可能です。この問題を脆弱性とは認めていないため、公式のパッチがリリースされていないだけでなく、最新版でも脆弱性が修正されていません。攻撃者によって細工されたリクエストを送信されると、サービス不能状態になる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。phpinfo関数の実行結果を含むページを検出しました。(URL,...)攻撃者はこの情報を確認することで、サーバに関する有益な情報を取得することができます。以下に取得できる一例を示します。取得した情報を元に、効果的な攻撃を受ける可能性があります。セキュリティに考慮していないシステムと推察され攻撃ターゲットとなる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。平文通信(HTTP)による認証サービスが稼働していることを確認しました。(URL,...)通信の盗聴が可能な環境で認証情報が漏洩する可能性があります。ログインなど秘密情報を送信するページが暗号化通信を使用していません。・認証情報の送受信が必要な場合は、暗号化した通信の利用を推奨します。サーバでは、ディレクトリリスティング機能が有効であり、対象のURL(URL,...)にアクセスした際に、ファイルの一覧情報を取得できる可能性があります。一覧にはディレクトリ内の全てのファイルが含まれているため、公開を想定していないファイルが表示されている可能性があります。公開を想定していない情報の漏洩により攻撃者に有用な情報の提供や、セキュリティに対する対策が低いと判断され攻撃を誘発する可能性があります。公開を想定していない情報が漏洩する可能性があります。セキュリティに対する対策が低いと判断され攻撃を誘発する可能性があります。・当該ディレクトリのディレクトリリスティング機能の無効化を推奨します。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。コマンドが有効になっていることを確認しました。当該コマンドを利用することでメールサーバに存在するユーザアカウントを調べることができます。総当たりまたは辞書攻撃によって以下のような行為につながる可能性があります。・VRFYコマンドの無効化を推奨します。コマンドは送信先メールアドレスを指定するコマンドです。答メッセージが異なるため、このメッセージの違いを利用して有効なユーザ名やメールアドレスを列挙することが可能です。仕様ではありますが、総当たりまたは辞書攻撃によって以下のような行為につながる可能性があります。・存在しないユーザ宛のメール返送が不要な場合は、副次的に効果を見込めるBackscatter対策の実施を推奨します。ヘッダによるクロスサイトスクリプティングの脆弱性を検出しました。バージョンはそれより古いと考えられます。サーバにもそれらの脆弱性が存在している可能性があります。等を不正に操作される可能性があります。・最新のバージョンの利用を推奨します。コンソールにおいてパスワードによる認証が有効であることを確認しました。アドレス、パスワードの内容によっては不正なアクセスを許してしまう可能性があります。一般的な名前であったり、強度の低いパスワードを使用していると攻撃者によるサーバへのログインが成功する可能性があります。同攻撃が成功した場合、ユーザの権限によりますが診断対象サーバからの情報漏洩や、サーバの不正利用が生じる可能性があります。・パスワードのみに依存しない認証方式の導入を推奨します。・パスワードのみによる認証が必要な場合は、社内のパスワードポリシーによる適切な運用の実施を推奨します。・ログイン履歴の適切な管理を推奨します。診断対象において、外部公開を意図していない管理用ページと想定されるページ(URL,...)にアクセスが可能なことを確認しました。今回の診断ではログインに成功していませんが、もしも認証が突破されてしまった場合は管理者機能へアクセスされる可能性があります。認証が突破された場合、攻撃者は管理者機能にアクセスする可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。診断対象のメールサーバにおいて、メール送信コマンド(キューの発行)を受け付けることを確認しました。実際にメールは配信されていませんが、送信先のドメインや挿入の構文によっては送信できる可能性があります。第三者にメールが送信できる場合は、踏み台サーバ(メールリレー)として利用されます。エラーメールが送信される場合は、他社に大量のエラーメールを送信するなどの悪戯に利用される可能性があります。エラーメールの内容によっては情報が漏洩する可能性があります。・当該機能が不要な場合は、機能の停止を推奨します。・当該機能が必要な場合は、認証機能の有効化や送信者チェックの実施を推奨します。有効になっていないサーバが検出されました。レスポンダに開示したりするような問題があります。呼ばれる機能を使用することで、これらの問題を解決することができます。レスポンダに開示したりする可能性があります。Staplingの有効化を推奨します。出力する情報が攻撃者に取得されると、更なる攻撃のヒントにつながる可能性があります。攻撃者に有用な情報を与えてしまう可能性があります。堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。フォルダ(URL,...)が公開されています。管理している情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより、堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。認証が検出されました。サーバに送信されます。そのため、通信が盗聴された場合ユーザ名とパスワードが漏洩する可能性があります。認証よりは安全ですが、完全に安全ではありません。認証のユーザ名とパスワードが漏洩する可能性があります。・認証情報の送受信が必要な場合は、暗号化した通信の利用を推奨します。ヘッダによる外部ドメインへのリダイレクトが可能な脆弱性が検出されました。ヘッダに返ってくるため、このレスポンスをブラウザが受け取った場合に、接続先とは異なるホストにリダイレクトします。ヘッダを改竄してユーザにアクセスさせることが可能になるので、攻撃実現度としては低くなります。使用しているユーザが、攻撃者のサイトへと誘導されることで、フィッシング詐欺などの被害が発生する可能性があります。・Hostヘッダフィールドに対して、意図しないHost値に対する処理のブロックを推奨します。ファイル(URL,...)が公開されています。管理している情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。Hypertext)と呼ばれる脆弱性が検出されました(CVE-2013-3587)。コンテンツの圧縮が有効な場合、実施TLSで通信が暗号されている状況においても、中間者攻撃により通信中に含まれる機密情報が攻撃者に推測され外部に漏洩する可能性があります。・HTTPS通信においてHTTP圧縮の無効化を推奨します。ファイル(URL,...)が外部から閲覧可能な状態になっています。ファイルの設定内容を参照することによってアクセス制御や設定を回避できる可能性があるため、機密情報や重要なファイル等が閲覧される可能性があります。ファイルの設定内容を参照することによってアクセス制御や設定を回避され、機密情報や重要なファイル等が攻撃者に漏洩する可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。閲覧可能になっている脆弱性が検出されました。このファイル(URL,...)によって、ディレクトリ内に存在するファイルの一覧を閲覧することが可能です。攻撃者に有用な情報を与えてしまう可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。番号が漏えいする脆弱性が検出されました。ように表記するユニークな識別子であり、キャッシュされたコンテンツが最新状態かどうかを判断するのに使用されます。番号を使用しないことを推奨します。番号が異なるためキャッシュが最新でないと認識され、不要なリクエストが発生してしまう問題があります。ファイルのinode番号が外部に漏洩する可能性があります。・ETagヘッダフィールド上にinode番号を含めない設定を推奨します。診断対象のWebサーバにおいて、mod_statusが有効であることを確認しました。外部から「/server-status」のパスにアクセスすることにより、サーバのバージョン、アクセスログ、使用者などを含むサーバの詳細な内部情報を取得することができます。サーバおよびアクセスしているクライアントに関する情報漏洩および、情報を利用したさらなる攻撃を受ける可能性があります。検出されたサーバのバージョンに脆弱性が顕在化したときに、攻撃のターゲットとなる可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。・当該機能が不要な場合は、機能の無効化を推奨します。診断対象のWebサーバにおいて、mod_infoが有効であることを確認しました。外部から「/server-info」のパスにアクセスすることにより、サーバのバージョン、モジュール設定などを含むサーバの詳細な内部情報を取得することができます。サーバおよびアクセスしているクライアントに関する情報漏洩および、情報を利用したさらなる攻撃を受ける可能性があります。検出されたサーバのバージョンに脆弱性が顕在化したときに、攻撃のターゲットとなる可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。・当該機能が不要な場合は、機能の無効化を推奨します。サーバにおいて、関連するサブドメインを取得しました。攻撃者に有用な情報を与えてしまう可能性があります。存在を認識していないドメイン、公開の意図がないにも関わらずアクセス可能なドメインがある場合、攻撃者に攻撃の起点とされる可能性があります。ドメインが登録されているものの、名前解決先のサーバが存在しない場合、サブドメインテイクオーバーの攻撃の対象となる可能性があります。機能が有効であることを確認しました。この機能を利用することで、拡張子が異なる同一ファイル名の一覧を取得することができます。ファイルに含まれる情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。・当該機能が不要な場合は、機能の無効化を推奨します。・外部公開が不要なファイルの削除を推奨します。本来公開されるべきではないシステム情報やデフォルトコンテンツ、デフォルトページ等(URL,...)を外部から閲覧可能であることを確認しました。デフォルトページやマニュアル、システム情報等に含まれる情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。いう印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。サービスが検出されました。辞書攻撃や総当り攻撃の対象とされ、ログインに成功された場合システムを不正に利用される可能性があります。・パスワードのみに依存しない認証方式の導入を推奨します。・パスワードのみによる認証が必要な場合は、社内のパスワードポリシーによる適切な運用の実施を推奨します。・ログイン履歴の適切な管理を推奨します。初期設定画面に不特定多数からアクセス可能な状態になっています。初期設定画面に記載されている情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより、堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。...)を検出しました。アドレスから内部ネットワーク構成を推測できるため、不正アクセスのヒントとなる可能性があります。・Webサーバからのレスポンスに不要な情報が含まれている場合、当該情報の応答の無効化を推奨します。サポートの終了したソフトウェア(ソフトフェアのバージョン情報,...)の利用を検出しました。サポートの終了したソフトウェアは、セキュリティ更新プログラム等の提供が終了しているため、利用を継続するにあたりリスクが高い状態にあります。サポートの終了したソフトウェアは新たな脆弱性が発見された際にパッチが配布されないばかりでなく、脆弱性の報告自体されなくなるため、潜在的に脆弱性を抱えている可能性があります。サポートの終了したソフトウェアを利用し続けることで、不要な攻撃を招く原因となる可能性があります。・最新のバージョンの利用を推奨します。Security(HSTS)は通信の際に常に有効で安全な接続を利用するよう、設定をブラウザに対して行うヘッダです。サーバのTLS証明書が信頼されない場合、ブラウザはアプリケーションとの接続を行わなくなります。ユーザがhttp://で始まるURLにアクセスする場合、自動的にスキームがhttps://に変更されます。このセキュリティ対策は中間者攻撃を防ぐのに役立ちます。Webサイトが中間者攻撃やセッションハイジャッキングなどの攻撃に対して脆弱である可能性があります。HTTPへのリクエスト時にHTTPSへのリダイレクトが設定されている場合にも、中間者攻撃によりHTTPSへのアップグレード前に悪意あるサイトに誘導される可能性があります。・HSTSの有効化を推奨します。複数設定されています。7034)では明示的にサポートされていません。"deny"または"sameorigin"以外の値が設定されています。(URL,...)|}既存のWebサイトはX-Frame-Optionsヘッダを可能な限り早く且つ正しくサポートすることが期待されます。object内でサイトがどのようにフレーム化されるかをサイトが制御できるようにするHTTPヘッダであり、クリックハイジャッキング攻撃の防止に効果があります。悪意のあるサイトがユーザーをだましてサイト上のリンクをクリックさせることを可能にするクリックジャッキング攻撃に対して脆弱である可能性があります。・当該機能の設定を推奨します。タイプを指定しない場合にブラウザはスクリプトやスタイルシートを読み込まなくなります。タイプスニッフィング攻撃に対して脆弱である可能性があります。テキストコンテンツやバイナリコンテンツ等実行不可能なコンテンツを実行可能なHTMLやスクリプトとして解釈される可能性がある特定のシナリオにおいて影響を及ぼします。・当該機能の設定を推奨します。診断対象のWebサーバからのレスポンスヘッダで以下を確認しました。必要な場合を除き指定はしないでください。して設定されています。許可しているオリジンに潜在的なリスクが存在する可能性があります。設定されており、認証情報を含むリクエストが許可されています。意図しないオリジンからのリソース読み込みを許可してしまいます。設定に不備があった場合、診断対象のWebサーバで運用されるシステムの利用者情報が第三者サイトに漏洩する危険性があります。・設定する場合は適切な機能に対して必要な最小限のオリジンを指定することを推奨します。不要であればこのヘッダの設定を削除することも検討してください。|Secure属性}が適切に設定されていません。{Secure属性が設定されていない場合、暗号化されていない経路上でCookieに含まれるセッションキーやログイン情報等の機密情報が盗聴される恐れがあります。|加えて、HttpOnly属性が設定されていない場合はJavaScriptによるCookieへのアクセスが可能です。有効期限を設定していない場合、Cookieが長期保存される可能性があり、Cookie内のセッション識別子やユーザー情報が漏洩したり、不正アクセスされるリスクが高くなります。・当該機能の設定を推奨します。設定不備(詳細,...)があります。}このヘッダを適切に設定することで、ブラウザへの読み込みや実行を許可するコンテンツの種類を制限し、クロスサイトスクリプティングやクリックハイジャッキングなどのクライアントサイドの攻撃を防止するのに役立ちます。(XSS)やクリックジャッキング、その他のコードインジェクション系の攻撃に対して脆弱である可能性があります。・当該機能の設定を推奨します。bashの環境変数の処理に関連する任意のコード実行等を可能とする脆弱性(ShellShock)を検出しました。サーバOS上での任意コマンド実行による侵入行為や、サービス停止などの危険性があります。細工したリクエストを送信することでサーバのメモリ上にあるデータを読み取ることが可能となる脆弱性(Heartbleed)を検出しました。この脆弱性を悪用することで攻撃者はWebサーバ上のメモリに格納されたデータを外部から取得できます。これにより診断対象のWebサーバ上で稼働するアプリケーションの機密情報や利用者の重要情報などが漏洩する危険性があります。上でシステム停止や任意のコード実行を許す可能性があります。サーバOS上での任意コマンド実行による侵入行為や、サービス停止などの危険性があります。プロトコルが稼働していることを確認しました。プロトコルはデータベースの操作を行うために利用しますが多くの場合に外部公開する必要はありません。パスワードの総当たり攻撃等の標的にされ、突破された場合は重要情報の漏洩や改竄、任意のシステムコマンドの実行などの危険性があります。当該ポートの公開が他の設定不備やセキュリティ対策欠如等の印象を攻撃者に与え更なる攻撃に繋がる恐れがあります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。プロトコルが稼働していることを確認しました。プロトコルはデータベースの操作を行うために利用しますが多くの場合に外部公開する必要はありません。パスワードの総当たり攻撃等の標的にされ、突破された場合は重要情報の漏洩や改竄、任意のシステムコマンドの実行などの危険性があります。当該ポートの公開が他の設定不備やセキュリティ対策欠如等の印象を攻撃者に与え更なる攻撃に繋がる恐れがあります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。プロトコルが稼働していることを確認しました。プロトコルはインメモリデータベースの操作を行うために利用しますが多くの場合に外部公開する必要はありません。初期設定では認証の仕組みが用意されていないため、外部からのデータ読み出しや削除、任意のシステムコマンド実行などができる可能性があります。設定によってはサーバ内の任意場所にファイル書き込みバックドアの設置等、段階的な攻撃の足掛かりとなる場合があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。プロトコルが稼働していることを確認しました。プロトコルはデータベースの操作を行うために利用しますが多くの場合に外部公開する必要はありません。パスワードの総当たり攻撃等の標的にされ、突破された場合は重要情報の漏洩や改竄などの危険性があります。当該ポートの公開が他の設定不備やセキュリティ対策欠如等の印象を攻撃者に与え更なる攻撃に繋がる恐れがあります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。用いて以下のユーザ一覧が取得できました。ユーザ一覧情報はパスワードのブルートフォースアタック等の攻撃の糸口や、また他の不要な攻撃を招く原因となる可能性があります。・当該機能が不要な場合は、機能の停止を推奨します。ログイン画面(URL,...)から新規ユーザ登録が可能であることを確認しました。外部の第三者による投稿等のコンテンツ作成や削除、更新、またデフォルトで付与される権限によってはサーバが乗っ取られる可能性があります。・当該機能が不要な場合は、機能の停止を推奨します。アップロードディレクトリのリスティング機能が有効になっているため、ディレクトリにアクセスした際にファイルの一覧情報(URL,...)が取得可能であることを確認しました。一覧にはディレクトリ内の全てのファイルが含まれているため、公開を想定していないファイルが表示されている可能性があります。公開を想定していない情報の漏洩により攻撃者に有用な情報の提供や、セキュリティに対する対策が低いと判断され攻撃を誘発する可能性があります。・当該ディレクトリのディレクトリリスティング機能の無効化を推奨します。・外部公開が不要なファイルは、ファイルの削除を推奨します。設定ファイルのバックアップと考えられるファイル(URL,...)が外部から閲覧可能であることを確認しました。データベースのホスト名やユーザ名、パスワード等の機密情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのファイル閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・外部公開が不要なファイルは、ファイルの削除を推奨します。データベースのバックアップファイルが格納されているディレクトリのリスティング機能が有効になっているため、バックアップファイルの一覧情報及びバックアップデータ(URL,...)が取得可能であることを確認しました。診断対象のWordpressに関するシステム情報や、また利用者のユーザデータ等が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのファイル閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・外部公開が不要なファイルは、ファイルの削除を推奨します。データベースのダンプファイル(URL,...)が外部から閲覧可能であることを確認しました。診断対象のWordpressに関するシステム情報や、また利用者のユーザデータ等が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのファイル閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・外部公開が不要なファイルは、ファイルの削除を推奨します。...)が存在します。攻撃者は取得したバージョン情報を基に既知の脆弱性を狙った攻撃を行います。既知の脆弱性の影響が無いとしても調査によって他の要因による脆弱性が検出され、攻撃への糸口となる可能性があります。・最新のバージョンの利用を推奨します。プラグインを検出しました。...)が存在します。攻撃者は取得したバージョン情報を基に既知の脆弱性を狙った攻撃を行います。プラグインに既知の脆弱性の影響が無いとしても調査によって他の要因による脆弱性が検出され、攻撃への糸口となる可能性があります。・最新のバージョンの利用を推奨します。テーマを検出しました。...)が存在します。攻撃者は取得したバージョン情報を基に既知の脆弱性を狙った攻撃を行います。テーマに既知の脆弱性の影響が無いとしても調査によって他の要因による脆弱性が検出され、攻撃への糸口となる可能性があります。・最新のバージョンの利用を推奨します。データベース関連情報(URL,...)が外部から閲覧可能であることを確認しました。システム情報等が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。管理ポートを介して任意のシステムを実行する可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではないシステムの設定情報(URL,...)が外部から閲覧可能であることを確認しました。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。サービスで匿名ユーザでのログインが可能であることを確認いたしました。一般的に不特定多数のユーザにファイルを公開・共有する目的で使用しますが、現在では代替手段が他に数多く存在するため、匿名ユーザでのログインが有効であることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該機能が不要な場合は、機能の無効化を推奨します。本来公開されるべきではないシステムの構成情報(URL,...)が外部から閲覧可能であることを確認しました。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではないシステム情報やデフォルトコンテンツ、デフォルトページ等(URL,...)を外部から閲覧可能であることを確認しました。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。Swagger(OpenAPI)形式のAPIドキュメント(URL,...)が外部から閲覧可能であることを確認しました。非公開のAPIが公開されている場合にさらなる調査や攻撃につながる可能性があります。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。環境変数を設定するファイル(URL,...)が公開されることでファイル内に含まれる鍵情報などの機密情報が漏洩する可能性があります。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。ダッシュボード(URL,...)が外部から閲覧可能であることを確認しました。攻撃に繋がる可能性があります。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。出力(URL,...)が外部から閲覧可能であることを確認しました。稼働状況が公開されています。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。awsのコンフィグファイル(URL,...)が外部から閲覧可能であることを確認しました。機密情報が漏洩する可能性があります。システム情報等に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。バージョン管理システム関連のフォルダもしくはファイル(URL,...)が外部から閲覧可能であることを確認しました。管理している情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。readme(URL,...)が外部から閲覧可能であることを確認しました。readmeファイルに含まれる情報により、攻撃者が攻撃を行う際のヒントやきかっけとなる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではない認証情報と思わしき情報(URL,...)が外部から閲覧可能であることを確認しました。認証情報が有効で有ると想定したリスクレベルとしています。認証情報が漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではないログファイル(URL,...)が外部から閲覧可能であることを確認しました。ログとして出力されるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではないバックアップファイル(URL,...)が外部から閲覧可能であることを確認しました。認証情報や設定情報等の機密データやログ、コンテンツ等のデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。...)を検出しました。サーバのバージョンを取得することが可能なため、攻撃者が攻撃を行う際のヒントやきっかけとなる可能性があります。・バージョン情報の秘匿化を推奨します。...)が稼働していることを外部から確認しました。パスワードの総当たり攻撃等の標的にされる可能性があります。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。...)で稼働していることを外部から確認しました。当該ポートはデバッグや開発環境の公開等に利用されることが多いためこれらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・意図せず公開されているポートは停止を推奨します。・外部からのアクセスが必要な場合は、不特定多数からのアクセスができないようアクセス制御等による適切な運用の実施を推奨します。サーバ内のファイルが漏洩する可能性があります。Webサーバが動作しているユーザ権限でアクセスできるファイルが外部から取得可能です。・任意のファイル名を指定できるような実装は可能な限り避けることを推奨します。...)が含まれていることを確認認しました。詳細なバージョン情報は、攻撃者にとって有用な情報となります。バージョン情報をもとに、既知の脆弱性による攻撃を受ける可能性があります。堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・バージョン情報の秘匿化を推奨します。本来公開されるべきではないコマンド履歴ファイル(URL,...)が外部から閲覧可能であることを確認しました。コマンド履歴として出力されるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。本来公開されるべきではないシェルの設定情報(URL,...)が外部から閲覧可能であることを確認しました。シェルの設定に含まれるデータが漏洩するとともに、その情報を用いた他の攻撃につながる可能性があります。これらのページが閲覧できることにより堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・当該ファイルが不要な場合は、当該ファイルの削除を推奨します。・当該ファイルが必要な場合は、適切なアクセス制御の実施を推奨します。デバッグもしくはエラーメッセージ(エラーメッセージ,...)からシステムの構成情報等を推測できる可能性があります。攻撃者は取得した情報を基に既知の脆弱性があるか調査し、脆弱性を狙った攻撃を行います。検出されたソフトウェアに既知の脆弱性の影響が無いとしても、調査によって他の要因による脆弱性が検出され、攻撃への糸口となる可能性があります。・デバッグもしくはエラーメッセージの出力を無効にすることを推奨します。診断対象において機密情報等を送信している可能性のある機能があります。サーバのログなどに残るため、第三者に機密情報が漏洩する可能性があります。漏洩した機密情報を元に更なる攻撃に繋がる可能性があります。・重要情報を送信する場合はリクエストボディの利用を推奨します。ヘッダ内に機密情報等を含んだまま別ドメインにアクセスを行う可能性のある機能があります。サーバのログなどに残るため、第三者に機密情報が漏洩する可能性があります。漏洩した機密情報を元に更なる攻撃に繋がる可能性があります。ヘッダには機密情報を含まないような実装を推奨します。値を制御できる可能性があります。値を設定できることは通常バグとみなされます。Bomb等の攻撃に発展する可能性があります。名前や値を制御することを許可しない実装(区切り文字に相当するセミコロンを除外する等)を推奨します。属性値を制御できる可能性があります。ブラウザ上で、改竄されたページ内容の表示や悪意あるスクリプトを実行される可能性があります。・セキュリティ診断員による追加の調査を推奨します。IPアドレス)が含まれていることを確認しました。攻撃者は取得した情報を基に既知の脆弱性があるか調査し、脆弱性を狙った攻撃を行います。検出されたソフトウェアに既知の脆弱性の影響が無いとしても、調査によって他の要因による脆弱性が検出され、攻撃への糸口となる可能性があります。アドレスの秘匿化を推奨します。挿入できる可能性があります。ブラウザ上で、改竄されたページ内容の表示や悪意あるスクリプトを実行される可能性があります。・セキュリティ診断員による追加の調査を推奨します。開発モードが有効になっています。バージョンやコンパイルオプション等を参照可能です。漏洩した機密情報を元に更なる攻撃に繋がる可能性があります。・アプリケーションを開発モードで公開しないことを推奨します。...)が含まれていることを確認しました。詳細なバージョン情報は、攻撃者にとって有用な情報となります。バージョン情報をもとに、既知の脆弱性による攻撃を受ける可能性があります。堅牢では無いホストであるという印象を攻撃者に与え、さらなる調査や攻撃に繋がる可能性があります。・バージョン情報の秘匿化を推奨します。診断対象サイトはタブナビングの脆弱性を含んでいる可能性があります。書き換えられることでフィッシングサイトへ誘導される可能性があります。