Web担のセキュリティ診断を受けてみた初代編集長ブログ―安田英久Web担のセキュリティ診断を受けてみた「Webセキュリティ診断サービス・初診コース」を受けてみました。どんな風に診断がされるのか、その流れをレポートします。noteで書くこれは広告です株式会社ラックさんの「Webセキュリティ診断サービス・初診コース」を受けてみました。セキュリティ診断が気になる人に、どんな風に診断がされるのか、その流れをレポートしてみます。今回も長めのコラムですいません。※今回Web担で受けたセキュリティ診断を、3月27日の「第3回Web担オフ会」に参加された方のなかから抽選で3名様にプレゼントします(報告会オプションを希望される場合は実費)。http://web-tan.forum.impressrd.jp/q/200903offmeetingラックさんが運営しているセキュリティ監視センターが発表した観測レポートによると、2008年は「SQLインジェクション」という手口による攻撃が非常に増加したとのこと。SQLインジェクションは某価格比較サイトもやられた手口で、これにやられると、Webサイトで利用しているデータベースから情報を引き出されてしまうもの。場合によっては大規模な個人情報の漏洩などにつながってしまいます。サイトで使っているCMSやフォームなどのシステムが、攻撃されても大丈夫な作りになっていれば、被害を被ることはないのですが、意外と穴が残っていたりするものなのです。Web担でも登録ユーザーなどの個人情報がデータベースに保存されているため、セキュリティ診断を受診してみました。診断の流れ今回受けたセキュリティ診断は「初診コース」という、1ドメイン名10URLまで診断してもらい、レポートを受け取るもの。申し込みから診断、結果の送付まで、基本的にオンラインでのやりとりで済みますが、今回は、結果の解説もしてもらえる報告会オプション込みでお願いしました(お値段は、報告会なしなら6万3,000円、報告会ありなら9万8,000円)。ラックさんのサイトから見積もりをダウンロードして社内の決裁を得たら、診断してほしいサイトのURLと診断希望日などの情報を専用の申し込みフォーム(問診票)に入力します。問診票を送信すると、そのまま自社用の請求書が表示されますので、それを印刷して支払いを完了します(アマゾンで購入する場合は問診票を入力してから購入)。支払いが完了すると、指定した診断希望日時に、ラックさん側の担当者さんがセキュリティ診断を行います。この際に、擬似的に外部からセキュリティ攻撃がされる形となり、申し込みフォームなどが送信されますので、情シスの人やフォームの送信結果を受け取る人に連絡しておかないと大騒ぎになってしまいます(まぁ、診断で発生する擬似的な攻撃が原因でデータベースが壊れるようなことはないはずですが)。チェック対象は、フォームやスクリプトが動作している部分。問診票でサイトのURLだけ伝えておけばラックさんのほうでポイントを見つけてチェックしてくれますが、今回はあらかじめチェック対象を伝えておきました。診断が終了すると、まもなくメールで診断結果報告書のPDFが届きます。この報告書の印刷されたバージョンが、報告会がある場合は報告会の際に、報告会を頼んでいなければ後日郵送で、手元に届きます。Web担の場合、深夜に「明日以降のいつでも診断お願いします」と送信したところ、翌日少し遅めの昼過ぎに出社するとすでに診断が終了していて、その日の夜には診断書がメールで届きました。結論としては、Web担のサイトでは、SQLインジェクションのような、すぐに情報を抜き出したりされるような脆弱性は見つかりませんでした。1か所、XSS(クロスサイトスクリプティング)の対処が漏れている部分がありました。報告書には、診断結果と、診断項目に関する解説や対策方法の概要などが書かれているため、エンジニアが読めばどう修正すればいいかわかる内容になっています(レポートを見て修正方法が見えないエンジニアはヤバいです)。報告書の内容に従って内部や取引先の開発者に対応を依頼するのが筋ですが、場合によってはラックさんに対応をお願いすることも可能とのこと。完了後のタイミングで改めてセキュリティ診断を依頼することも可能とのこと(「初診」じゃなくても大丈夫)。関する簡単な解説と、対処方法の概要や昨今のセキュリティ事情を説明していただきました。ラックさんによると、XSSを利用した大規模なセキュリティ事故は発生していないため、重要なぜい弱性かどうかに関しては議論があるとのこと。ぜい弱性を突く形でデータを含ませたリンクをメールや掲示板などでクリックさせるワンクッションが必要な場合はなおさらで、今回Web担で発見されたものも、そういった類の問題。いえ、だれかが結果として問題のあるURLにアクセスさせられる可能性はゼロではありませんし、そうでなくても第三者がブログで「このサイトにセキュリティの穴がある」と書いてしまうような形での風評被害が考えられるため、有名サイトやメールマガジンの購読者数が多い媒体などではしっかりと対策しておいたほうがいいとのこと。情報処理推進機構)に届出をしました。逸郎氏がお話しくださいました。ラックさんによると、この「Webセキュリティ診断サービス・初診コース」は、主に、インターネット側から目にとまるもの、悪意をもった人間が狙いやすいところにフォーカスするもの。サイトのすべてをチェックしたわけではない点には注意が必要だとのこと。Webアプリケーションのぜい弱性チェックというと、以前は外部からフォームに対して逐一のチェックを依頼することが多かったのですが、それだと費用が高くなりがち。最近は、開発中に(ソースコードの時点で)チェックするよう開発ベンダーに義務づけるか、セキュリティ企業などに検査させる形が多く、そのほうがコストは安いとのこと。システムができたら、ソースではわからない点などをリリース前に外部から検査するのだといいます。いえ、ウェブの場合はいろいろと時間の制約が厳しい場合も多いし、リリース後にシステムがどんどん改修されていくものなので、Webアプリケーション用のファイアウォール(WAF)を採用するのもいい手段だということ。WAFを使うと、自動化スクリプトによる攻撃や、検索エンジンでターゲットを探して攻撃してくるような「通りすがりの攻撃」でかなり対応できるのだそうです。WAFというと専用のハードウェアですが、200万を切る価格のものもあるし、データセンターで共用のWAFを提供している場合もあります。WAFではサイトをねらい打ちにした攻撃には対応できないということなので、セキュリティ診断やソースコード検査がまったく不要になるわけではありません。いえサイトの立ち上げ時にはセキュリティにまで目が向かないことも多いのが現実。サイトオープン後に少し動きが落ち着いて、サイトに人気が出始めたころに、セキュリティ診断の初診を受けて、その結果によって対応の方向性を考えるのがいいとのこと。今やどんなサイトでもSEOはするでしょう。検索エンジンで上位に来れば、犯人に見つかりやすくなるもの。SEOを効かせるならば、セキュリティにも目を向けておいたほうがいいのかもしれませんね。※情報開示:今回のセキュリティ診断は、ラックさんのご厚意でご提供いただいたものです。ちなみに、この診断はアマゾンから申し込むことも可能。その場合、クレジットカードで申し込めばすぐに決済されるため迅速に診断結果を受け取ることが可能。診断は5万円、報告会込みでも8万5,000円とお安くなります。(アマゾンから申し込み可能)※しつこいですが、今回Web担で受けたセキュリティ診断を、3月27日のWeb担オフ会に参加された方に抽選でプレゼントします。上に再掲したものです。8がリリースされましたアクセス解析データなんて飾りです。「Web担当者Forum」初代編集長。ビジネスにおけるWebサイトの企画・構築・運用と、オンラインマーケティングの2軸をテーマにメディアを展開いる。現在は編集統括として媒体に携わる。個人としては、技術とマーケティングの融合によるインターネットのビジネス活用の新しい姿と、ブログ/CGM時代におけるメディアのあるべき姿を模索し続けている。趣味は素人プログラミングと上方落語と南インドカレー。AdWordsが消滅、18年の歴史を終え「Google広告」へ。最近(過去90日間)の記事で、Facebookの「いいね!」が多かった記事をお見逃し無く。00:37記事内にも明記しているようにチェックのサービスはらご提供いただきましたが、この記事は編集記事ですよ。サービスを提供いただいて記事化する企画は編集部から依頼したものです。ちなみに、Web担では、記事広告の場合は必ずそれがわかるように示していますし、サービスなどをご提供いただいた場合も、その旨明記していますよ。※記事へのコメント機能は2021年11月をもって終了しました。編集部へのご連絡は、問い合わせフォーム・メール・Twitterなどをご利用ください。広告が目指す戦略アドフラウド対策でCPA改善!「おとなの自動車保険」のデジタル広告が“損失1700万円”を克服するまで成功事例・失敗から学ぶWebサイトリニューアル。個人の業務改善も組織への導入&活用も1冊で完全理解!』を3名様にプレゼントすべて見るインフォメーションWeb担のメルマガを購読しませんか?Web担の記事がコンパクトに毎週届くメールマガジン「Web担ウィークリー」は、10万人が読んでいる人気メルマガ。忙しいあなたの情報収集力をアップさせる強い味方で、お得な情報もいち早く入手できます。編集後記サイトマップFAQ(よくある質問とその答)Web担に広告を掲載しませんか?購読者数10万人のメールマガジン広告をはじめとする広告サービスで、御社の認知向上やセミナー集客を強力にお手伝いいたします。Web担主催のイベントに協賛しませんか?年4回実施している数百人~3,4千人規模の無料イベント。イベントに協賛して、新規のリード獲得・認知向上をしませんか。寄稿記事・取材の企画の募集はこちらWeb担に寄稿したい、取材してもらいたい、などの場合はこちらから情報提供お願いします。