いずれも新たに生み出される攻撃手法に対応するために年々進化し続けてきました。多くは複雑になっており専門家以外の方がかんたんに全容を把握できるほどシンプルなものではありません。適切に保守するには少なくとも書籍で数千ページぐらいの知識を学ぶ必要がありますが、多くの人たちはそこに十分な労力をかけられるほどの時間の余裕は無いですし、あったとしても外注してしまった方が効率的です。技術について理解できたとしても、それを実践し続けるには継続的に一定のエネルギーと時間を注ぐ必要があります。年に行われたリリースの一覧です。回はセキュリティ対策を含むものでした。かぎったことではないということです。危険ではないか」と考える方がいますが、逆です。安全な方だと言えます)。利用するということは、これらのリリースがないかをウォッチし続け、リリースが行われたら適時に(ときには真夜中の数時間以内に)対応していく必要があるということです。利用そのものが目的の場合はこれでもよいかもしれません。利用したい場合には、これはあまり費用対効果のよい活動とはいえないでしょう。導入するという選択肢もあるでしょう。利用する際に欠かしてはならないセキュリティ対策をご紹介します。最初の「構築時」とその後の「運用時」に分けてあげていきます。」にもさまざまなものがあります。中でも比較的安全なものとそうでないものがあるので、比較的安全なものを選ぶようにしましょう。見るべきポイントは「適切なセキュリティ対策が行われているか」「メンテナンスが活発に行われているか」です。そのものではなく、利用者(制作会社含む)の知識不足や勘違いによる「間違った使い方」に原因があると言われています。「公式のセットアップガイドを隅々まで読む」「本番環境と同様の環境で事前にチェックする」といったことをして、適切にセットアップするようにしましょう。原則改変せずに利用するのが基本です。改変せずに使用しています。改変してしまうと、思わぬ脆弱性を生んでしまったり将来のセキュリティアップデートを適用できなくなったりします。完全に把握できている場合だけです。「プラグイン」「パッケージ」「モジュール」等名前はさまざまですが、追加のプログラムで自由に機能拡張できるものが一般的です。本体に比べると、開発者の技術力が低かったり、メンテナンス体制が不十分であったり、寿命が短かったり(メンテナンスが続かなかったり)する場合がよくあります。本体に比べて多いので、必要最小限の信頼できるプラグインだけを利用するようにしましょう。積極的に利用していなくても、プラグインのファイルが存在するだけで脆弱性を生むものもあるので、必要の無くなったプラグインはなるべく早く削除しましょう。続いて運用時の対策です。構築したサイトは定期的にバックアップを取りましょう。セキュリティ対策も、いくら完璧にしようと思っても問題が発生する可能性はあります。万が一問題が起こったときの対策としてバックアップは強力なので、他の対策と並行でこれは必ず行うようにしましょう。データベースを使用しているので、ファイル一式とあわせてデータベースのバックアップも行う必要があります。バックにアップに加えて、インシデントやトラブルが発生した際の標準フロー・マニュアル等も用意しておくとベターです。定期・不定期に脆弱性対策のための更新版リリースが行われます。ほとんどの場合最新版がいちばん安全なので、新しいリリースがあればなるべく早く適用するのがよいでしょう。起こる可能性はあるので、いつでも最新版に対応できる体制が必要です。逆に、最新版が壊れていたり新たな脆弱性を含んでいたりする場合もあるので、「早ければ早いほどよい」とは必ずしも言えません。最新版に素早く更新するためには「最新版がいつリリースされるのか」「リリースはどんな変更が含まれているのか」を知る必要があります。上の日本時間の深夜に新たなリリースが公開されるようなケースだと、事前にその情報を知らなければ、朝起きたときにはすでにサイトの情報が抜き取られていて間に合わないということが起こりえます。公式なリリース情報、特にセキュリティ情報をウォッチする必要があります。プラグインを使用する場合はその情報もあわせてウォッチしなくてはなりません。公式リリースの他に信頼できる情報源があれば、その情報もあわせて収集するようにしましょう。管理画面等にアクセスできるユーザアカウントを好きなだけ追加できる形が一般的です。ユーザアカウントの数が増えるということはそれだけアカウント乗っ取りをされるリスクも増えるということなので、ユーザアカウントは必要な分だけ最小数作るようにしましょう。作ったアカウントでも、しばらく使用しないようなものはログインができないように無効化するか、いったん削除するのがよいでしょう。利用するすべてのユーザが気をつけるべきポイントです。パスワードはなるべく安全度の高いものを使うようにしましょう。いったよくある文字の羅列のパターンは絶対に使ってはいけません。世界では最も一般的な方式です。パスワードはなるべく安全なものにしましょう。危険なパスワードは設定できない機能を提供するプラグイン等を使用するのもひとつです。対する攻撃の多くはウェブを通じて行われます。攻撃を盛んに行っている国や地域があるので、もしそれらの国や地域がサイトのターゲットとして含まれていないのであれば、それらの国や地域からのアクセスを完全に遮断してしまうのもひとつです。それらの攻撃はたとえ有効なものではなくても、ウェブサーバのリソースを無駄に消費する要因にもなるので、不要なアクセス元はブロックしてしまうのがよいでしょう。日本語限定のサイトの場合は、日本国内からのアクセスのみを許可する形にするだけで、セキュリティレベルは大きく上がるでしょう。利用時に必ず行うべきセキュリティ対策でした。この一覧をご覧いただくと、冒頭の「いちばんの対策は専門家に任せること」というのが現実感を持って感じていただけるのではないかと思います。利用の場合は専門家に任せる必要はありません。考えられるリスクの大きさを考えると、専門家に任せるというのはほとんどの場合で費用対効果の非常に高い選択肢になるのではないかと思います。最後にひとつ補足があります。「サイトが攻撃されて被害を受けても自分が被害を受けるだけだから、そこまで気にしなくてもいいよね」と思われることがありますが、これは大きな間違いです。クラッカーに乗っ取られたサイト及びサーバは、サイトに内の情報を漏洩させてしまうだけではありません。次被害をもたらす可能性があります。利用するということは、例えるなら、玄関前に鋭利な刃物を放置しているようなものです。ウェブに公開して利用する人にも一定の管理責任があります。使って構築したサイトについて適切なセキュリティメンテナンスができなくなったときは、たとえアクセスがほとんど無いサイトでも、非公開にする等の措置を取るようにしましょう。(情報処理推進機構)によるウェブセキュリティ資料です。管理者はこれらの資料に書かれていることを最低限理解しておく必要があるでしょう。書かれてあることの意味がわからない場合は、読み飛ばさず必ず書籍やウェブで調べるようにしてください。IPAこの方面での定番書籍といえば「安全なWebアプリケーションの作り方」です。これは技術者向けに丁寧な解説がなされたウェブセキュリティ書籍です。管理者や制作会社スタッフであれば必読の一冊です。DynoABOUTSERVICESARTICLESFAQCONTACT。